La Agencia de Protección de Datos Personales puede multar a tu empresa con hasta 20.000 UTM por una infracción gravísima, y en caso de reincidencia el monto puede llegar al 4% de los ingresos anuales. Eso no es una amenaza abstracta: es el techo sancionatorio de la Ley 21.719, que entra en vigencia el 1 de diciembre de 2026. Para una pyme, entender cuánto arriesga y en qué casos es el primer paso para decidir qué hacer antes de esa fecha.
Las tres categorías de infracciones y sus multas
La Ley 21.719 divide las infracciones en tres grupos según su gravedad. Cada uno tiene un techo de multa en unidades tributarias mensuales, cuyo valor lo fija mensualmente el Servicio de Impuestos Internos. En septiembre de 2026, por ejemplo, una UTM equivale aproximadamente a 68.000 pesos chilenos, pero ese número cambia todos los meses. Por eso la ley habla en UTM, no en pesos.
Infracciones leves: hasta 5.000 UTM
Una infracción leve puede sancionarse con amonestación escrita o con multa de hasta 5.000 UTM. Entre las conductas que entran en esta categoría están omitir la respuesta a una solicitud del titular de datos, responder fuera de plazo o de forma incompleta, no designar un canal de contacto actualizado y operativo para que los titulares ejerzan sus derechos, y no enviar a la Agencia las comunicaciones obligatorias que establezca la ley o sus reglamentos.
También se considera leve cualquier otra infracción que no esté calificada expresamente como grave o gravísima. Eso significa que si tu empresa comete un incumplimiento menor y no hay mala fe ni daño evidente, la Agencia tiene margen para aplicar solo una amonestación. Pero si hay descuido reiterado o falta de respuesta, la multa puede llegar a 5.000 UTM.
Infracciones graves: hasta 10.000 UTM
Las infracciones graves se sancionan con multa de hasta 10.000 UTM. Entre ellas están tratar datos personales sin contar con el consentimiento del titular o sin otra base de licitud válida, realizar operaciones de transferencia internacional de datos en contravención a las normas de la ley, e incumplir una resolución o un requerimiento específico y directo que haya impartido la Agencia.
Una pyme de quince personas que use una herramienta en la nube para gestionar datos de clientes sin verificar si ese proveedor cumple con los requisitos de transferencia internacional puede estar cometiendo una infracción grave sin saberlo. El mismo problema aparece cuando se sigue tratando datos después de que la Agencia ordenó suspender esa operación.
Infracciones gravísimas: hasta 20.000 UTM
Las infracciones gravísimas se sancionan con multa de hasta 20.000 UTM. Aquí entran conductas como efectuar tratamiento de datos de forma fraudulenta, destinar maliciosamente los datos a una finalidad distinta de la consentida por el titular, comunicar o ceder información no veraz a sabiendas, vulnerar el deber de secreto o confidencialidad, realizar transferencias internacionales de datos sabiendo que incumplen la ley, entregar información falsa en el proceso de certificación del modelo de prevención de infracciones, e incumplir la obligación de notificar una vulneración de seguridad cuando corresponda.
La diferencia entre una infracción grave y una gravísima muchas veces está en la intención o el conocimiento: si la empresa sabía que estaba incumpliendo o si actuó con malicia, la calificación sube. Un ejemplo concreto: no responder una solicitud de acceso es leve; tratar datos sin consentimiento es grave; pero vender esos datos a un tercero sin autorización y a sabiendas es gravísimo.
El tope del 2% y el 4% de los ingresos anuales
Para empresas que no sean de menor tamaño —es decir, aquellas que no cumplen la definición de la Ley 20.416— y que reincidan en infracciones graves o gravísimas, la multa puede alcanzar hasta el 2% o el 4% de los ingresos anuales por ventas, servicios y otras actividades del giro en el último año calendario, según se trate de infracciones graves o gravísimas respectivamente. La Agencia aplicará el monto que sea más gravoso entre ese porcentaje y el techo en UTM.
Esto significa que una empresa con ingresos anuales de 500 millones de pesos que reincida en una infracción gravísima puede recibir una multa de hasta 20 millones de pesos, sin importar que el techo en UTM sea inferior. El criterio de reincidencia se entiende en los términos que establece la propia ley: cometer una nueva infracción de la misma categoría dentro de un plazo determinado.
Para las empresas de menor tamaño, el tope sigue siendo el monto en UTM, aunque reincidan. Esa diferencia reconoce que una pyme de diez personas no tiene la misma capacidad económica que una empresa de doscientos trabajadores, pero no la exime de cumplir.
Cómo se calcula el monto concreto de cada multa
La Agencia no aplica automáticamente el techo máximo. La ley establece ocho criterios que debe ponderar de forma prudencial para fijar el monto de cada multa:
- La gravedad de la conducta.
- Si hubo falta de diligencia o cuidado, en aquellos casos donde esos elementos no forman parte de la configuración de la infracción.
- El perjuicio producido, especialmente el número de titulares afectados.
- El beneficio económico obtenido con motivo de la infracción, si lo hubo.
- Si el tratamiento incluyó datos sensibles o datos de niños, niñas y adolescentes.
- La capacidad económica del infractor.
- Las sanciones aplicadas con anterioridad por la Agencia en las mismas circunstancias.
- Las circunstancias atenuantes y agravantes que concurran.
Esto significa que una infracción grave que afectó a cinco personas y se corrigió rápidamente puede recibir una multa de 500 UTM, mientras que la misma infracción que afectó a mil personas y se mantuvo durante meses puede acercarse al techo de 10.000 UTM. El criterio de capacidad económica también permite ajustar la sanción para que sea proporcionada: una multa que paraliza a una pyme de ocho personas no cumple el mismo propósito disuasivo que una multa que apenas afecta el flujo de caja de una empresa grande.
Circunstancias atenuantes que pueden reducir la multa
La ley reconoce cuatro circunstancias atenuantes que la Agencia debe considerar al momento de fijar el monto:
- Las acciones unilaterales de reparación que realice el responsable y los acuerdos reparatorios convenidos con los titulares afectados.
- La colaboración que el infractor preste en la investigación administrativa.
- La ausencia de sanciones previas del responsable de datos.
- La autodenuncia ante la Agencia, siempre que se comuniquen también las medidas adoptadas para subsanar la infracción.
Una empresa que detecta un error en el tratamiento de datos, lo notifica a la Agencia antes de que llegue un reclamo, repara el daño y colabora en la investigación tiene margen para reducir significativamente la multa. La autodenuncia no elimina la sanción, pero sí puede marcar la diferencia entre una amonestación y una multa de varios millones.
Qué pasa si no se corrige la infracción en el plazo dado
Cuando la Agencia sanciona una infracción, señala también las medidas que el responsable debe adoptar para subsanar las causas que dieron motivo a la sanción. El plazo para implementar esas medidas no puede ser mayor a sesenta días. Si la empresa no las adopta dentro de ese plazo, la ley establece un recargo del 50% sobre la multa cursada.
Ese recargo no es una segunda multa: es un aumento automático de la primera. Si la multa original fue de 2.000 UTM y no se corrigió nada en sesenta días, la multa sube a 3.000 UTM. Y si después de eso la empresa sigue sin cumplir, la Agencia puede aplicar otras sanciones accesorias, como la suspensión de las operaciones de tratamiento.
El papel del modelo de prevención de infracciones
Tener un modelo de prevención de infracciones certificado y registrado ante la Agencia no exime de responsabilidad si se comete una infracción, pero puede operar como atenuante. La lógica es la siguiente: si la empresa implementó un sistema de cumplimiento serio, lo certificó y lo mantuvo, y aun así ocurrió una infracción por falla de una persona específica, la Agencia puede considerar que hubo diligencia del responsable.
El modelo también permite que, en ciertos casos, la sanción recaiga sobre la persona que incumplió el sistema en lugar de sobre la empresa completa. Eso está regulado en el reglamento de modelos de prevención, y no es automático: depende de que el modelo esté vigente, sea efectivo y la empresa haya actuado de buena fe.
Preguntas frecuentes
¿Una pyme puede recibir una multa de 20.000 UTM aunque sea su primera infracción?
Sí, si la infracción es gravísima y concurren varios de los criterios agravantes que establece la ley. Pero en la práctica, la Agencia debe ponderar la capacidad económica del infractor y aplicar el monto de forma prudencial. Una primera infracción sin daño masivo ni mala fe difícilmente llegará al techo máximo, pero la posibilidad legal existe.
¿El valor de la UTM que se usa para calcular la multa es el del mes en que ocurrió la infracción o el del mes en que se aplica la sanción?
La ley no lo especifica, pero el criterio general en derecho administrativo sancionatorio es que se aplica el valor vigente al momento de dictarse la resolución que impone la multa. Eso significa que una multa de 5.000 UTM fijada en septiembre de 2027 se convierte a pesos usando el valor de la UTM de ese mes, no del mes en que ocurrió la conducta.
¿Una empresa de menor tamaño puede recibir el tope del 2% o 4% de sus ingresos si reincide?
No. El tope porcentual sobre ingresos anuales solo aplica a empresas que no sean de menor tamaño según la definición de la Ley 20.416. Para las empresas de menor tamaño, el techo sigue siendo el monto en UTM, aunque reincidan. Eso no significa que la multa será baja: 10.000 o 20.000 UTM siguen siendo cifras que pueden comprometer seriamente la operación de una pyme.
¿Qué pasa si una empresa no puede pagar la multa?
La multa es una sanción administrativa, no una deuda civil. Si la empresa no la paga, la Agencia puede iniciar el cobro ejecutivo a través de la Tesorería General de la República. Además, la multa impaga queda registrada en el Registro Nacional de Sanciones y Cumplimiento, que es público. Eso puede afectar la capacidad de la empresa para participar en licitaciones públicas o para obtener financiamiento.
Qué hacer antes de que llegue la multa
El mejor momento para revisar el cumplimiento es antes de que la Agencia abra un procedimiento sancionatorio. Una empresa que ordena sus bases de licitud, documenta sus procesos de tratamiento, capacita a su equipo y responde a tiempo las solicitudes de los titulares reduce drásticamente el riesgo de recibir una multa grave.
Si ya hay un reclamo o una notificación de la Agencia, colaborar en la investigación y adoptar medidas correctivas rápidas puede marcar la diferencia entre una amonestación y una sanción de varios millones. Y si la empresa detecta una infracción antes de que llegue el reclamo, la autodenuncia acompañada de un plan de corrección es la mejor carta que puede jugar.
Para entender el alcance completo de las obligaciones que impone la nueva normativa, revisa la guía completa de la Ley 21.719. Si tu empresa necesita ordenar el cumplimiento antes del 1 de diciembre de 2026, CumplePyme entrega los documentos, las políticas y el acompañamiento que necesitas para reducir el riesgo de forma realista.