En resumen
- Según su texto actual, la Ley N° 21.719 entra en vigencia el 1 de diciembre de 2026. El Senado aprobó el 28 de octubre de 2026 un proyecto que la posterga al 15 de octubre de 2027, que ahora revisa la Cámara de Diputadas y Diputados.
- La ley crea la Agencia de Protección de Datos Personales, amplía los derechos de las personas y exige a las empresas justificar, informar y proteger cada uso de datos personales.
- Las multas pueden llegar a 20.000 UTM en las infracciones gravísimas, y a un porcentaje de los ingresos anuales para grandes empresas reincidentes.
- Una postergación da más tiempo, pero no cambia lo que hay que hacer: saber qué datos tienes, para qué los usas, quién accede y cómo respondes a las personas.
¿Cuándo entra en vigencia?
La Ley N° 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y modifica la Ley N° 19.628, que regula los datos personales en Chile desde 1999. Según su artículo primero transitorio, entra en vigencia el 1 de diciembre de 2026, como recuerda el reglamento sobre modelos de prevención publicado el 9 de septiembre de 2026.
El 1 de septiembre de 2026 el Gobierno presentó un proyecto para postergarla (Boletín N° 18.623-07). El Senado lo aprobó el 28 de octubre con una nueva fecha: el 15 de octubre de 2027. El proyecto pasó a la Cámara de Diputadas y Diputados y debe terminar su trámite y publicarse para tener efecto. Mientras eso no ocurra, la fecha legal sigue siendo el 1 de diciembre de 2026.
Al 3 de noviembre de 2026: fecha vigente, 1 de diciembre de 2026 · fecha propuesta en el proyecto, 15 de octubre de 2027
Qué cambia
Una autoridad que fiscaliza
Se crea la Agencia de Protección de Datos Personales, un organismo autónomo que podrá dictar instrucciones, fiscalizar, resolver reclamos y sancionar.
Más derechos para las personas
Además de acceso, rectificación, supresión y oposición, la ley suma la portabilidad, el bloqueo temporal y la oposición a decisiones tomadas solo de forma automatizada.
Una razón para cada uso
Usar datos personales requiere consentimiento o alguna de las otras bases que la ley permite, como cumplir un contrato con la persona o una obligación legal, o un interés legítimo que no afecte sus derechos.
Seguridad e incidentes
Las empresas deben aplicar medidas de seguridad proporcionales y reportar a la Agencia las vulneraciones de seguridad que afecten datos personales.
Plazos para responder
Quien recibe una solicitud de una persona sobre sus datos tiene 30 días corridos para responder, prorrogables por otros 30. Si no responde o la rechaza, la persona puede reclamar ante la Agencia.
Un modelo de prevención voluntario
Las empresas pueden adoptar un modelo de prevención de infracciones, con un encargado de protección de datos. No es obligatorio, pero si está certificado puede atenuar una sanción.
¿Cuánto pueden costar las infracciones?
La ley clasifica las infracciones en leves, graves y gravísimas. Las multas máximas son de 5.000, 10.000 y 20.000 UTM respectivamente. Con la UTM de noviembre de 2026 ($72.440), eso equivale a unos $362 millones, $724 millones y $1.449 millones.
Si la infracción no se corrige, la multa puede aumentar, y la reincidencia se castiga con más fuerza. Para grandes empresas reincidentes en infracciones graves o gravísimas, la multa puede llegar a un porcentaje de sus ingresos anuales. Además, habrá un Registro Nacional de Sanciones y Cumplimiento, público y gratuito.
Lo que más afecta a una pyme
La ley no distingue por tamaño en sus deberes principales. En una pyme, los riesgos suelen estar en prácticas cotidianas: listas de clientes que se comparten sin un acuerdo, promociones por WhatsApp sin consentimiento claro, relojes de asistencia con huella digital, planillas con datos de trabajadores que circulan por correo o herramientas en la nube que guardan datos fuera de Chile sin que nadie lo haya revisado.
Seis pasos para prepararte
- Haz un inventario. Anota cada proceso que usa datos de personas: qué datos, para qué, dónde están, quién accede y qué proveedores intervienen.
- Define la razón de cada uso. Para cada proceso, identifica si te basas en un contrato, una obligación legal, el consentimiento u otra base. Si no lo sabes, ahí hay una tarea.
- Revisa tus proveedores. Software contable, de remuneraciones, de correo masivo o de IA: qué datos reciben, dónde los guardan y qué contrato los protege.
- Informa a las personas. Publica una política de privacidad clara y revisa cómo pides consentimiento para comunicaciones comerciales.
- Prepara la respuesta a solicitudes. Decide quién recibe las solicitudes de acceso, rectificación o supresión y cómo se responden dentro de 30 días corridos.
- Ten un plan para incidentes. Qué hacer si se pierde un computador o se filtra una planilla: a quién avisar, cómo registrarlo y cómo reportarlo.
Si además usas o piensas usar inteligencia artificial, la guía «IA y datos personales: checklist para pymes» trae veinte puntos para revisar cada caso.
Fuentes
Fecha de publicación y plazos de la ley: Carey, 13 de diciembre de 2024. Fecha de vigencia según el artículo primero transitorio: Decreto N° 662 de Hacienda, Diario Oficial del 9 de septiembre de 2026. Postergación: Carey, 3 de septiembre de 2026, Garrigues y Figueroa & Streit. Derechos, bases, plazos, multas, modelo de prevención y registro: análisis de la ley publicado en una revista de derecho de la Pontificia Universidad Católica de Chile. Riesgos en pymes: Diario Constitucional, 12 de junio de 2026. UTM: SII.
Este artículo es informativo, refleja la situación al 3 de noviembre de 2026 y no constituye asesoría legal. Para decisiones concretas, consulta con un abogado.