Ley 21.719: qué es, a quién aplica y cuándo entra en vigencia

Empecemos por lo que probablemente ya intuyes. Cada vez que un cliente te deja su nombre y su RUT, que contratas a alguien y guardas su ficha, o que un proveedor te comparte datos de contacto, tu organización está tratando datos personales. Hasta ahora eso casi no tenía reglas exigibles en Chile. Con la Ley 21.719 las tiene — y con una autoridad con capacidad real de fiscalización.

Qué es la Ley 21.719

La Ley 21.719 es la reforma más profunda que Chile ha hecho a su regulación de datos personales en más de dos décadas. Se publicó en el Diario Oficial el 13 de diciembre de 2024 con un período de transición de 24 meses para que las organizaciones se adecúen: su vigencia plena quedó fijada para el 1 de diciembre de 2026. En octubre de 2026 el Senado aprobó postergarla al 15 de octubre de 2027; mientras ese cambio no se publique como ley, la fecha vigente sigue siendo la original. La ley modifica a fondo la antigua Ley 19.628, vigente desde 1999, cuyas sanciones eran tan bajas que en la práctica casi nadie las tomaba en serio.

El cambio de fondo no es que existan reglas nuevas, sino que ahora hay una autoridad con poder para hacerlas cumplir: la nueva Agencia de Protección de Datos Personales, que puede investigar por iniciativa propia, aplicar multas y ordenar que se suspenda el tratamiento de datos.

Un punto que conviene tener claro desde el inicio: la ley no evalúa si tienes políticas bonitas redactadas. Evalúa si puedes demostrar qué datos tienes, para qué los usas y quién accede a ellos. Es la diferencia entre decir “cumplimos” y poder probarlo con evidencia.

¿A quién le aplica? (Probablemente a ti)

Aquí está la parte que muchas organizaciones subestiman. La ley aplica a toda organización, pública o privada, que trate datos personales de personas naturales, sin importar su tamaño ni su rubro. No hay un umbral mínimo de empleados ni de facturación que te deje afuera.

En términos concretos, te aplica si tu organización maneja cualquiera de estas cosas:

• Una base de datos de clientes (nombres, RUT, correos, teléfonos)
• Fichas de trabajadores o un sistema de recursos humanos
• Datos de proveedores o contactos comerciales
• Postulantes que enviaron su CV
• Una tienda online, un formulario web o un CRM

Si registras información de personas — aunque sea en planillas de Excel — la ley te alcanza. Que tu sector no aparezca en una lista de “empresas obligadas” no significa que estés exento: cualquier organización con una base de clientes o un sistema de gestión de personal trata datos personales.

Qué multas contempla (con las cifras exactas)

La ley clasifica las infracciones en tres niveles, y cada uno tiene su techo de multa. Estas son las cifras textuales de la ley:

• Infracciones leves (artículo 35, letra a): amonestación escrita o multa de hasta 5.000 UTM.
• Infracciones graves (artículo 35, letra b): multa de hasta 10.000 UTM.
• Infracciones gravísimas (artículo 35, letra c): multa de hasta 20.000 UTM — del orden de 1.400 millones de pesos a valores actuales.

Y hay un agravante importante por reincidencia. Según el artículo 35, si una empresa que no califica como “de menor tamaño” reincide en infracciones graves o gravísimas, la multa puede alcanzar hasta el 2% o el 4% de los ingresos anuales por ventas y servicios del último año (2% para infracciones graves, 4% para gravísimas), o hasta el triple del monto de la infracción — lo que resulte más gravoso.

Para dimensionarlo: no son multas pensadas para que se absorban como un costo operativo. Son cifras que un directorio mira.

La ventana para pymes: un alivio parcial, no una exención

La ley contempla un trato especial para las empresas de menor tamaño (las definidas en la Ley 20.416). Durante los primeros doce meses de vigencia, cuando corresponda sancionar a una de estas empresas, la Agencia podrá aplicar una amonestación escrita en lugar de una multa (artículo sexto transitorio). La amonestación queda registrada.

Es importante leer esto con precisión: no es una exención, y tampoco es automática: la ley dice que la Agencia «podrá», no que deba. La obligación de cumplir existe desde el primer día igual que para todos. Pasado ese año, el régimen sancionatorio completo aplica también a las empresas de menor tamaño. Qué cubre esa amonestación, cuándo correría ese año y por qué igual queda en un registro público lo explicamos en el año de amonestación para empresas de menor tamaño.

Qué derechos nuevos tienen las personas

La ley también le da a tus clientes, trabajadores y proveedores derechos concretos sobre sus datos, que tu organización deberá poder responder en plazos acotados:

• Acceso: pedirte que les muestres qué datos suyos tienes.
• Rectificación: exigir que corrijas información equivocada o desactualizada.
• Supresión: solicitar que elimines sus datos cuando ya no tengas razón para conservarlos.
• Oposición y portabilidad: negarse a ciertos usos, o pedir sus datos en un formato que puedan llevarse a otra organización.

Esto significa que necesitas un proceso para recibir y responder estas solicitudes — no basta con tener la voluntad de hacerlo.

Por qué no conviene esperar a la fecha final

Con la fecha en tramitación es tentador esperar. Pero prepararse toma meses de trabajo real, no semanas: ordenar dónde están tus datos, mapear por qué sistemas circulan, documentar para qué los usas y establecer controles no se improvisa a última hora. Y el contenido de la ley no cambia con la postergación.

Hay además dos razones que no dependen del calendario: las infracciones prescriben en cuatro años desde el hecho (artículo 40), y la ley considera atenuante haber cumplido diligentemente los deberes de dirección y supervisión (artículo 36). Tu asesoría legal define cómo aplican a tu caso; la evidencia técnica es lo que permite demostrarlo.

Y hay un beneficio que rara vez se menciona: cumplir con la ley te obliga a ordenar tus datos. Una organización que sabe exactamente qué información tiene y dónde está no solo cumple — queda a un paso de tomar mejores decisiones con esos datos. La obligación puede terminar siendo tu mejor inversión.

Las dos caras de la ley

La Ley 21.719 tiene dos caras: una legal, que resuelven los abogados con políticas y contratos, y una técnica y operativa, que consiste en ordenar de verdad los datos en tus sistemas: saber qué tienes, dónde vive y quién accede. Esa segunda cara es trabajo de ingeniería de datos.

En DataLovelace nos dedicamos a esa parte técnica: el inventario de datos, el registro de tratamiento, el mapa de flujos y los controles que te permiten demostrar cumplimiento — complementando, no reemplazando, el trabajo de tu asesoría legal. Si quieres entender en qué estado está tu organización, el primer paso es un diagnóstico de brechas con alcance y precio fijos.

¿Eres tú quien tendrá que implementar esto en los sistemas? Lee la versión técnica: Cómo prepararse técnicamente para la Ley 21.719: inventario, RAT y trazabilidad →