Qué exige la Ley 21.719 y a quién le aplica

La Ley 21.719 en resumen

Qué regula

Cómo cualquier persona u organización recoge, usa, guarda, comparte y elimina datos personales. Moderniza el régimen de la Ley 19.628.

Desde cuándo

1 de diciembre de 2026. Hay un proyecto en el Senado para postergarla un año, pero mientras no se apruebe, la fecha vigente es esta.

A quién aplica

A cualquier empresa que trate datos de clientes, trabajadores, postulantes o contactos de proveedores.

Quién fiscaliza

La Agencia de Protección de Datos Personales, que puede investigar y sancionar.

Qué exige

Base legal para cada tratamiento, transparencia, atender los derechos de los titulares, medidas de seguridad, contratos con quienes tratan datos por la empresa y reporte de vulneraciones.

Multas

Hasta 5.000 UTM las leves, 10.000 UTM las graves y 20.000 UTM las gravísimas (art. 35).

Los dos artículos que mueven el negocio

Artículo 14 quinquies — medidas de seguridad

Obliga a implementar medidas técnicas y organizativas apropiadas, con mención expresa a seudonimización, cifrado, capacidad de restauración y verificación periódica de su eficacia. La carga de probar que esas medidas existen recae sobre tu empresa, no sobre quien reclama.

Artículo 15 bis — encargados del tratamiento

Exige contrato escrito con cada tercero que trate datos por tu cuenta, prohíbe subdelegar sin autorización escrita y establece responsabilidad solidaria. Es la cláusula exacta que un banco, una aseguradora o un operador regulado te va a pedir acreditar antes de seguir trabajando contigo.

La ventana real no es la que parece

Durante los primeros doce meses de vigencia, ante una infracción de una empresa de menor tamaño, la Agencia puede optar por una amonestación escrita en lugar de multa (artículo sexto transitorio). Leído rápido suena a que hay un año de gracia, y esa lectura es la que genera el retraso más costoso.

Esa gracia cubre la multa propia. No cubre la exigencia contractual: tus clientes grandes no están sujetos al mismo plazo y, como el artículo 15 bis los hace solidariamente responsables por lo que hagan sus encargados, van a trasladarte el requisito antes de diciembre, no después.

Pasado ese año, o fuera de ese caso, las multas llegan hasta 5.000 UTM en infracciones leves, 10.000 en graves y 20.000 en gravísimas. Si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, la multa puede llegar al 2% o 4% de sus ingresos anuales (art. 35), y ante infracciones gravísimas reiteradas en 24 meses la Agencia puede suspender el tratamiento de datos hasta por 30 días (art. 38). Conviene no confundir la UTM con la UF: son unidades distintas y de valor muy distinto.

Por dónde se empieza

El primer paso es un inventario real: qué datos personales maneja la empresa, de quién, para qué y con qué base legal. Sin ese mapa no se puede evaluar nada más, y suele revelar tratamientos que nadie tenía identificados — la planilla de postulantes, el CRM, los grupos de WhatsApp con clientes.

El segundo es revisar los contratos vigentes con cualquier proveedor que procese datos por tu cuenta: hosting, correo, CRM, WhatsApp Business, contabilidad externa. La pregunta concreta es si ya incorporan la cláusula del artículo 15 bis o si hay que renegociarlos, y eso toma meses cuando el proveedor es grande.

El tercero es evaluar si corresponde una evaluación de impacto bajo el artículo 15 ter, que aplica cuando hay datos sensibles o tratamiento a gran escala. Ninguno de los tres pasos se resuelve con una plantilla genérica: dependen de qué datos maneja tu empresa y con quién los comparte.

Cumplimiento de la Ley 21.719: lo que una empresa tiene que tener

Cumplir la ley no es un documento: es poder mostrar, ante la Agencia o ante un cliente, que cada una de estas piezas existe y funciona.

Inventario y base legal (arts. 12 y 13)

Qué datos se tratan y, para cada uso, si hay consentimiento u otra base que la ley permita.

Política de tratamiento publicada (art. 14 ter)

En el sitio web, con fecha y versión, quién es el responsable y un canal de contacto.

Canal para los derechos de los titulares (arts. 4° y 11)

Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. La empresa tiene 30 días corridos para responder, prorrogables una vez por otros 30.

Medidas de seguridad con evidencia (art. 14 quinquies)

Las que se explicaron más arriba. La carga de probar que existen y funcionan es de la empresa.

Contratos con los encargados (art. 15 bis)

Un contrato escrito con cada proveedor que trata datos por cuenta de la empresa.

Procedimiento de reporte de vulneraciones (art. 14 sexies)

Avisar a la Agencia sin demoras indebidas cuando hay riesgo para los titulares, y llevar un registro. Si se afectan datos sensibles, datos de menores de 14 años o datos financieros o comerciales, también hay que avisar a cada titular. Esta pieza se conecta con el plan de respuesta a incidentes.

Evaluación de impacto, cuando corresponda (art. 15 ter)

Se hace antes de empezar un tratamiento que pueda implicar alto riesgo para los titulares. Es obligatoria, entre otros casos, en el tratamiento masivo o a gran escala, en la elaboración de perfiles con efectos significativos y en el monitoreo sistemático de zonas de acceso público.

Modelo de prevención de infracciones, opcional (arts. 49 a 51)

Es voluntario e incluye designar un delegado de protección de datos. Si está certificado por la Agencia, cuenta como atenuante ante una sanción (art. 36).

Cómo se relaciona con la Ley 21.663

Son leyes distintas y se confunden seguido. La 21.719 protege datos personales y su autoridad es la Agencia de Protección de Datos; la 21.663 protege la continuidad de servicios esenciales y su autoridad es la ANCI. Una empresa puede estar sujeta a ambas, a una o a ninguna.

En la práctica se refuerzan: un incidente que compromete un sistema con datos personales puede gatillar obligaciones bajo las dos, con plazos y destinatarios diferentes. Por eso conviene que el plan de respuesta a incidentes contemple ambos caminos desde el principio.

Preguntas frecuentes