¿Tu empresa ya sabe qué hacer frente a la nueva ley de datos personales en Chile? Si la respuesta es «todavía no», no estás solo. En MenteGlobal hemos preparado esta guía definitiva para que las PYMEs chilenas comprendan, sin tecnicismos innecesarios, qué exige la Ley 21.719 y cómo empezar a prepararse desde hoy.
⚠️ Actualización Urgente (Septiembre 2026): El proyecto de ley presentado por el Gobierno para postergar la entrada en vigencia de la Ley 21.719 al 1 de diciembre de 2027 avanza con alta probabilidad de ser aprobado en el Congreso. Sin embargo, esta noticia no es una excusa para bajar la guardia. La implementación de un programa de protección de datos robusto no es un trámite de último minuto; una adecuación real y sostenible toma entre 6 y 18 meses de trabajo estructurado. Dejarlo para el final solo aumentará tu exposición a reclamos de titulares, vulneraciones de seguridad y multas. Aprovecha este tiempo adicional como una ventaja estratégica: implementa la normativa con calma, calidad y sin el estrés de la urgencia, posicionando a tu empresa como un referente de confianza ante tus clientes.
¿Qué es la Ley 21.719 y por qué debería importarte?
La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, es la normativa que regula la protección y el tratamiento de los datos personales en Chile y crea la Agencia de Protección de Datos Personales. Viene a reemplazar y modernizar la antigua Ley 19.628, cambiando incluso su nombre para reflejar su verdadero alcance: ahora se llama, literalmente, ley sobre «los datos personales».
En términos simples: si tu empresa recoge, almacena, usa, comunica o transfiere datos de personas naturales —clientes, empleados, proveedores, usuarios de tu sitio web—, esta ley te aplica directamente.
¿A quién aplica la Ley 21.719? (Y sí, probablemente te incluye)
Uno de los cambios más relevantes de esta ley es la ampliación de su ámbito de aplicación territorial (Art. 1° bis). La ley se aplica cuando:
- El responsable o encargado está establecido o constituido en el territorio nacional. Si tu PYME opera desde cualquier rincón de Chile, estás dentro.
- Un encargado trata datos en nombre de un responsable chileno, sin importar dónde esté ubicado ese encargado. ¿Contrataste un servicio de CRM en la nube con servidores en el extranjero? Aplica.
- Una empresa extranjera ofrece bienes o servicios a personas en Chile o monitorea su comportamiento (perfilamiento, rastreo, predicción). Si tu e-commerce vende a chilenos desde el extranjero, también estás alcanzado.
- Aplica la legislación chilena por contrato o derecho internacional, aunque el responsable no esté en Chile.
¿La excepción? El tratamiento de datos que realicen personas naturales para sus actividades estrictamente personales queda fuera. Pero en el momento en que esos datos se usan para una actividad comercial, la ley te alcanza.
Los 8 Principios que Debes Grabar en la Cultura de tu Empresa
El Artículo 3° de la Ley 21.719 establece ocho principios que rigen todo tratamiento de datos personales. Piensa en ellos como los cimientos sobre los que deberás construir tu estrategia de cumplimiento:
1. Licitud y Lealtad
Solo puedes tratar datos de forma lícita y leal. Y ojo: tú debes ser capaz de acreditar esa licitud. La carga de la prueba está en tu empresa, no en el titular del dato.
2. Finalidad
Los datos se recogen para fines específicos, explícitos y lícitos. No puedes usarlos después para algo completamente distinto, salvo excepciones muy tasadas (fines compatibles, relación contractual que lo justifique, nuevo consentimiento o mandato legal).
3. Proporcionalidad
Solo los datos necesarios, adecuados y pertinentes. ¿Realmente necesitas pedir el estado civil de tu cliente para venderle un par de zapatos? Probablemente no. Además, los datos solo pueden conservarse por el tiempo necesario para cumplir la finalidad; después, deben suprimirse o anonimizarse.
4. Calidad
Los datos deben ser exactos, completos, actuales y pertinentes. Si tu base de datos está llena de correos electrónicos que rebotan y direcciones de hace diez años, tienes un problema de calidad que la ley ahora exige resolver.
5. Responsabilidad
Quien trata datos responde legalmente por el cumplimiento de todos estos principios y de las obligaciones de la ley. No hay delegación que te exima.
6. Seguridad
Debes garantizar estándares adecuados de seguridad: proteger los datos contra acceso no autorizado, pérdida, filtración, daño accidental o destrucción. Las medidas deben ser proporcionales al tipo de tratamiento y a la naturaleza de los datos.
7. Transparencia e Información
El titular tiene derecho a conocer tus políticas y prácticas de tratamiento. Estas deben estar permanentemente accesibles, de forma precisa, clara, inequívoca y gratuita.
8. Confidencialidad
Tú y toda persona que acceda a los datos deben guardar secreto o confidencialidad. Y este deber subsiste incluso después de que termine la relación con el titular.
Los Derechos de los Titulares: Más Allá del Clásico «Habeas Data»
La Ley 21.719 amplía significativamente los derechos de las personas sobre sus datos (Art. 4° y siguientes). Tus clientes, empleados y usuarios ahora cuentan con:
- Derecho de Acceso (Art. 5°): Confirmación y acceso a sus datos, finalidad, destinatarios y lógica de decisiones automatizadas. Gratuito al menos una vez por trimestre.
- Derecho de Rectificación (Art. 6°): Exigir la corrección de datos inexactos, desactualizados o incompletos.
- Derecho de Supresión (Art. 7°): Pedir la eliminación de sus datos cuando ya no sean necesarios, se revoque el consentimiento o hayan sido tratados ilícitamente.
- Derecho de Oposición (Art. 8°): Oponerse a un tratamiento específico. En marketing directo, la oposición es absoluta: si alguien te dice que no le envíes más correos, debes dejar de hacerlo.
- Derecho de Portabilidad (Art. 9°): Solicitar una copia de sus datos en formato electrónico estructurado y de uso común, e incluso pedir que se transmitan directamente a otro responsable.
- Derecho de Bloqueo Temporal (Art. 8° ter): Suspensión temporal del tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.
- Protección frente a Decisiones Automatizadas (Art. 8° bis): Derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado (incluida la elaboración de perfiles) que produzcan efectos jurídicos o le afecten significativamente.
Nota operativa: Todos estos derechos son personales, intransferibles e irrenunciables. No puedes limitar su ejercicio mediante cláusulas contractuales ni términos y condiciones.
Las Obligaciones Clave para tu PYME (Lo que Debes Implementar Sí o Sí)
Deber de Información y Transparencia (Art. 14 ter)
Debes mantener permanentemente a disposición del público, en tu sitio web o medio equivalente, tu política de tratamiento, tu individualización como responsable, un medio de contacto operativo, las categorías de datos que tratas, las finalidades, la base de legitimidad, las medidas de seguridad y el período de conservación.
Deber de Protección desde el Diseño y por Defecto (Art. 14 quáter)
Debes integrar medidas técnicas y organizativas desde la fase de diseño de cualquier nuevo producto, servicio o proceso que trate datos (Privacy by Design & by Default). Por defecto, solo deben tratarse los datos estrictamente necesarios.
Deber de Seguridad (Art. 14 quinquies)
Debes implementar medidas que aseguren la confidencialidad, integridad, disponibilidad y resiliencia de tus sistemas, incluyendo seudonimización, cifrado y capacidad de restaurar la disponibilidad de los datos rápidamente tras un incidente.
Deber de Reportar Vulneraciones de Seguridad (Art. 14 sexies)
Si sufres una filtración, pérdida o acceso no autorizado, debes reportarlo a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los derechos de los titulares. Si afecta datos sensibles, de menores de 14 años o financieros, también debes comunicarlo directamente a los titulares afectados.
Estándares Diferenciados para PYMEs (Art. 14 septies)
La ley reconoce que no es lo mismo una microempresa que una gran corporación. Los estándares mínimos de cumplimiento se determinarán considerando el tamaño de la empresa según la Ley 20.416, la actividad que desarrolla, y el volumen y naturaleza de los datos que trata.
El Consentimiento: Reglas del Juego que Cambian
El Artículo 12 establece que el consentimiento del titular debe ser: libre, informado, específico, previo e inequívoco (mediante una declaración o acción afirmativa clara; las casillas premarcadas no cuentan). Debe ser revocable en cualquier momento, sin expresión de causa y por medios similares a los usados para otorgarlo. Corresponde al responsable probar que contó con el consentimiento.
Infracciones y Sanciones: Lo que Está en Juego
La ley clasifica las infracciones en tres niveles, con multas que pueden impactar seriamente tu flujo de caja:
- Infracciones Leves: Hasta 5.000 UTM (ej. incumplir el deber de información, no responder solicitudes a tiempo).
- Infracciones Graves: Hasta 10.000 UTM (ej. tratar datos sin consentimiento, vulnerar obligaciones de seguridad).
- Infracciones Gravísimas: Hasta 20.000 UTM (ej. tratamiento fraudulento, vulnerar confidencialidad de datos sensibles, omitir deliberadamente la comunicación de vulneraciones).
Además, en caso de reincidencia de empresas que no sean de menor tamaño, la multa puede alcanzar el 2% o 4% de los ingresos anuales por ventas, y la Agencia puede suspender las operaciones de tratamiento hasta por 30 días. También existe responsabilidad civil por daños patrimoniales y extrapatrimoniales.
Tu Plan de Acción: 10 Pasos para Preparar tu PYME
Con la muy probable postergación al 1 de diciembre de 2027, podrías sentir la tentación de relajarte. No lo hagas. La implementación de un programa de cumplimiento robusto no es un trámite de fin de semana. Según los estándares de la industria en implementación de normativas de privacidad, un proceso de adecuación integral toma entre 6 y 18 meses de trabajo continuo, dependiendo del tamaño de la organización, el volumen de datos y la complejidad de los procesos.
Este es el momento de actuar con estrategia y convertir el cumplimiento en una ventaja competitiva:
- Haz un inventario de datos (Data Mapping). Identifica qué datos recoges, de quién, con qué finalidad, dónde los almacenas y con quién los compartes.
- Revisa tus bases de licitud. Para cada tratamiento, determina si cuentas con consentimiento, contrato, obligación legal o interés legítimo. Documenta tu respuesta.
- Actualiza tus políticas de privacidad. Asegúrate de que cumplan con el deber de información del Art. 14 ter y estén accesibles en tu sitio web.
- Implementa mecanismos para el ejercicio de derechos. Crea un correo electrónico dedicado o un formulario web que permita a los titulares ejercer sus derechos de forma ágil y gratuita.
- Revisa tus contratos con proveedores. Todo tercero que trate datos en tu nombre debe tener un contrato conforme al Art. 15 bis.
- Fortalece tu seguridad informática. Cifrado, control de accesos, copias de seguridad y planes de respuesta a incidentes.
- Capacita a tu equipo. El principio de responsabilidad y el deber de confidencialidad aplican a todos quienes acceden a datos en tu organización.
- Evalúa si necesitas una evaluación de impacto. Si realizas perfilamiento, tratamiento masivo o usas datos sensibles, el Art. 15 ter te exige este paso previo.
- Considera adoptar un modelo de prevención. Aunque es voluntario, la certificación de la Agencia te da un atenuante ante sanciones y te posiciona como empresa confiable.
- Designa a tu delegado de datos. En una PYME puede ser el propio dueño, pero debe tener autonomía y recursos para cumplir su función.
Preguntas Frecuentes sobre la Ley 21.719
¿Cuándo entra en vigencia la Ley 21.719?
Originalmente, la ley tiene vigencia diferida al 1 de diciembre de 2026. Sin embargo, el Gobierno ha ingresado un proyecto de ley urgente para postergar esta fecha al 1 de diciembre de 2027, iniciativa que avanza con alta probabilidad de aprobación. Aprovecha este margen para hacer las cosas bien, no para postergarlas.
¿Aplica a mi microempresa?
Sí. La ley aplica a toda persona natural o jurídica que trate datos personales. No obstante, el Art. 14 septies establece que la Agencia fijará estándares diferenciados según el tamaño de la empresa. Además, durante los primeros 12 meses de vigencia, las empresas de menor tamaño podrán recibir una amonestación por escrito en lugar de multa (Art. sexto transitorio).
¿Necesito consentimiento para todo?
No. El consentimiento es la regla general, pero el Art. 13 contempla otras bases de licitud: cumplimiento legal, ejecución contractual, interés legítimo, entre otras. Lo que sí debes hacer es documentar y poder acreditar la base que utilizas.
¿Puedo seguir usando mis herramientas de marketing digital?
Sí, pero debes asegurarte de que el tratamiento de datos cumpla con la ley: consentimiento válido, información clara al titular, posibilidad de oposición al marketing directo (que es absoluta según el Art. 8°), y contratos adecuados con los proveedores de tecnología.
Conclusión: La Protección de Datos ya No es un «Nice to Have»
La Ley 21.719 marca un antes y un después en la forma en que las empresas chilenas se relacionan con los datos de las personas. Ya no estamos en la era de la autorregulación voluntaria. Ahora hay una Agencia con facultades fiscalizadoras, sanciones que pueden impactar seriamente tu negocio y un conjunto de derechos para los titulares que tus clientes van a empezar a ejercer.
La buena noticia es que tienes tiempo y tienes opciones. La ley reconoce la realidad de las PYMEs con estándares diferenciados y la posibilidad de que el propio dueño asuma el rol de delegado de datos. Pero recuerda: una implementación seria y sostenible toma tiempo. Dejarlo para el último minuto, confiando ciegamente en una postergación, es la receta perfecta para vulneraciones de seguridad, reclamos de clientes y multas que podrían poner en riesgo la viabilidad de tu negocio.
En MenteGlobal estamos comprometidos con ayudarte a navegar esta transición de forma práctica, eficiente y alineada con la realidad de tu negocio. En los próximos artículos profundizaremos en cómo la Ley 21.719 impacta a industrias específicas —retail, salud, educación, servicios financieros, tecnología— y en cómo la inteligencia artificial y la automatización pueden ser tus mejores aliadas para cumplir con la normativa sin sacrificar productividad.
¿Quieres que tu empresa esté lista, sin importar la fecha final de vigencia, y convierta el cumplimiento en una ventaja competitiva? Empieza hoy. Y si necesitas orientación experta, estamos a un clic de distancia.
Este artículo tiene fines informativos y de divulgación general, actualizado a septiembre de 2026. No constituye asesoría legal personalizada. Para decisiones específicas sobre el cumplimiento de la Ley 21.719 en tu empresa, te recomendamos consultar con un profesional especializado.
MenteGlobal — Inteligencia aplicada, cumplimiento real.