A Lei 21.719 reescreve a Lei 19.628 e obriga toda empresa que trate dados de pessoas no Chile: bases legais, resposta aos titulares, segurança, aviso de incidentes e multas de até 20.000 UTM. Veja o que ela exige da sua entidade e como a Snap Compliance ajuda a cumprir.
Em resumo
O que regula
Todo tratamento de dados de pessoas naturais feito por pessoa natural ou jurídica, inclusive órgãos públicos. Modifica a Lei 19.628, que passa a se chamar «sobre proteção dos dados pessoais» (art. 1).
Quem obriga
Quem decide as finalidades e os meios do tratamento e quem trata dados por conta dele, sem limite de porte. Também empresas sem sede no Chile que ofereçam bens ou serviços a pessoas no Chile ou monitorem seu comportamento (art. 1 bis).
Autoridade
Corporação autônoma criada pela lei para fiscalizar seu cumprimento: edita instruções gerais, resolve as reclamações dos titulares, sanciona e certifica os modelos de prevenção de infrações (arts. 30, 30 bis e 51).
Vigência
A lei foi publicada no Diario Oficial em 13 de dezembro de 2024 e suas modificações à Lei 19.628 vigoram a partir de 1º de dezembro de 2026. O Decreto 662, que regulamenta o modelo de prevenção de infrações, foi publicado em 9 de setembro de 2026.
O que exige
Os princípios de licitude, finalidade, proporcionalidade, qualidade, responsabilidade, segurança, transparência e confidencialidade (art. 3) se traduzem em deveres concretos, e em todos o responsável precisa conseguir demonstrar que os cumpre.
Consentimento livre, informado, específico e revogável, ou outra base legal: obrigação legal, contrato ou medidas pré-contratuais, interesse legítimo ou defesa de um direito. Os dados sensíveis exigem consentimento expresso, salvo as exceções da lei (arts. 12, 13 e 16).
Publicar no seu site ou meio equivalente a política de tratamento com data e versão, os dados tratados, suas finalidades e bases, os destinatários, as transferências internacionais, os prazos de conservação, as medidas de segurança e as decisões automatizadas que use (art. 14 ter).
Atender acesso, retificação, eliminação, oposição, portabilidade e bloqueio em até 30 dias corridos, prorrogáveis uma vez, e o bloqueio temporário em 2 dias úteis, com mecanismos simples e registro de cada resposta (arts. 4 a 11).
Medidas técnicas e organizacionais desde a concepção e por padrão, e segurança proporcional ao risco —pseudonimização e criptografia, confidencialidade, integridade, disponibilidade e resiliência, recuperação após incidentes e verificação periódica—. Diante de um incidente, o responsável deve comprovar que existiam e funcionavam (arts. 14 quáter e 14 quinquies).
Avisar a Agência sem demora indevida quando houver risco razoável para os titulares e registrar cada caso; se afetar dados sensíveis, de crianças menores de 14 anos ou sobre obrigações financeiras ou comerciais, avisar também cada titular (art. 14 sexies).
Antes de começar, quando houver perfilamento com efeitos jurídicos significativos, tratamento em grande escala, monitoramento sistemático de áreas públicas ou dados sensíveis sem consentimento. Não fazê-la, quando exigida, é infração gravíssima (arts. 15 ter e 34 quáter).
O encargo deve constar de um contrato com objeto, duração, finalidade, dados e titulares; o encarregado não pode subcontratar sem autorização escrita e, ao final, elimina ou devolve os dados. Cada cessão a outro responsável também é formalizada por escrito (arts. 15 e 15 bis).
Somente para países com nível adequado declarado pela Agência ou com cláusulas contratuais, normas corporativas vinculantes ou certificações que deem garantias adequadas; sem elas, apenas transferências específicas e não habituais (arts. 27 e 28).
Consequências
As infrações são classificadas em leves, graves e gravíssimas (arts. 34 bis a 34 quáter). A Agência pode aplicar advertência escrita ou multa de até 5.000 UTM às leves, até 10.000 UTM às graves e até 20.000 UTM às gravíssimas, e fixa medidas corretivas que devem ser adotadas em 60 dias, com acréscimo de 50% se não forem cumpridas (art. 35). A reincidência —duas ou mais sanções em 30 meses— permite até o triplo, e uma empresa que não seja de pequeno porte e reincida em infração grave ou gravíssima arrisca até 2% ou 4% da sua receita anual do negócio. As gravíssimas reiteradas em 24 meses permitem suspender o tratamento por até 30 dias (art. 38), e cada sanção fica cinco anos no Registro Nacional de Sanciones y Cumplimiento (art. 39). O titular afetado pode ainda pedir indenização pelo dano (art. 47). No primeiro ano de vigência, a Agência pode aplicar às empresas de pequeno porte uma advertência escrita no lugar da multa (art. sexto transitório).
Como resolvemos
Comece pelo Diagnóstico Lei 21.719, gratuito: um questionário guiado de 16 domínios que entrega a classificação geral, os achados bloqueantes, a exposição estimada a multas, um plano de ação em quatro ondas e quais documentos fecham cada lacuna. O Toolkit Lei 21.719 reúne 38 documentos Word editáveis, em espanhol e com pagamento único, organizados em oito fases: do inventário de tratamentos ao dossiê de certificação do modelo de prevenção de infrações. Para operar o compliance ao longo do tempo, o Compliance Agent incorpora a Lei 21.719 ao seu catálogo de regulações e riscos, com a matriz de riscos que o Decreto 662 pede, avaliações, KRIs, planos de ação com acompanhamento e monitoramento de mudanças regulatórias. E o Canal de Denúncias Anônimas foi pensado para a denúncia interna com sigilo de identidade que o regulamento exige do modelo.
Módulos da Snap Compliance
Revisamos com você onde sua entidade está diante destas normas e o que falta para deixar isso demonstrado.
Falar com um especialistaLucia
Assistente virtual · Snap Compliance
Antes de comecar
Sou a Lucia, vou te atender por aqui e ajudar com o que voce precisar da Snap Compliance.
Tratamos seus dados de acordo com as leis e normas aplicaveis.