Ley 21.719: qué es, a quién aplica y por qué diciembre de 2026 te concierne

Empecemos por lo que probablemente ya intuyes. Cada vez que un cliente te deja su nombre y su RUT, que contratas a alguien y guardas su ficha, o que un proveedor te comparte datos de contacto, tu organización está tratando datos personales. Hasta ahora eso casi no tenía reglas exigibles en Chile. A partir del 1 de diciembre de 2026, sí las tiene — y con capacidad real de fiscalización.

Qué es la Ley 21.719

La Ley 21.719 es la reforma más profunda que Chile ha hecho a su regulación de datos personales en más de dos décadas. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia plena el 1 de diciembre de 2026, tras un período de transición de 24 meses pensado para que las organizaciones se adecúen. Reemplaza a la antigua Ley 19.628, que regía desde 1999 con sanciones tan bajas que en la práctica casi nadie las tomaba en serio.

El cambio de fondo no es que existan reglas nuevas, sino que ahora hay una autoridad con poder para hacerlas cumplir: la nueva Agencia de Protección de Datos Personales, que puede investigar por iniciativa propia, aplicar multas y ordenar que se suspenda el tratamiento de datos.

Un punto que conviene tener claro desde el inicio: la ley no evalúa si tienes políticas bonitas redactadas. Evalúa si puedes demostrar qué datos tienes, para qué los usas y quién accede a ellos. Es la diferencia entre decir “cumplimos” y poder probarlo con evidencia.

¿A quién le aplica? (Probablemente a ti)

Aquí está la parte que muchas organizaciones subestiman. La ley aplica a toda organización, pública o privada, que trate datos personales de personas naturales, sin importar su tamaño ni su rubro. No hay un umbral mínimo de empleados ni de facturación que te deje afuera.

En términos concretos, te aplica si tu organización maneja cualquiera de estas cosas:

• Una base de datos de clientes (nombres, RUT, correos, teléfonos)
• Fichas de trabajadores o un sistema de recursos humanos
• Datos de proveedores o contactos comerciales
• Postulantes que enviaron su CV
• Una tienda online, un formulario web o un CRM

Si registras información de personas — aunque sea en planillas de Excel — la ley te alcanza. Que tu sector no aparezca en una lista de “empresas obligadas” no significa que estés exento: cualquier organización con una base de clientes o un sistema de gestión de personal trata datos personales.

Qué multas contempla (con las cifras exactas)

La ley clasifica las infracciones en tres niveles, y cada uno tiene su techo de multa. Estas son las cifras textuales de la ley:

• Infracciones leves (artículo 35, letra a): amonestación escrita o multa de hasta 5.000 UTM.
• Infracciones graves (artículo 35, letra b): multa de hasta 10.000 UTM.
• Infracciones gravísimas (artículo 35, letra c): multa de hasta 20.000 UTM — del orden de 1.400 millones de pesos a valores actuales.

Y hay un agravante importante por reincidencia. Según el artículo 35, si una empresa que no califica como “de menor tamaño” reincide en infracciones graves o gravísimas, la multa puede alcanzar hasta el 2% o el 4% de los ingresos anuales por ventas y servicios del último año (2% para infracciones graves, 4% para gravísimas), o hasta el triple del monto de la infracción — lo que resulte más gravoso.

Para dimensionarlo: no son multas pensadas para que se absorban como un costo operativo. Son cifras que un directorio mira.

La ventana para pymes: un alivio parcial, no una exención

La ley contempla un trato especial para las empresas de menor tamaño (las definidas en la Ley 20.416). Durante el primer año de vigencia — entre el 1 de diciembre de 2026 y el 1 de diciembre de 2027 — estas empresas reciben una amonestación escrita en lugar de multa por su primera infracción.

Es importante leer esto con precisión: no es una exención. La obligación de cumplir existe desde el primer día igual que para todos. Es solo una ventana para corregir la primera falta sin sanción económica. Pasado ese año, el régimen sancionatorio pleno aplica también a las pymes.

Qué derechos nuevos tienen las personas

La ley también le da a tus clientes, trabajadores y proveedores derechos concretos sobre sus datos, que tu organización deberá poder responder en plazos acotados:

• Acceso: pedirte que les muestres qué datos suyos tienes.
• Rectificación: exigir que corrijas información equivocada o desactualizada.
• Supresión: solicitar que elimines sus datos cuando ya no tengas razón para conservarlos.
• Oposición y portabilidad: negarse a ciertos usos, o pedir sus datos en un formato que puedan llevarse a otra organización.

Esto significa que necesitas un proceso para recibir y responder estas solicitudes — no basta con tener la voluntad de hacerlo.

Por qué actuar ahora y no “cuando se acerque la fecha”

Diciembre de 2026 puede parecer lejano, pero prepararse toma meses de trabajo real, no semanas. Ordenar dónde están tus datos, mapear por qué sistemas circulan, documentar para qué los usas y establecer controles no es algo que se improvise a última hora.

Hay además una razón práctica de mercado: a medida que se acerque la fecha, la demanda de especialistas se disparará y los plazos se alargarán. Quienes empiecen temprano llegarán ordenados; quienes esperen competirán por agenda escasa en el peor momento.

Y hay un beneficio que rara vez se menciona: cumplir con la ley te obliga a ordenar tus datos. Una organización que sabe exactamente qué información tiene y dónde está no solo cumple — queda a un paso de tomar mejores decisiones con esos datos. La obligación puede terminar siendo tu mejor inversión.

Las dos caras de la ley

La Ley 21.719 tiene dos caras: una legal, que resuelven los abogados con políticas y contratos, y una técnica y operativa, que consiste en ordenar de verdad los datos en tus sistemas: saber qué tienes, dónde vive y quién accede. Esa segunda cara es trabajo de ingeniería de datos.

En DataLovelace nos dedicamos a esa parte técnica: el inventario de datos, el registro de tratamiento, el mapa de flujos y los controles que te permiten demostrar cumplimiento — complementando, no reemplazando, el trabajo de tu asesoría legal. Si quieres entender en qué estado está tu organización, el primer paso es un diagnóstico de brechas con alcance y precio fijos.

¿Eres tú quien tendrá que implementar esto en los sistemas? Lee la versión técnica: Cómo prepararse técnicamente para la Ley 21.719: inventario, RAT y trazabilidad →