Qué cambia respecto de la ley anterior
Chile reguló los datos personales en 1999 con la Ley 19.628, que no tenía una autoridad que fiscalizara ni sanciones relevantes. La Ley 21.719, publicada en diciembre de 2024, la reemplaza en lo sustancial y acerca la regulación chilena al reglamento europeo (RGPD). Los tres cambios de fondo son:
- Hay un fiscalizador. La Agencia de Protección de Datos Personales puede investigar de oficio o por reclamo, ordenar medidas y sancionar.
- Hay multas reales. Infracciones leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM. En caso de reiteración la multa puede llegar a un porcentaje de los ingresos anuales de la empresa.
- La carga de la prueba cambia. La empresa debe poder demostrar que cumple (principio de responsabilidad). Ya no basta con "no haber tenido problemas".
Las obligaciones principales para una empresa
- Base de licitud para cada tratamiento. Consentimiento, ejecución de un contrato, obligación legal, interés legítimo u otra base reconocida por la ley. Hay que saber cuál aplica a cada uso de datos: marketing, recursos humanos, videovigilancia, atención a clientes.
- Deber de información. Las personas deben saber quién trata sus datos, para qué, por cuánto tiempo, con quién se comparten y cómo ejercer sus derechos. En la práctica: políticas de privacidad y avisos claros en formularios y contratos.
- Atención de derechos. Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. La empresa necesita un canal para recibirlos y un procedimiento para responder dentro del plazo legal.
- Deber de seguridad. Medidas técnicas y organizativas proporcionales al riesgo: control de accesos, cifrado cuando corresponda, respaldos, contratos con proveedores que tratan datos por cuenta de la empresa.
- Reporte de brechas. Si hay un incidente que afecte datos personales, hay que notificar a la Agencia y, cuando exista riesgo para las personas, también a los afectados.
- Evaluación de impacto. Para tratamientos de alto riesgo (datos sensibles a gran escala, perfilamiento, vigilancia sistemática) la ley exige evaluar el impacto antes de iniciarlos.
- Transferencias internacionales. Enviar datos fuera de Chile, incluido el uso de servicios en la nube, requiere que el país de destino tenga un nivel adecuado de protección o que existan garantías contractuales.
- Delegado de protección de datos. Obligatorio para los órganos públicos y una figura que la ley contempla para las empresas como parte de su modelo de prevención; contar con uno es también un atenuante de responsabilidad.
Datos sensibles: el punto más delicado
Salud, biometría, orientación sexual, origen étnico, afiliación sindical, datos de menores y datos de geolocalización tienen reglas más estrictas. Si tu empresa maneja fichas de salud ocupacional, huellas para control de asistencia o cámaras con reconocimiento, está dentro de este grupo y debería partir por ahí.
Cómo prepararse en el tiempo que queda
La fecha del 1 de diciembre de 2026 es el inicio de la fiscalización, no el inicio del trabajo. Un programa de cumplimiento razonable toma de 4 a 8 meses según el tamaño de la empresa.
- Inventario de tratamientos. Qué datos se recogen, de quién, para qué, dónde se guardan y quién accede. Sin este mapa no se puede cumplir nada de lo anterior.
- Diagnóstico de brechas. Comparar el inventario con las obligaciones de la ley y ordenar las diferencias por riesgo.
- Plan de adecuación. Políticas, avisos, contratos con proveedores, procedimiento de derechos, procedimiento de brechas, capacitación.
- Modelo de prevención. Documentar responsables, controles y evidencias. La ley lo considera al momento de fijar sanciones.
En CisoServiceChile el programa parte con un diagnóstico de brechas frente a la Ley 21.719 sin costo. El detalle está en la página de cumplimiento de la Ley 21.719, y si tu empresa ya trabaja bajo ISO 27001 la adecuación es más corta, porque gran parte del deber de seguridad ya está resuelto.