La nueva Ley de Protección de Datos Personales representa uno de los cambios regulatorios más importantes que enfrentarán las empresas chilenas en los próximos años. Sin embargo, un reciente estudio revela una brecha considerable entre conocer la nueva normativa y estar realmente preparados para cumplirla.
El dato es particularmente relevante para las pequeñas y medianas empresas: el problema no parece ser solamente jurídico, sino también operacional, tecnológico y de gestión.
Según el Deloitte Data Privacy Readiness Report 2026, elaborado junto con la Cámara de Comercio de Santiago (CCS), un 52% de las empresas consultadas declara tener un nivel bajo de preparación frente a la nueva Ley 21.719, mientras que solamente un 15% considera que presenta un nivel alto de preparación.
Y existe una conclusión todavía más importante: conocer la ley no significa necesariamente estar preparado para cumplirla.
¿Qué está pasando con las empresas chilenas?
El estudio consideró a 91 organizaciones de distintos tamaños e industrias, encuestadas entre enero y julio de 2026.
El 83% señaló conocer total o parcialmente las obligaciones asociadas a la nueva legislación. Sin embargo, cuando se revisan las medidas concretas que deberían permitir cumplir esas obligaciones, aparecen importantes deficiencias.
Entre los principales resultados destacan:
- 52% de las empresas presenta un nivel bajo de preparación.
- Solo 15% alcanza un nivel alto de preparación.
- 84% no cuenta con una política de privacidad actualizada de acuerdo con las nuevas exigencias.
- 86% no dispone de mecanismos robustos para gestionar los nuevos derechos de los titulares de datos.
- 84% no tiene protocolos adecuados para gestionar y reportar incidentes de seguridad.
- El Registro de Actividades de Tratamiento (RAT) continúa siendo incipiente incluso en organizaciones grandes.
Esto permite identificar una situación que puede pasar inadvertida: el cumplimiento de la Ley 21.719 no consiste en modificar una política de privacidad y agregar un aviso de cookies al sitio web.
La ley exige construir un sistema de gestión de datos personales.
La verdadera brecha: saber qué exige la ley versus demostrar que se cumple
Esta probablemente sea la conclusión más importante para las empresas.
Una organización puede conocer perfectamente que existe la Ley 21.719 y, al mismo tiempo, no tener claridad sobre:
- Qué datos personales posee.
- De dónde provienen.
- Para qué los utiliza.
- Sobre qué base jurídica los trata.
- Quién dentro de la organización puede acceder a ellos.
- Con qué proveedores los comparte.
- Dónde se almacenan.
- Cuánto tiempo los conserva.
- Cuándo debe eliminarlos o anonimizarlos.
- Cómo responderá una solicitud de un titular.
- Qué debe hacer frente a una filtración.
- Cómo demostrará ante la autoridad que efectivamente cumple.
La Ley 21.719 establece expresamente principios como licitud, finalidad, proporcionalidad, calidad, seguridad y transparencia. Además, el responsable del tratamiento debe ser capaz de acreditar la licitud del tratamiento que realiza.
Por eso, el cumplimiento no debería comenzar redactando documentos.
Debería comenzar entendiendo cómo funciona actualmente la empresa con los datos personales.
¿Qué cambia con la Ley 21.719?
La Ley N.º 21.719 reemplaza el marco de la actual Ley 19.628 y eleva significativamente el estándar de protección y tratamiento de datos personales en Chile.
La normativa crea además una nueva institucionalidad: la Agencia de Protección de Datos Personales, organismo que tendrá facultades para fiscalizar, interpretar administrativamente la normativa, resolver reclamaciones y aplicar sanciones.
La ley también reconoce y fortalece los derechos de las personas sobre sus datos personales.
Entre ellos se encuentran los denominados derechos ARSOP+, que incluyen:
- Acceso.
- Rectificación.
- Supresión.
- Oposición.
- Portabilidad.
A esto se suma el derecho de bloqueo en los casos que correspondan.
Para las empresas esto implica algo muy concreto: ya no bastará con decirle a un cliente que sus datos están protegidos. La organización tendrá que contar con procesos que permitan demostrar cómo los trata y cómo responde cuando una persona ejerce sus derechos.
La empresa tendrá que saber qué datos trata
Uno de los puntos fundamentales de la nueva regulación es el conocimiento del propio ecosistema de datos.
Esto puede parecer sencillo hasta que una empresa comienza a revisar su operación.
Un cliente puede entregar información a través de un formulario web, una tienda online, WhatsApp, correo electrónico, una plataforma de reservas o directamente a un vendedor.
Al mismo tiempo, esos datos pueden terminar almacenados en:
- CRM.
- Sistemas de facturación.
- Plataformas de marketing.
- Google Workspace o Microsoft 365.
- Servicios de almacenamiento en la nube.
- Sistemas de atención al cliente.
- Plataformas de mailing.
- Proveedores externos.
- Sistemas de recursos humanos.
- Herramientas de inteligencia artificial.
Por eso el Registro de Actividades de Tratamiento (RAT) adquiere tanta importancia.
El RAT permite identificar y documentar qué tratamientos de datos realiza una organización y bajo qué condiciones.
El propio análisis de Deloitte–CCS identifica precisamente este punto como una de las principales debilidades observadas en las empresas chilenas.
La política de privacidad no es el punto de partida
Existe una tentación bastante lógica: contratar a un abogado, actualizar la política de privacidad del sitio web y considerar que el problema está resuelto.
No lo está.
La Ley 21.719 establece un deber de información y transparencia que exige mantener disponible, entre otros elementos, información sobre la política de tratamiento, el responsable, los canales para ejercer derechos, las categorías de datos tratados, las finalidades, las bases de legitimidad y los destinatarios de los datos.
Pero existe una cuestión previa.
La empresa debe saber realmente qué está haciendo con los datos.
Una política de privacidad debería ser la expresión pública de un sistema interno que ya existe, no un documento que describe una operación ideal que la empresa en realidad no realiza.
Dicho de otra forma:
No se puede publicar correctamente lo que la organización todavía no sabe cómo funciona.
¿Qué pasa si ocurre una filtración de datos?
La nueva normativa también eleva las exigencias relacionadas con la seguridad.
La ley establece obligaciones específicas frente a vulneraciones de las medidas de seguridad que puedan provocar destrucción, filtración, pérdida, alteración o acceso no autorizado a datos personales cuando exista un riesgo razonable para los derechos y libertades de las personas.
La empresa deberá contar con mecanismos para registrar y gestionar estos incidentes y, en determinadas circunstancias, comunicar la situación a la Agencia y a los titulares afectados.
Esto cambia el enfoque tradicional.
La seguridad de la información deja de ser exclusivamente un asunto del área informática.
También se convierte en una cuestión de gobernanza, cumplimiento y gestión empresarial.
Las multas pueden ser relevantes, pero el riesgo no termina ahí
La Ley 21.719 establece tres categorías de infracciones: leves, graves y gravísimas.
Las sanciones contemplan multas de hasta:
- 5.000 UTM para infracciones leves.
- 10.000 UTM para infracciones graves.
- 20.000 UTM para infracciones gravísimas.
Tomando como referencia los valores utilizados en análisis recientes, estas cifras pueden representar cientos de millones de pesos.
Pero concentrarse exclusivamente en la multa puede ser un error.
Una filtración de datos puede provocar además pérdida de confianza, daño reputacional, interrupción operacional, conflictos contractuales y costos asociados a investigación y recuperación.
Para una pyme, incluso un incidente que no termine en la sanción máxima puede tener consecuencias importantes.
La ley contempla además reglas especiales para casos de reincidencia, incluyendo sanciones que pueden llegar a porcentajes de los ingresos anuales en determinadas circunstancias.
¿La Ley 21.719 se postergará hasta 2027?
Aquí es necesario hacer una precisión importante.
Durante septiembre de 2026, el Gobierno ingresó un proyecto para postergar la entrada en vigencia de la Ley 21.719 desde el 1 de diciembre de 2026 hasta el 1 de diciembre de 2027. El Ejecutivo argumenta, entre otros factores, que la institucionalidad necesaria para implementar la nueva regulación todavía no se encuentra completamente instalada y que las empresas necesitan mayor tiempo de adaptación.
Sin embargo, la postergación todavía no debe tratarse como un hecho consumado.
La versión vigente de la Ley 21.719 mantiene el 1 de diciembre de 2026 como fecha de entrada en vigencia. El proyecto que pretende trasladarla a diciembre de 2027 continúa su tramitación legislativa.
Por lo tanto, para una empresa responsable, la estrategia más prudente no debería ser:
“Esperemos a ver si la postergan”.
Debería ser:
“Preparemos ahora nuestra organización y aprovechemos cualquier plazo adicional para llegar realmente preparados”.
Un año adicional no resuelve una organización que todavía no conoce sus datos
La eventual postergación puede ser una buena noticia para las empresas que todavía están atrasadas.
Pero también puede convertirse en una trampa.
Si una organización utiliza ese tiempo adicional simplemente para esperar, llegará a 2027 exactamente en la misma situación.
El estudio Deloitte–CCS muestra precisamente que existe una brecha significativa entre conocimiento e implementación.
Y esa brecha no se resuelve leyendo la ley.
Se resuelve trabajando sobre los procesos reales de la organización.
¿Qué debería hacer una empresa ahora?
No todas las empresas necesitan comenzar con el mismo nivel de inversión. Pero sí deberían comenzar con un diagnóstico.
Un proceso razonable puede dividirse en ocho etapas.
1. Identificar qué datos personales trata la empresa
Clientes, trabajadores, proveedores, prospectos, usuarios del sitio web y cualquier otra persona cuyos datos sean tratados por la organización.
2. Mapear dónde están esos datos
No solamente en servidores propios.
También en aplicaciones SaaS, CRM, plataformas de marketing, servicios cloud, herramientas de comunicación, proveedores externos y sistemas de inteligencia artificial.
3. Crear o actualizar el Registro de Actividades de Tratamiento
El objetivo es documentar los tratamientos relevantes, sus finalidades, categorías de datos, responsables, destinatarios, bases de legitimidad y demás antecedentes necesarios.
4. Revisar las bases de legitimidad
La empresa debe poder explicar por qué está autorizada para realizar cada tratamiento de datos.
No todo se soluciona solicitando consentimiento.
5. Implementar un procedimiento para los derechos de los titulares
La organización debe saber quién recibe una solicitud, cómo verifica la identidad del solicitante, quién busca la información, quién responde y cómo queda registrada la gestión.
6. Revisar seguridad y gestión de incidentes
Hay que determinar qué ocurre cuando se pierde información, existe un acceso no autorizado o se produce una filtración.
7. Revisar contratos con terceros
Los proveedores que procesan datos por cuenta de la empresa también forman parte del ecosistema de tratamiento.
Por eso conviene revisar contratos, responsabilidades, medidas de seguridad y transferencias de información.
8. Actualizar las políticas y capacitar al equipo
Una política escrita no sirve de mucho si las personas que trabajan diariamente con los datos no saben qué deben hacer.
La protección de datos tiene que transformarse en una práctica organizacional.
¿Y qué pasa con la inteligencia artificial?
Este punto merece especial atención.
Cada vez más empresas están incorporando herramientas de inteligencia artificial para redactar documentos, analizar información, atender clientes, automatizar procesos o generar contenido.
Pero antes de introducir información personal en una herramienta de IA, la empresa debería preguntarse:
¿Qué datos estoy entregando? ¿Con qué finalidad? ¿Quién los procesa? ¿Dónde se almacenan? ¿Qué proveedor participa? ¿Qué controles existen?
La Ley 21.719 define, entre otras materias, conceptos relacionados con el tratamiento automatizado y la elaboración de perfiles. Además, establece obligaciones relacionadas con seguridad, transparencia y protección de los derechos de los titulares.
Esto significa que la adopción de IA también debería comenzar a integrarse dentro de la estrategia de gobierno de datos de las empresas.
No se trata de dejar de utilizar inteligencia artificial.
Se trata de utilizarla con reglas.
La oportunidad para las pymes
La conversación sobre la Ley 21.719 suele centrarse en las multas y en la complejidad regulatoria.
Pero existe otra lectura.
Una empresa que conoce sus datos también puede conocer mejor su negocio.
Cuando una organización identifica qué información recopila, por qué la necesita, dónde se encuentra y quién la utiliza, comienza a detectar duplicidades, procesos innecesarios, riesgos de seguridad y oportunidades de automatización.
La protección de datos puede convertirse, por tanto, en una oportunidad para ordenar la operación.
La propia Cámara de Comercio de Santiago ha advertido que la nueva normativa representa un cambio cultural para las empresas y que su implementación plantea desafíos particularmente importantes para las pymes.
Por eso, el cumplimiento no debería entenderse únicamente como un costo.
Bien implementado, puede convertirse en parte de la madurez digital de una organización.
La pregunta que debería hacerse hoy cada empresa
La pregunta no debería ser:
“¿Ya modificamos nuestra política de privacidad?”
Tampoco:
“¿Nos van a fiscalizar inmediatamente?”
La pregunta correcta es bastante más incómoda:
“Si mañana una persona nos solicita saber exactamente qué datos personales tenemos sobre ella, por qué los tenemos, dónde están, con quién los compartimos y cuánto tiempo los conservaremos, ¿podemos responderle con evidencia?”
Si la respuesta es no, todavía queda trabajo por hacer.
Y el estudio Deloitte–CCS demuestra que esta situación no es excepcional: una parte importante de las organizaciones chilenas todavía está en esa etapa de preparación.
El momento de prepararse es ahora
La eventual postergación de la Ley 21.719 puede entregar más tiempo, pero no elimina la necesidad de adaptación.
De hecho, puede ser una oportunidad para que las empresas hagan algo que normalmente se posterga: ordenar de verdad cómo administran la información de sus clientes, trabajadores y proveedores.
La nueva regulación no exige solamente documentos.
Exige procesos, responsabilidades, controles, seguridad, trazabilidad y capacidad de demostrar cumplimiento.
Y esa transformación no ocurre de un día para otro.
Para las empresas chilenas, especialmente las pymes, la recomendación es sencilla: comenzar por conocer los datos que ya están tratando, identificar los riesgos y construir progresivamente un sistema de cumplimiento acorde con su realidad.
Porque si existe un mensaje claro detrás del nuevo estudio Deloitte–CCS es este:
el principal problema no parece ser que las empresas no sepan que la Ley 21.719 existe. El problema es que todavía muchas no han convertido ese conocimiento en acciones concretas.
¿Quieres saber cómo está tu sitio web?
Si eres dueño de una micro o pequeña empresa, puedes comenzar por algo concreto: conocer qué tan preparado está tu sitio web frente a las exigencias actuales de protección de datos y privacidad.
En MenteGlobal hemos desarrollado CumplePyme, una herramienta que permite realizar un diagnóstico gratuito de tu sitio web para identificar posibles brechas y aspectos que deberías revisar.
No necesitas ser experto en tecnología ni en protección de datos. El objetivo es que puedas tener una primera visión de la situación de tu empresa y saber por dónde comenzar.
Haz tu diagnóstico gratuito en cumplepyme.menteglobal.com.
Porque cumplir no debería comenzar cuando llegue una fiscalización. Debería comenzar entendiendo dónde estás parado.
Fuentes consultadas
Biblioteca del Congreso Nacional de Chile — Ley N.º 21.719. Texto oficial de la normativa, incluyendo principios de tratamiento, derechos de los titulares, obligaciones de los responsables, seguridad, Agencia de Protección de Datos Personales y régimen sancionatorio.
BioBioChile — “Más de la mitad de empresas dice no estar preparada para la nueva Ley de Datos, según estudio”. Publicación del 11 de septiembre de 2026 que recoge los principales resultados del Deloitte Data Privacy Readiness Report 2026.
Comisión para el Mercado Financiero (CMF). Registro de la participación de la comisionada Bernardita Piedrabuena en el seminario Deloitte Data Privacy Readiness Report 2026, realizado junto con la Cámara de Comercio de Santiago.
Deloitte / Cámara de Comercio de Santiago — Data Privacy Readiness Report 2026. Estudio sobre el nivel de preparación de empresas chilenas frente a la nueva normativa, con una muestra de 91 organizaciones.
Nota sobre la entrada en vigencia: al momento de publicación de este artículo existe un proyecto del Ejecutivo para postergar la entrada en vigencia hasta el 1 de diciembre de 2027. Mientras dicho proyecto no sea aprobado, la fecha establecida en la Ley 21.719 continúa siendo el 1 de diciembre de 2026.