Guía práctica de adecuación a la Ley N° 21.719 de Protección de Datos Personales

La Ley N° 21.719, que regula la protección y el tratamiento de datos personales y crea la Agencia de Protección de Datos Personales, entrará en vigencia el 1 de diciembre de 2026. Actualmente tramita en el Congreso un proyecto (boletín N° 18.623-07) que podría postergar su entrada en vigencia; sin embargo, la recomendación es no esperar: las obligaciones de la ley exigen meses de preparación y la postergación, de aprobarse, solo daría más tiempo para hacer bien las cosas, no para ignorarlas.

Esta guía resume lo que tu empresa debe hacer, con o sin postergación.

1. ¿A quién se aplica?

A toda persona natural o jurídica, pública o privada, que trate datos personales en Chile, y también a entidades extranjeras que ofrezcan bienes o servicios a personas en Chile o monitoreen su comportamiento. Si tu empresa tiene clientes, trabajadores o proveedores, la ley te aplica.

2. Las obligaciones centrales

2.1 Base de legitimación

Todo tratamiento de datos necesita una base legal: consentimiento, ejecución de un contrato, obligación legal, interés legítimo u otras previstas en la ley. El consentimiento debe ser libre, específico, informado e inequívoco, y debe poder acreditarse.

2.2 Derechos de las personas

Las personas podrán ejercer derechos de acceso, rectificación, cancelación, oposición, portabilidad y bloqueo. Tu empresa debe contar con un procedimiento interno documentado para responder estos requerimientos dentro de los plazos legales.

2.3 Registro de actividades de tratamiento

Debes llevar un registro actualizado de las operaciones de tratamiento que realizas: qué datos, con qué finalidad, a quién se comunican y por cuánto tiempo se conservan.

2.4 Medidas de seguridad y notificación de brechas

La ley exige medidas técnicas y organizativas proporcionales al riesgo. Ante una brecha de seguridad que afecte datos personales, deberás notificar a la Agencia y, en ciertos casos, a las personas afectadas.

2.5 Delegado de protección de datos

Ciertas organizaciones deberán designar un delegado de protección de datos (DPD), en particular cuando el tratamiento sea a gran escala o involucre datos sensibles.

2.6 Evaluaciones de impacto

Para tratamientos de alto riesgo (datos sensibles, perfilamiento, decisiones automatizadas), se exige una evaluación de impacto previa.

3. Sanciones

La Agencia podrá aplicar multas de hasta 20.000 UTM por infracciones graves o reincidencia en infracciones gravísimas, además de la eventual responsabilidad civil por los daños causados. El régimen sancionatorio considera circunstancias atenuantes, entre ellas contar con un programa de cumplimiento implementado antes de la infracción.

4. Plan de adecuación recomendado

Fase 1 — Diagnóstico (1 a 2 meses)

• Levantar un inventario de datos: qué datos se tratan, dónde residen, quién accede.
• Identificar las bases de legitimación actuales y sus brechas.
• Mapear flujos de datos con terceros: encargados, proveedores cloud, transferencias internacionales.

Fase 2 — Diseño (2 a 3 meses)

• Redactar o actualizar políticas de privacidad, avisos y cláusulas de consentimiento.
• Diseñar el procedimiento de atención de derechos.
• Definir el registro de actividades de tratamiento y la matriz de riesgos.
• Revisar contratos con encargados de tratamiento.

Fase 3 — Implementación (3 a 6 meses)

• Capacitar a los equipos que tratan datos (RRHH, ventas, marketing, TI).
• Implementar medidas de seguridad y el protocolo de brechas.
• Designar al delegado de protección de datos, si corresponde.
• Documentar el programa de cumplimiento.

Fase 4 — Mejora continua

• Auditorías periódicas, actualización del registro y revisión de evaluaciones de impacto.

5. ¿Y si se posterga la entrada en vigencia?

El proyecto de postergación no elimina las obligaciones: las desplaza. Las empresas que usen ese tiempo para avanzar llegarán con un programa maduro; las que esperen, deberán improvisar bajo presión. Además, buena parte de las exigencias (seguridad, contratos con encargados, respuesta a derechos) ya son buenas prácticas exigibles hoy por clientes, auditorías y normas sectoriales.

6. Cómo podemos ayudarte

En Voror acompañamos a empresas en la adecuación a la Ley 21.719 con un enfoque práctico: diagnóstico express, programa de cumplimiento documentado, redacción de políticas y contratos, y capacitación de equipos. Escríbenos a contacto@voror.cl o visita nuestra página de contacto para agendar una conversación.

---

Esta guía tiene carácter informativo y no constituye asesoría legal. Para una evaluación de tu caso concreto, consúltanos directamente.