Ley 21.719: la pregunta ya no es si te aplica — es si puedes demostrarlo
La ley ya está publicada y alcanza a toda organización que trate datos personales. Cambie o no su fecha de vigencia, construir la evidencia técnica toma meses, no semanas.
Estado al . Hoy la ley tiene fijada su vigencia plena para el 1 de diciembre de 2026. El 28 de octubre el Senado aprobó postergarla al 15 de octubre de 2027, pero ese cambio todavía debe pasar por la Cámara de Diputadas y Diputados y publicarse como ley. Mientras eso no ocurra, rige la fecha original.
Servicio técnico que complementa a tu asesoría legal — no la reemplaza.
Qué cambia y a quién aplica
Aplica a toda organización pública o privada que trate datos personales — de clientes, trabajadores o proveedores — sin importar tamaño ni rubro.
Las organizaciones
Si registras datos de personas — aunque sea en planillas — la ley te alcanza.
Multas máximas
Sanciones según la gravedad de la infracción, aplicadas por la nueva autoridad.
De los ingresos anuales
Tope de multa en caso de reincidencia. El riesgo escala con la conducta.
Agencia fiscalizadora
La Agencia de Protección de Datos Personales tendrá poder real de fiscalización y sanción.
Los reglamentos siguen afinándose y nadie puede venderte certezas absolutas — nosotros tampoco. Lo que sí es seguro: la ley ya está publicada, el rango de multas (artículo 35) y que la evidencia técnica no se improvisa a última hora.
Un problema técnico disfrazado de legal
La ley no fiscaliza políticas bien redactadas; fiscaliza evidencia operativa. Cuando llegue una fiscalización, las preguntas serán concretas:
- ¿Qué datos personales tienes y en qué sistemas viven? — inventario de datos
- ¿Para qué los usas y con qué base? — registro de actividades de tratamiento
- ¿Por dónde fluyen entre sistemas y terceros? — mapa de flujos
- ¿Quién accede a qué y cuándo? — control de accesos y trazabilidad
Nada de eso se redacta: se construye. Y construirlo es ingeniería de datos.
El lado legal y el lado técnico se complementan
Lo legal lo firma tu abogado; lo técnico lo construimos nosotros. Tu organización decide y opera.
Desliza la tabla hacia el lado para ver qué hace tu abogado y qué hace tu organización.
| Tarea | DataLovelace | Tu abogado | Tu organización |
|---|---|---|---|
| Catálogo de datos personales (RAT) y mapa de flujos | Lo construye | Consulta | Entrega información y valida |
| Política de privacidad y textos legales | Entrega los insumos técnicos y la publica | La redacta y valida | La aprueba |
| Base legal de cada tratamiento | La documenta según lo que se le indique | La califica y decide | Decide con asesoría |
| Canal y procedimiento de derechosRespuesta en 30 días corridos, prorrogables una vez; la solicitud de bloqueo temporal se responde en 2 días hábiles (artículos 8° ter y 11) | Lo diseña, implementa y prueba | Valida las plantillas de respuesta | Lo opera tras la capacitación |
| Seguridad técnicaAccesos, registros, cifrado y respaldos | La implementa | No participa | Entrega accesos y asume los riesgos que queden |
| Procedimiento y registro de vulneracionesReporte a la Agencia sin dilaciones indebidas y registro de cada vulneración (artículo 14 sexies) | Lo diseña, implementa y simula | Valida los criterios de aviso e interviene si hay una brecha real | Lo opera y decide el aviso con ambos |
| Contratos con proveedores que tratan tus datos | Hace el inventario y mapea las transferencias | Los redacta y negocia | Los firma |
| Capacitación | Operativa y técnica, por rol | La legal, si se contrata | Asiste, con registro de asistencia |
Este servicio complementa a tu asesoría legal, no la reemplaza. Las políticas, los contratos y la interpretación jurídica son — y seguirán siendo — trabajo de abogados.
Qué incluye la preparación técnica
Un recorrido de cinco componentes, en el orden en que un fiscalizador los pediría.
-
1
Diagnóstico de brechas
Qué exige la ley, qué tienes hoy y cuánto te falta. Alcance y precio acotados.
-
2
Inventario y mapa de flujos
Qué datos personales tienes, dónde viven y por dónde circulan entre sistemas y terceros.
-
3
Construcción del RAT
El Registro de Actividades de Tratamiento: la forma más ordenada de demostrar qué datos tratas, para qué y con quién.
-
4
Controles técnicos y trazabilidad
Accesos, bitácoras y registros que permiten demostrar — no solo declarar — el cumplimiento.
-
5
Mantención continua
La evidencia se desactualiza: acompañamiento para que siga siendo válida en el tiempo.
Una ola de preparación de 8 a 12 semanas
Con hitos que apruebas y 2 a 4 semanas de acompañamiento incluidas.
- Hito 1
Levantamiento y catálogo
Qué datos personales tratas, dónde viven y por dónde circulan entre sistemas y terceros.
- Hito 2
Ajustes técnicos
Canal de derechos, accesos, registros y procedimiento de vulneraciones, según lo que tu caso necesite.
- Hito 3
Pruebas y simulacros
Comprobamos que puedes responder una solicitud y enfrentar una brecha. No se firma lo que no se probó.
- Hito 4
Traspaso
El Expediente de Evidencia Técnica en tus manos y tu equipo capacitado.
Si aparecen remediaciones de fondo, como rediseñar una base de datos, se cotizan aparte como un proyecto de Datos.
El Expediente de Evidencia Técnica
Al terminar, tu organización queda con 10 carpetas ordenadas según lo que pediría un fiscalizador. Cada una responde una pregunta concreta.
- Resumen y alcance¿Quién es responsable de qué?
- Catálogo¿Qué datos tratas, dónde, para qué y con qué base?
- Derechos¿Cómo respondes a las solicitudes de las personas? ¿Dónde está la última respuesta?
- Seguridad¿Qué medidas tienes y cómo demuestras que funcionan?
- Brechas¿Qué haces ante una brecha y dónde lo registraste?
- Transparencia¿Qué informas al público?
- Retención y supresión¿Cuánto tiempo conservas los datos y cómo los suprimes?
- Terceros y transferencias¿Quién trata datos por ti y dónde quedan?
- Decisiones automatizadas¿Decides de forma automatizada sobre personas? ¿Evaluaste el impacto?
- Gobernanza¿Esto sigue vivo o fue un proyecto de una vez?
Por qué empezar antes de que la Agencia fiscalice
La fecha puede moverse; la obligación no
La ley ya está publicada y su contenido no cambia con la postergación. Inventariar datos, mapear flujos y montar controles toma meses de trabajo sobre tus sistemas reales.
Cuatro años de memoria
Las infracciones prescriben en cuatro años desde el hecho (artículo 40). Lo que no se ordene a tiempo puede revisarse cuando la Agencia ya esté operando.
La diligencia cuenta
La ley considera atenuante haber cumplido diligentemente los deberes de dirección y supervisión (artículo 36). Tu abogado define cómo aplica a tu caso; nosotros construimos la evidencia.
Cumplir te obliga a ordenar tus datos. Y una organización con datos ordenados queda a un paso de análisis, automatización y mejores decisiones. La obligación puede ser tu mejor inversión.
Caso ilustrativo · institución ficticia
Datos de niños fuera de control
- La situación
- Un colegio con unos 680 alumnos, todos menores de edad, trata datos de salud del programa de integración, de enfermería y de orientación, además de fotografías. La ley protege de forma reforzada los datos de niños, niñas y adolescentes: su tratamiento debe atender a su interés superior (artículo 16 quáter).
- Lo que se encontró
-
- Datos de salud expuestos: los informes de salud de unos 90 alumnos estaban en carpetas de papel y en una carpeta en línea compartida por enlace, sin restricción.
- Fotos sin autorización: se publicaban imágenes de alumnos sin una autorización gestionada. Un apoderado pidió eliminarlas y el colegio no supo cómo responder.
- Pruebas fallidas: de cuatro pruebas de capacidad (exportar, suprimir, auditar accesos y revocar un consentimiento), tres no pasaron y una pasó a medias.
- Qué se hizo primero, en los primeros 90 días
-
- Se cerraron los accesos abiertos.
- Se sacaron los datos de menores de los canales sin control.
- Se ordenó la autorización de imagen.
- Se creó un procedimiento para responder solicitudes.
Después vinieron el catálogo de datos y los controles.
Construido a partir de situaciones frecuentes. Las cifras son estimaciones del caso, no resultados de un cliente.
Preguntas frecuentes sobre la Ley 21.719
¿Se postergó la ley?
Todavía no. Al 1 de noviembre de 2026, la vigencia plena sigue fijada para el 1 de diciembre de 2026. El 28 de octubre el Senado aprobó un proyecto que la mueve al 15 de octubre de 2027; falta que lo apruebe la Cámara y que se publique como ley. Lo que no cambia es el contenido de la ley ni el trabajo técnico que exige. Qué cambia y qué no.
¿Me aplica si soy pyme?
Sí. La ley aplica a toda organización que trate datos personales, sin importar su tamaño. Durante los primeros doce meses de vigencia, la Agencia podrá sancionar a las empresas de menor tamaño con una amonestación escrita en vez de una multa, pero la obligación de cumplir existe desde el primer día. Qué significa ese año para una empresa de menor tamaño.
¿Qué es el RAT?
El Registro de Actividades de Tratamiento: el documento que describe qué datos personales tratas, con qué finalidad, sobre qué base, dónde se almacenan y con quién se comparten. La ley no lo exige con ese nombre, pero es la forma más ordenada de demostrar todo eso, y el reglamento de los modelos de prevención de infracciones (DS 662) lo reconoce como una vía para documentarlo.
¿Necesito abogado igual?
Sí. Este servicio cubre el lado técnico: inventarios, RAT, mapa de flujos, trazabilidad y controles. Las políticas, los contratos y la interpretación jurídica son trabajo de tu asesoría legal. Ambos lados se complementan.
¿Cuánto demora?
Depende del tamaño y del desorden de tus datos: el diagnóstico de brechas toma semanas; inventariar, ordenar y documentar toma meses. Por eso conviene partir antes de la entrada en vigencia, cualquiera sea la fecha final.
¿Qué pasa si no hago nada?
Te expones a multas de hasta 20.000 UTM según la gravedad de la infracción — y hasta el 4% de los ingresos anuales en caso de reincidencia —, al costo de enfrentar una fiscalización sin evidencia, y al daño reputacional de una brecha mal manejada.
Lecturas para entender la Ley 21.719
Una para estar al día, dos para decidir y una para implementar.
El Senado aprobó postergar la ley a octubre de 2027: qué cambia y qué no
En qué va la tramitación, qué sigue igual y qué conviene hacer mientras se resuelve.
Leer artículo → Para dueños y gerentesLey 21.719: qué es, a quién aplica y cuándo entra en vigencia
Qué es la ley, a quién aplica, qué multas contempla y cuándo entra en vigencia. Sin tecnicismos.
Leer artículo → Para empresas de menor tamañoEmpresas de menor tamaño y Ley 21.719: qué significa el año de amonestación (y qué no)
Qué dice el artículo sexto transitorio, qué sigue corriendo durante ese año y qué dejar listo en 30 días.
Leer artículo → Para TI y operacionesCómo prepararse técnicamente: inventario, RAT y trazabilidad
Qué implica la ley en tus sistemas: inventario de datos, RAT, control de accesos y notificación de brechas.
Leer artículo →Parte por el diagnóstico de brechas
Alcance y precio acotados, entregable concreto: qué exige la ley, qué tienes hoy y el plan para cerrar la distancia. Sin compromiso de proyecto posterior.
Servicio técnico complementario al trabajo de tu asesoría legal.