Empresas de menor tamaño y Ley 21.719: qué significa el año de amonestación (y qué no)

«El primer año no hay multas para las pymes» es la versión que más circula, y no es lo que dice la ley. Esta guía separa el texto del artículo sexto transitorio de lo que se le atribuye, muestra qué obligaciones siguen corriendo durante ese año y termina con lo que una empresa de menor tamaño puede dejar listo en 30 días con lo que ya tiene: un registro de solicitudes con su reloj y una consulta para encontrar datos personales en su base de datos. Si buscas el panorama general, parte por qué es la Ley 21.719, a quién aplica y qué multas contempla.

¿Qué es una empresa de menor tamaño para esta ley?

La ley no usa la palabra «pyme»: habla de «empresas de menor tamaño». Y no crea una definición propia, sino que se remite a las categorías del artículo segundo de la Ley 20.416, el estatuto de las empresas de menor tamaño. Ese artículo agrupa a las micro, pequeñas y medianas empresas y las clasifica por sus ingresos anuales por ventas, servicios y otras actividades del giro del año calendario anterior, descontado el IVA y los impuestos específicos.

* Con la UF del 31 de diciembre de 2025 ($39.727,96, según el SII). Es una referencia: la cifra exacta te la confirma tu contador.

Tres precisiones que suelen faltar:

• Cuentan las ventas, no los trabajadores. La clasificación por número de trabajadores (de 1 a 9, de 10 a 49, de 50 a 199 y 200 o más) existe, pero está en el artículo 505 bis del Código del Trabajo y rige «para los efectos de este Código». La Ley 21.719 se remite al artículo segundo de la Ley 20.416, que mide ingresos.
• No basta con vender poco. El mismo artículo segundo deja fuera a dos tipos de empresas:
  • las que obtienen más de un 35% de sus ingresos de negocios inmobiliarios, actividades financieras o participaciones en otras sociedades, salvo las necesarias para su actividad principal;
  • aquellas en cuyo capital pagado participan, en más de un 30%, sociedades que cotizan en bolsa o sus filiales.
  Interpretación: como la Ley 21.719 remite a ese artículo, esas exclusiones también rigen para el régimen de amonestación.
• La ley no precisa qué año de ventas se mira. La Ley 20.416 habla del año calendario anterior, pero la ley de datos no dice anterior a qué: a la infracción o a la sanción. Si tu empresa está cerca de un umbral, es una pregunta para tu abogado.

¿Qué dice exactamente la ley sobre el primer año?

Este es el texto completo:

«Durante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción para empresas calificadas como de menor tamaño, de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416, que fija normas especiales para aquéllas, la Agencia podrá aplicar como sanción una amonestación por escrito, señalando a los responsables de datos la gravedad de la infracción, la conducta infractora, y las circunstancias atenuantes y agravantes de responsabilidad, si proceden. A esta amonestación será aplicable el deber de registro según lo dispone el artículo 39 de la presente ley.»

Ley 21.719, artículo sexto transitorio

Leído palabra por palabra:

Tampoco dice que sea «a la primera infracción», como se lee en varias guías, ni limita cuántas amonestaciones puede recibir una empresa. Y no suspende ninguna obligación.

La novedad no es la amonestación, sino su alcance. La amonestación escrita ya existe para todas las empresas en las infracciones leves (artículo 35, letra a). Lo que agrega el artículo sexto transitorio es que, durante el primer año, la Agencia también puede usarla con una empresa de menor tamaño en las infracciones graves, que normalmente se multan con hasta 10.000 UTM, y en las gravísimas, con hasta 20.000 UTM (artículo 35, letras b y c). Por ejemplo, no cumplir las obligaciones de seguridad del artículo 14 quinquies es una infracción grave (artículo 34 ter, letra j).

Interpretación: como el texto dice «podrá» y no modifica la escala del artículo 35, la Agencia conserva la opción de multar. Cómo usará esa facultad todavía no se sabe.

¿Desde cuándo y hasta cuándo corre ese año?

Hay dos puntos que conviene revisar con tu abogado: el día exacto de término, que depende de cómo se compute el plazo, y qué pasaría con lo que ya estaba vigente si la postergación se publicara después del 1 de diciembre de 2026. El detalle de la tramitación está en qué cambia y qué no con la postergación a octubre de 2027.

Interpretación: el año corre para la sanción, no solo para el hecho. La norma dice que «durante los primeros doce meses» la Agencia «podrá aplicar» la amonestación. Leída así, lo que tendría que ocurrir dentro del año es la sanción. Un procedimiento administrativo toma tiempo, y la Agencia tiene cuatro años desde el hecho para perseguir una infracción (artículo 40). Una falta cometida en el mes once podría sancionarse en el mes catorce, ya fuera de la ventana. Conclusión práctica: no planifiques tu cumplimiento contando con ese año.

¿Qué no se suspende durante ese año?

Nada de lo que la ley exige queda en pausa. Estas son las obligaciones con plazo o con evidencia que más fácil se incumplen en la operación diaria de una empresa de menor tamaño:

Tres aclaraciones:

• Las «72 horas» que circulan en internet vienen del reglamento europeo de protección de datos (RGPD). La ley chilena no fija un número de horas para reportar.
• Los derechos de las personas tampoco se suspenden. Si niegas una solicitud o no respondes a tiempo, la persona puede reclamar ante la Agencia dentro de 30 días hábiles (artículo 41).
• La amonestación cubre solo la sanción administrativa. La ley deja a salvo las demás responsabilidades legales, civiles o penales (artículo 34).

¿Por qué una amonestación no es «gratis»?

Aunque no implique pagar, una amonestación tiene costos que conviene conocer antes de contar con ella.

1. Es pública por cinco años. El artículo sexto transitorio aplica a la amonestación el registro del artículo 39, que es público, gratuito y electrónico. Consigna a quién se sancionó, la gravedad, la conducta, las atenuantes y agravantes, y la sanción, y cada anotación queda visible cinco años. Opinión: para una empresa que vende a clientes grandes o postula a licitaciones, una anotación visible puede pesar más que una multa baja.

2. Interpretación: probablemente cuenta como antecedente. No tener sanciones previas es una atenuante (artículo 36, número 3). La reincidencia, que es haber sido sancionado dos o más veces en los últimos treinta meses con resoluciones firmes, es una agravante (artículo 36, letra a) que permite multar hasta tres veces el monto (artículo 35). Como la amonestación se aplica «como sanción», lo razonable es suponer que cuenta para ambas: dos amonestaciones en el primer año podrían encarecer una tercera infracción, aunque ocurra cuando el año ya terminó.

3. Interpretación: igual hay que corregir. En cada caso, la Agencia señala medidas para subsanar lo que motivó la sanción, que deben adoptarse en un plazo no mayor a sesenta días o la multa se recarga en 50% (artículo 35). Con una amonestación no hay multa que recargar, pero incumplir un requerimiento específico de la Agencia es por sí mismo una infracción grave (artículo 34 ter, letra n).

4. No reemplaza la evidencia. Ante un incidente, quien debe demostrar que sus medidas de seguridad existían y funcionaban es la empresa, con o sin régimen especial (artículo 14 quinquies).

Lo que sí es una ventaja permanente:

• A una empresa de menor tamaño que reincide en infracciones graves o gravísimas no se le aplica la multa alternativa de hasta el 2% o el 4% de sus ingresos anuales, que la ley reserva a las demás empresas (artículo 35).
• La ley prevé estándares de información y seguridad diferenciados según el tamaño de la empresa, que la Agencia debe fijar mediante instrucción general (artículo 14 septies). Al 1 de noviembre de 2026 no encontramos publicada esa instrucción.

¿Qué puedes dejar listo en 30 días con lo que ya tienes?

No hace falta comprar software. Con una planilla, el correo que ya usas y acceso de lectura a tu base de datos se arma la evidencia mínima. Es una versión reducida del estándar con que preparamos a las organizaciones para la ley:

* Interpretación: la ley no exige un «inventario» con ese nombre, pero sin saber dónde están los datos es difícil responder en 30 días o demostrar tus medidas. Si quieres ir más allá del mínimo, el paso siguiente está en cómo pasar del inventario a un registro de tratamientos con trazabilidad.

Plantilla: registro de solicitudes con su reloj de 30 días

Una fila por solicitud. Las fórmulas son para Excel en español con configuración de Chile, que usa «;» como separador. En Excel en inglés, SI es IF, Y es AND, HOY es TODAY y DIA.LAB es WORKDAY, y el separador es la coma.

Cómo usarla:

• Feriados es un rango con nombre que contiene solo fechas: los feriados del año. DIA.LAB ya descuenta sábados y domingos.
• El bloqueo temporal se pide junto con una rectificación, supresión u oposición (artículos 8° ter y 11). Regístralo en su propia fila y fija una meta interna de 1 día hábil: así, si se discute cómo contar los días hábiles (por ejemplo, si los sábados cuentan), igual estás dentro.
• Si usas la prórroga, avísale a la persona antes de que venzan los primeros 30 días y deja constancia en la columna J. Es buena práctica: la ley permite prorrogar una vez, pero no regula cómo comunicarlo.
• Si aparece «Respondida fuera de plazo», revisa el proceso, no la fórmula.

Consulta: dónde hay datos personales en tu base de datos

Si tu sistema usa SQL Server, PostgreSQL o MySQL, esta consulta lista las columnas cuyo nombre sugiere un dato personal. Lee solo metadatos (nombres de tablas y columnas), no el contenido. Ejecútala con un usuario de solo lectura que tenga acceso a todos los esquemas: la consulta solo muestra lo que ese usuario puede ver.

-- Columnas candidatas a contener datos personales.
-- Lee solo metadatos: nombres de tablas y columnas, no su contenido.
SELECT TABLE_SCHEMA, TABLE_NAME, COLUMN_NAME, DATA_TYPE
FROM INFORMATION_SCHEMA.COLUMNS
WHERE LOWER(TABLE_SCHEMA) NOT IN
      ('information_schema', 'pg_catalog', 'sys', 'mysql', 'performance_schema')
  AND (
       -- identificación
       LOWER(COLUMN_NAME) LIKE '%rut%'
    OR LOWER(COLUMN_NAME) LIKE '%nombre%'
    OR LOWER(COLUMN_NAME) LIKE '%apellido%'
    OR LOWER(COLUMN_NAME) LIKE '%nacim%'
       -- contacto y ubicación
    OR LOWER(COLUMN_NAME) LIKE '%mail%'
    OR LOWER(COLUMN_NAME) LIKE '%correo%'
    OR LOWER(COLUMN_NAME) LIKE '%fono%'
    OR LOWER(COLUMN_NAME) LIKE '%celular%'
    OR LOWER(COLUMN_NAME) LIKE '%direcc%'
       -- salud, trabajo y dinero
    OR LOWER(COLUMN_NAME) LIKE '%salud%'
    OR LOWER(COLUMN_NAME) LIKE '%diagn%'
    OR LOWER(COLUMN_NAME) LIKE '%licencia%'
    OR LOWER(COLUMN_NAME) LIKE '%sueldo%'
    OR LOWER(COLUMN_NAME) LIKE '%remuner%'
    OR LOWER(COLUMN_NAME) LIKE '%deuda%'
       -- texto libre: suele esconder datos personales
    OR LOWER(COLUMN_NAME) LIKE '%observ%'
    OR LOWER(COLUMN_NAME) LIKE '%coment%'
  )
ORDER BY TABLE_SCHEMA, TABLE_NAME, COLUMN_NAME;

Dónde se probó: en PostgreSQL 16 y MariaDB 10.11 (compatible con MySQL), sobre una base de prueba con nombres de columna habituales en Chile. En SQL Server no la probamos: usa solo la vista estándar INFORMATION_SCHEMA.COLUMNS y escribe los nombres en mayúsculas para funcionar también con intercalaciones que distinguen mayúsculas.

Cómo leer el resultado:

• Habrá falsos positivos: «ruta_archivo», «monto_bruto» o «nombre_producto» aparecen por coincidencia. Descártalos a mano.
• Habrá falsos negativos: columnas con nombres genéricos («campo1», «dato_extra») o en inglés. Agrega tus propios patrones, por ejemplo '%phone%' o '%address%'.
• El texto libre: las columnas de observaciones o comentarios suelen contener datos personales aunque su nombre no lo diga. Revisa una muestra.
• Lo que no aparece: lo que está en planillas y correos no sale en la consulta. Eso va a mano en el inventario.
• El alcance según el motor: en SQL Server, la consulta mira solo la base de datos en la que estás conectado, así que repítela en cada una; en PostgreSQL, la base conectada; en MySQL, todas las bases a las que tu usuario tiene acceso.

Pega el resultado en la planilla del inventario y, por cada columna confirmada, agrega para qué se usa, quién es responsable y cuánto tiempo se guarda.

Qué hacer esta semana

• Confirma con tu contador si tu empresa es de menor tamaño: ventas y exclusiones del artículo segundo de la Ley 20.416.
• Publica y prueba un correo para solicitudes de datos personales, con una persona a cargo (artículos 11 y 34 bis, letra b).
• Arma el registro de solicitudes y cierra una solicitud de prueba.
• Ejecuta la consulta y marca qué columnas son datos personales de verdad.
• Agenda una prueba de restauración de respaldo con acta (artículo 14 quinquies, letra c).

Cuatro preguntas para tu abogado

1. ¿El año de amonestación se cuenta por la fecha de la infracción o por la fecha en que la Agencia sanciona?
2. ¿Una amonestación cuenta para la reincidencia y hace perder la atenuante de no tener sanciones previas (artículo 36)?
3. Si la Agencia ordena medidas junto con una amonestación, ¿qué pasa si no se cumplen en sesenta días (artículos 35 y 34 ter, letra n)?
4. ¿Qué año de ventas determina si somos empresa de menor tamaño al momento de una sanción? ¿Nos afecta alguna exclusión del artículo segundo de la Ley 20.416?

Este artículo explica la preparación técnica. Complementa a tu asesoría legal, no la reemplaza. Lo marcado como interpretación es nuestra lectura del texto y conviene validarlo con tu abogado.

Fuentes

Sobre la numeración: los artículos citados sin otra indicación (11, 14 quinquies, 14 sexies, 14 septies, 34 a 36, 39 a 41) son de la Ley 19.628 en el texto que le da la Ley 21.719. El primero y el sexto transitorios son de la propia Ley 21.719.

• Ley 21.719, texto oficial en la Biblioteca del Congreso Nacional (consultado el 1 de noviembre de 2026)
• Ley 20.416, artículos segundo y duodécimo, en la Biblioteca del Congreso Nacional (consultado el 1 de noviembre de 2026)
• Servicio de Impuestos Internos: clasificación de empresas según sus ventas
• Servicio de Impuestos Internos: valores de la UF 2025
• Diario Financiero (28 de octubre de 2026): el Senado aprueba el proyecto que posterga la entrada en vigencia y mantiene el régimen de las empresas de menor tamaño
• Garrigues (30 de octubre de 2026): el Senado aprueba postergar la vigencia al 15 de octubre de 2027