La Ley 21.719 reescribe la Ley 19.628 y obliga a toda empresa que trate datos de personas en Chile: bases de licitud, respuesta a los titulares, seguridad, aviso de vulneraciones y multas de hasta 20.000 UTM. Vea qué le exige y cómo Snap Compliance le ayuda a cumplirlo.
En resumen
Qué regula
Todo tratamiento de datos de personas naturales que haga una persona natural o jurídica, incluidos los órganos públicos. Modifica la Ley 19.628, que pasa a llamarse «sobre protección de los datos personales» (art. 1).
A quién obliga
A quien decide los fines y medios del tratamiento y a quien trata datos por su cuenta, sin umbral de tamaño. También a empresas sin sede en Chile que ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento (art. 1 bis).
Autoridad
Corporación autónoma creada por la ley para fiscalizar su cumplimiento: dicta instrucciones generales, resuelve los reclamos de los titulares, sanciona y certifica los modelos de prevención de infracciones (arts. 30, 30 bis y 51).
Vigencia
La ley se publicó en el Diario Oficial el 13 de diciembre de 2024 y sus modificaciones a la Ley 19.628 rigen desde el 1 de diciembre de 2026. El Decreto 662, que reglamenta el modelo de prevención de infracciones, se publicó el 9 de septiembre de 2026.
Qué exige
Los principios de licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad (art. 3) se traducen en deberes concretos, y en todos el responsable debe poder demostrar que los cumple.
Consentimiento libre, informado, específico y revocable, u otra fuente legal: obligación legal, contrato o medidas precontractuales, interés legítimo o defensa de un derecho. Los datos sensibles exigen consentimiento expreso salvo las excepciones de la ley (arts. 12, 13 y 16).
Publicar en su sitio web u otro medio equivalente la política de tratamiento con fecha y versión, los datos que trata, sus finalidades y bases, los destinatarios, las transferencias internacionales, los plazos de conservación, las medidas de seguridad y las decisiones automatizadas que use (art. 14 ter).
Atender acceso, rectificación, supresión, oposición, portabilidad y bloqueo dentro de 30 días corridos, prorrogables una vez, y el bloqueo temporal en 2 días hábiles, con mecanismos sencillos y respaldo de cada respuesta (arts. 4 a 11).
Medidas técnicas y organizativas desde el diseño y por defecto, y seguridad acorde al riesgo —seudonimización y cifrado, confidencialidad, integridad, disponibilidad y resiliencia, recuperación ante incidentes y verificación periódica—. Ante un incidente, el responsable debe acreditar que existían y funcionaban (arts. 14 quáter y 14 quinquies).
Avisar a la Agencia sin dilaciones indebidas cuando haya riesgo razonable para los titulares y registrar cada caso; si afecta datos sensibles, de niños menores de 14 años o sobre obligaciones financieras o comerciales, avisar además a cada titular (art. 14 sexies).
Antes de empezar, cuando haya perfilamiento con efectos jurídicos significativos, tratamiento masivo, monitoreo sistemático de zonas públicas o datos sensibles sin consentimiento. No hacerla, cuando corresponde, es infracción gravísima (arts. 15 ter y 34 quáter).
El encargo debe constar en un contrato con su objeto, duración, finalidad, datos y titulares; el encargado no puede delegar sin autorización escrita y, al terminar, suprime o devuelve los datos. Cada cesión a otro responsable también consta por escrito (arts. 15 y 15 bis).
Solo hacia países con nivel adecuado declarado por la Agencia o con cláusulas contractuales, normas corporativas vinculantes o certificaciones que den garantías adecuadas; sin ellas, solo transferencias específicas y no habituales (arts. 27 y 28).
Consecuencias
Las infracciones se califican en leves, graves y gravísimas (arts. 34 bis a 34 quáter). La Agencia puede aplicar amonestación escrita o multa de hasta 5.000 UTM a las leves, hasta 10.000 UTM a las graves y hasta 20.000 UTM a las gravísimas, y fija medidas correctivas que deben adoptarse en 60 días, con un recargo del 50% si no se cumplen (art. 35). La reincidencia —dos o más sanciones en 30 meses— permite hasta el triple, y una empresa que no sea de menor tamaño y reincida en una infracción grave o gravísima arriesga hasta el 2% o el 4% de sus ingresos anuales del giro. Las gravísimas reiteradas en 24 meses permiten suspender el tratamiento hasta por 30 días (art. 38), y cada sanción queda cinco años en el Registro Nacional de Sanciones y Cumplimiento (art. 39). El titular afectado puede además pedir indemnización del daño (art. 47). Durante el primer año de vigencia, a las empresas de menor tamaño la Agencia puede aplicarles una amonestación escrita en lugar de multa (art. sexto transitorio).
Cómo lo resolvemos
Empiece por el Diagnóstico Ley 21.719, gratuito: un cuestionario guiado de 16 dominios que le entrega su calificación global, los hallazgos bloqueantes, la exposición estimada a multas, un plan de acción en cuatro olas y qué documentos cierran cada brecha. El Toolkit Ley 21.719 reúne 38 documentos Word editables, en español y de pago único, organizados en ocho fases: del inventario de tratamientos al expediente de certificación del modelo de prevención de infracciones. Para operar el cumplimiento en el tiempo, Compliance Agent incorpora la Ley 21.719 a su catálogo de regulaciones y riesgos, con la matriz de riesgos que pide el Decreto 662, evaluaciones, KRIs, planes de acción con seguimiento y monitoreo de cambios regulatorios. Y el Canal de Denuncias Anónimas está pensado para la denuncia interna con reserva de identidad que el reglamento exige al modelo.
Módulos de Snap Compliance
Revisamos con usted dónde está su entidad frente a esta normativa y qué le falta para dejarlo demostrado.
Hablar con un especialistaLucía
Asistente virtual · Snap Compliance
Antes de empezar
Soy Lucía, te estaré brindando asistencia por este medio y ayudarte con lo que necesites de Snap Compliance.
Tratamos tus datos conforme a las leyes y normativas aplicables.