El 1 de diciembre de 2026 marca un punto de no retorno para el tratamiento de la información en Chile. Con la entrada en vigencia de la Ley 21.719 y su reciente reglamento, la protección de la vida privada deja de ser una buena práctica para convertirse en un requisito de gobernanza corporativa con dientes legales. ¿Está su organización preparada o expuesta?
Durante años, el cumplimiento en materia de datos se limitó a publicar un aviso de privacidad en el pie de página de un sitio web. Esa era ha terminado. La nueva normativa, que crea la Agencia de Protección de Datos Personales, eleva el estándar a niveles similares al RGPD europeo, introduciendo principios de licitud, transparencia, seguridad y responsabilidad proactiva (accountability).
Si se pregunta qué necesita su organización para estar en regla, la respuesta va más allá de un documento legal. Requiere una transformación operativa estructurada en cuatro pilares fundamentales.
1. Gobernanza clara: El rol del Delegado de Protección de Datos (DPO)
La ley y su reglamento (Decreto N° 662) establecen una figura central: el Delegado de Protección de Datos. Aunque su designación es obligatoria principalmente para quienes adopten un Modelo de Prevención de Infracciones, se ha convertido en el estándar de oro para cualquier organización que trate datos de manera sistemática.
¿Qué necesita saber?
- Autonomía real: El DPO debe tener independencia funcional y rendir cuentas directamente a la máxima autoridad (Directorio o Gerencia General).
- Idoneidad demostrable: No basta con asignar el rol a alguien de TI o Legal. La Agencia exigirá acreditar conocimientos especializados y actualizados en la materia.
- Funciones tangibles: Desde asesorar en la elaboración de políticas y supervisar el cumplimiento, hasta actuar como punto de contacto con la Agencia y los titulares de los datos.
2. Visibilidad total: Registro de Actividades y Evaluación de Impacto (EIPD)
No se puede proteger lo que no se conoce. El reglamento exige una caracterización detallada de las operaciones de tratamiento. Su empresa necesita responder con precisión: ¿Qué datos tratamos? ¿De dónde vienen? ¿Cuál es la base de licitud? ¿Compartimos datos con terceros o al extranjero?
El punto crítico: Si su empresa realiza evaluaciones sistemáticas de personas (elaboración de perfiles o profiling), trata datos a gran escala o maneja datos sensibles (salud, biométricos, financieros), la Evaluación de Impacto en Protección de Datos (EIPD) es un requisito previo e ineludible (Art. 15 ter de la Ley).
3. Seguridad «desde el diseño y por defecto»
La normativa consagra el principio de Privacy by Design. Esto significa que la protección de datos no es un parche que se aplica al final de un proyecto, sino un requisito que se integra desde la concepción de cualquier producto, servicio o proceso interno.
Acciones concretas requeridas:
- Implementar medidas técnicas como la seudonimización y el cifrado.
- Establecer protocolos de respuesta ante incidentes de seguridad. La ley obliga a reportar vulneraciones a la Agencia (y a los afectados, si hay riesgo alto) «sin dilaciones indebidas».
- Asegurar que, por defecto, solo se recojan los datos estrictamente necesarios para la finalidad declarada.
4. Canales ágiles para los nuevos derechos ARCO+
Los titulares de datos ahora tienen derechos ampliados y exigibles: Acceso, Rectificación, Supresión, Oposición y, como gran novedad, Portabilidad de los datos.
Su organización debe implementar mecanismos tecnológicos que permitan atender estas solicitudes de forma gratuita, expedita y trazable. Responder fuera del plazo legal (30 días, prorrogables por 30 más) o denegar sin causa justificada se califica como una infracción leve o grave, según el caso.
El Modelo de Prevención de Infracciones: ¿Obligatorio o estratégico?
La ley permite adoptar voluntariamente un Modelo de Prevención de Infracciones (un programa de cumplimiento o compliance específico en datos). Aunque es voluntario, ignorarlo es un error estratégico.
¿Por qué? Porque la Agencia de Protección de Datos puede considerar la certificación de este modelo como una circunstancia atenuante de responsabilidad ante una sanción (Art. 36, Ley 21.719). En un escenario donde las multas por infracciones gravísimas pueden alcanzar las 20.000 UTM, e incluso incluir la suspensión temporal de las actividades de tratamiento de datos, contar con un modelo certificado no es un gasto, es un seguro de vida corporativo.
Hoja de ruta inmediata: El reloj avanza
Con la vigencia de la ley a las puertas, la improvisación es el mayor riesgo. Le sugerimos iniciar hoy mismo las siguientes acciones:
- Diagnóstico de brechas (Gap Analysis): Compare sus prácticas actuales con los principios de la Ley 21.719.
- Designación y capacitación del DPO: Identifique al profesional idóneo y bríndele los recursos necesarios.
- Actualización de contratos: Revise sus acuerdos con terceros mandatarios (encargados de tratamiento) para incluir las cláusulas de confidencialidad, seguridad y responsabilidad solidaria que exige la ley.
- Diseño del Programa de Cumplimiento: Estructure su Modelo de Prevención de Infracciones alineado a los requisitos del Reglamento del Ministerio de Hacienda.
No espere a la primera fiscalización
La nueva Agencia de Protección de Datos Personales tendrá amplias facultades de fiscalización, instrucción y sanción. Cumplir con la Ley 21.719 no es solo evitar multas; es construir confianza digital con sus clientes, colaboradores y socios comerciales.
En MenteGlobal acompañamos a las organizaciones en esta transición normativa, transformando el cumplimiento legal en una ventaja competitiva. ¿Necesita evaluar el estado de madurez de su organización frente a la nueva ley?
👉 Contáctenos hoy para agendar un diagnóstico preliminar de cumplimiento de datos personales.