Ley N° 21.719: la nueva era de la protección de datos personales en Chile

Chile entró a una nueva era en materia de privacidad. Con la publicación de la Ley N° 21.719 en el Diario Oficial el 13 de diciembre de 2024, el país actualizó radicalmente su marco de protección de datos personales, reemplazando la Ley N° 19.628 que estuvo vigente desde 1999.

El cambio no es menor: mientras la ley anterior era un texto breve y de baja aplicación práctica, la nueva normativa impone obligaciones concretas, crea un organismo supervisor con amplias facultades sancionadoras y establece derechos reforzados para cada persona natural cuyos datos sean tratados por una organización. El estándar de referencia es el Reglamento General de Protección de Datos de la Unión Europea, conocido como RGPD o GDPR.

Este artículo ofrece una visión introductoria de la ley: qué es, a quién aplica, qué obliga y por qué actuar con anticipación es la decisión más inteligente que puede tomar hoy una organización.

¿Qué es la Ley N° 21.719 y qué cambia respecto a la ley anterior?

La Ley N° 21.719 regula la forma y las condiciones en que las organizaciones pueden tratar datos personales de personas naturales en Chile. Modifica estructuralmente la Ley N° 19.628 e introduce un sistema de protección de datos moderno, alineado con los estándares internacionales más exigentes.

Los cambios más relevantes respecto al marco anterior son:

• Un nuevo organismo fiscalizador. La ley crea la Agencia de Protección de Datos Personales (APDP), con autonomía técnica y presupuestaria, facultades de investigación, sanción y dictación de instrucciones generales. Antes no existía ningún organismo con ese rol.
• Derechos ampliados para los titulares. La ley reconoce y regula el derecho de acceso, rectificación, supresión, oposición, portabilidad y protección frente a decisiones automatizadas (incluida la elaboración de perfiles con inteligencia artificial). Estos derechos deben poder ejercerse a través de canales habilitados por la propia organización.
• Nuevas obligaciones documentales. Las organizaciones deben elaborar y publicar una política de tratamiento de datos, un catálogo de las actividades de tratamiento que realizan, protocolos de respuesta ante brechas de seguridad y cláusulas contractuales para sus proveedores que traten datos personales.
• Privacidad por diseño y por defecto. La ley exige que los sistemas, productos y procesos nuevos incorporen la protección de datos desde su concepción, no como un requisito agregado al final.
• Un régimen sancionatorio significativo. Las infracciones se clasifican en leves, graves y gravísimas, con multas que pueden alcanzar hasta 20.000 UTM en los casos más severos. En infracciones reiteradas de empresas grandes, el cálculo puede realizarse como porcentaje de los ingresos anuales.

¿A quién aplica la ley?

La Ley N° 21.719 aplica a toda persona natural o jurídica, pública o privada, que realice tratamiento de datos personales de personas naturales en Chile. No distingue por tamaño de empresa ni por sector de actividad.

En términos prácticos, están sujetas a la ley:

• Empresas de cualquier tamaño que tengan clientes, usuarios, empleados o proveedores cuyos datos personales sean almacenados, consultados o procesados.
• Organismos de la Administración del Estado, incluidos ministerios, servicios públicos y municipalidades.
• Plataformas digitales, aplicaciones móviles y cualquier servicio en línea que opere desde Chile o que esté dirigido a residentes en el país.
• Empresas extranjeras que traten datos de personas ubicadas en Chile, aun cuando no tengan domicilio en el territorio nacional.

Si su organización maneja nombres, correos electrónicos, RUT, números de teléfono, datos de salud, información financiera, datos biométricos o cualquier otro dato que permita identificar a una persona natural, está sujeta a esta ley.

¿Qué es un dato personal y qué son los datos sensibles?

Un dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable. La ley establece que una persona es identificable cuando su identidad puede determinarse directa o indirectamente mediante uno o más identificadores: nombre, RUT, número de teléfono, dirección, identificadores digitales o cualquier combinación de atributos físicos, psíquicos, económicos, culturales o sociales.

Los datos personales sensibles son una categoría especialmente protegida. Se consideran sensibles los datos que revelen origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, datos relativos a la salud, perfil biológico humano, datos biométricos, y cualquier información relacionada con la vida sexual, orientación sexual o identidad de género de una persona.

El tratamiento de datos sensibles está sujeto a estándares más exigentes y requiere, en la mayoría de los casos, el consentimiento explícito del titular.

Los principios que rigen el tratamiento de datos bajo la nueva ley

La Ley N° 21.719 establece en su artículo 3° los principios que deben guiar todo tratamiento de datos personales. Cualquier actividad de tratamiento que no los respete puede constituir una infracción:

• Licitud. Solo pueden tratarse datos cuando existe una base legal que lo ampara: consentimiento del titular, obligación legal, ejecución de un contrato, interés legítimo del responsable, entre otras.
• Finalidad. Los datos deben recopilarse para fines específicos, explícitos y legítimos, y no pueden utilizarse para finalidades distintas de las declaradas.
• Proporcionalidad. Solo deben tratarse los datos estrictamente necesarios para la finalidad declarada. La recolección excesiva es, por sí sola, una infracción.
• Calidad. Los datos deben ser exactos, completos y actuales.
• Seguridad. El responsable debe adoptar medidas técnicas y organizativas para proteger los datos contra acceso no autorizado, pérdida o destrucción.
• Transparencia. Los titulares deben conocer quién trata sus datos, con qué finalidad, en qué bases legales y cuáles son sus derechos.
• Responsabilidad. El responsable debe ser capaz de demostrar que cumple con la ley. No basta con cumplir: hay que poder acreditarlo.

Las cinco obligaciones que ninguna empresa puede ignorar

Una vez que la ley entra en vigor, las organizaciones deben tener implementadas, como mínimo, las siguientes obligaciones. Cada una de ellas será objeto de un artículo específico en este blog:

¿Cuánto tiempo queda y qué tan urgente es actuar?

La vigencia es el 1° de diciembre de 2026. Pero la fecha por sí sola no refleja la urgencia real.

Implementar de manera ordenada los requisitos de la Ley N° 21.719 en una organización de tamaño mediano toma entre cinco y seis meses de trabajo estructurado: diagnóstico, elaboración de documentos, habilitación de canales, capacitación de equipos, actualización de contratos y verificación final. Una organización más grande o más compleja puede requerir más tiempo.

Las organizaciones que comiencen hoy tienen margen para hacerlo bien: con diagnóstico cuidadoso, documentos de calidad y equipos entrenados. Las que esperen hasta el tercer trimestre de 2026 llegarán bajo presión, con mayor riesgo de errores y sin tiempo para corregirlos antes de que la APDP comience a fiscalizar.

Además, hay un incentivo normativo para actuar con anticipación: la propia ley reconoce la implementación de un modelo de prevención de infracciones certificado por la APDP como circunstancia atenuante en caso de sanción. Es decir, el cumplimiento documentado no solo evita multas — es el mecanismo legal de defensa que la ley pone a disposición de las organizaciones responsables.

Lo que viene en este blog

Este artículo es el punto de partida de una serie de publicaciones sobre la Ley N° 21.719. En las próximas entregas profundizaremos en:

• El catálogo de datos personales: qué es, qué debe contener y cómo elaborarlo desde cero.
• El rol del Delegado de Protección de Datos: funciones, perfil, designación y opciones para empresas que no tienen ese cargo internamente.
• El régimen sancionatorio en detalle: qué se considera infracción leve, grave y gravísima, y cómo la propia ley define los mecanismos de defensa.
• Los derechos ARCO+: cómo habilitar los canales y procedimientos que la ley exige para que sus clientes y empleados puedan ejercerlos.

Si quiere avanzar ahora, puede descargar nuestro checklist de los 22 deberes esenciales de la Ley N° 21.719 — una herramienta de autodiagnóstico que le permite evaluar en 15 minutos el estado de cumplimiento de su organización.