La Ley 21.719 es la nueva Ley de Protección de Datos Personales de Chile. Fue publicada el 13 de diciembre de 2024, entra en vigencia plena el 1 de diciembre de 2026 y reemplaza en la práctica el marco de la Ley 19.628, que regía desde 1999. El cambio más importante no es un artículo: es que por primera vez existe una autoridad — la Agencia de Protección de Datos Personales — con facultades reales para fiscalizar y multar.
Por qué esta ley cambia las reglas del juego
Bajo la Ley 19.628, las infracciones a la protección de datos casi no tenían consecuencias: no existía autoridad fiscalizadora y las multas — solo por vía judicial — eran simbólicas. La Ley 21.719 alinea a Chile con estándares como el GDPR europeo y cambia tres cosas de fondo:
- Crea la Agencia de Protección de Datos Personales, que puede fiscalizar de oficio, investigar denuncias y sancionar directamente.
- Eleva las multas desde máximos de ~50 UTM a tramos de 5.000, 10.000 y 20.000 UTM según la gravedad.
- Refuerza los derechos de las personas: acceso, rectificación, supresión, oposición, portabilidad y bloqueo, incluida la oposición a decisiones automatizadas.
¿Quién está obligado?
Toda organización — pública o privada, grande o pyme — que trate datos personales de personas en Chile. En la práctica, esto incluye a casi cualquier empresa:
- Tienes clientes o prospectos en un CRM o en planillas.
- Vendes por e-commerce o atiendes por WhatsApp.
- Envías campañas de correo electrónico o publicidad segmentada.
- Tienes trabajadores (datos laborales y de salud) o recibes currículums.
- Operas con datos de pacientes, alumnos, arrendatarios o deudores.
El tamaño de la empresa no exime del cumplimiento. Lo que existe es un régimen especial pyme (Ley 20.416): durante el primer año de vigencia — hasta el 1 de diciembre de 2027 — las empresas de menor tamaño reciben una amonestación escrita en lugar de multa. Pero esa amonestación queda registrada y pesa en futuras fiscalizaciones.
Las multas: leves, graves y gravísimas
| Tramo | Multa máxima | Ejemplos de infracción |
|---|---|---|
| Leve | Hasta 5.000 UTM | No publicar la política de privacidad, no responder una solicitud de acceso en plazo, registro de tratamientos desactualizado. |
| Grave | Hasta 10.000 UTM | Tratar datos sin consentimiento u otra base legal, no notificar una brecha de seguridad, seguridad insuficiente, transferencias al extranjero sin garantías. |
| Gravísima | Hasta 20.000 UTM | Tratar datos sensibles sin habilitación, ceder datos sin autorización, ocultar deliberadamente una vulneración, obstruir una fiscalización. |
A esto se suman sanciones accesorias: la Agencia puede suspender operaciones de tratamiento hasta por 30 días — imagina un e-commerce sin poder procesar datos de clientes durante un mes — y las sanciones quedan en un registro público. Además, la responsabilidad alcanza a los directivos: la protección de datos dejó de ser un tema delegable al área de TI y pasó a ser agenda de directorio.
Las obligaciones operativas: qué debe tener lista tu empresa
Cumplir la Ley 21.719 no es firmar un documento; es operar distinto todos los días. Este es el checklist mínimo:
- Registro de actividades de tratamiento: inventario de qué datos tienes, dónde viven (CRM, ERP, planillas, correo), con qué finalidad, base legal y plazo de conservación.
- Política de privacidad obligatoria y avisos claros al recolectar datos.
- Bases de licitud documentadas: consentimiento u otra base legal para cada tratamiento (marketing, cobranza, RR.HH., analítica).
- Canal de derechos: un mecanismo real para que las personas soliciten acceso, rectificación, supresión, oposición o portabilidad — y un flujo interno que responda dentro de plazo y deje registro.
- Medidas de seguridad proporcionales al riesgo, y contratos con los encargados que procesan datos por ti.
- Protocolo de brechas: detectar, clasificar y notificar vulneraciones de seguridad a la Agencia; la omisión deliberada en datos sensibles es infracción gravísima.
- Garantías para transferencias internacionales si usas nubes o servicios fuera de Chile.
- Modelo de prevención de infracciones: opcional pero valioso — un programa de cumplimiento certificable opera como atenuante, similar al modelo de la Ley 20.393.
El problema real: sostener el cumplimiento en el tiempo
La mayoría de las empresas puede levantar los documentos una vez. Lo difícil es que el registro siga actualizado, que ninguna solicitud venza y que cada consentimiento quede registrado — todos los días, en todos los canales. Esa capa operativa es la que implementa SyncManager: un módulo de compliance integrado a tu CRM y ERP, con un agente IA que controla y monitorea el cumplimiento.
Ver módulo Compliance Ley 21.719 IA para empresas en ChileCómo ayuda la IA al cumplimiento (sin perder el control)
La ley exige plazos, registros y trazabilidad — exactamente el tipo de trabajo repetitivo y crítico donde un proceso autónomo gobernado aporta más. Un agente IA de cumplimiento puede:
- Clasificar cada solicitud de un titular (¿acceso?, ¿supresión?, ¿oposición?) y abrir el caso con su plazo legal.
- Alertar antes de que un plazo venza y escalar si nadie ha actuado.
- Detectar inconsistencias: contactos sin base de licitud, campañas dirigidas a personas que se opusieron, datos fuera de su plazo de conservación.
- Preparar el expediente de evidencia de cada caso, listo para una fiscalización.
La clave es la gobernanza: el agente propone y documenta; las personas aprueban. Las decisiones sensibles siempre pasan por un humano — que es además lo coherente con el espíritu de la propia ley sobre decisiones automatizadas.
¿Cuándo empezar?
Ahora. Levantar el registro de tratamientos, ajustar los consentimientos, montar el canal de derechos, definir el protocolo de brechas y capacitar al equipo toma meses. Las empresas que empiecen cerca de la fecha llegarán con documentos recién impresos y cero evidencia de operación; las que empiecen antes llegarán con el modelo funcionando y meses de trazabilidad acumulada — que es lo que la Agencia va a querer ver.
Si quieres hacerlo por tu cuenta, publicamos una guía práctica de implementación paso a paso: cómo designar al responsable, la matriz de levantamiento de datos, el checklist de brechas del artículo 14 ter, el catálogo, la política de tratamiento, los protocolos y un cronograma realista de 4 meses.
Diagnóstico de brechas Ley 21.719
En una sesión de discovery mapeamos qué datos trata tu empresa, dónde están y qué distancia hay con las obligaciones de la ley. De ahí sale un plan por fases para llegar al 1 de diciembre de 2026 con el cumplimiento operando.
Agendar diagnóstico Hablar por WhatsAppPreguntas frecuentes
¿La Ley 21.719 aplica si mi empresa es pequeña?
Sí. La obligación de cumplir es para todos. Lo que cambia para las pymes es el régimen sancionatorio del primer año (amonestación escrita en lugar de multa, hasta el 1 de diciembre de 2027).
¿Qué pasa con los datos que ya tengo en mi CRM?
Debes poder acreditar una base de licitud para seguir tratándolos y responder los derechos de esos titulares. Parte del diagnóstico es justamente revisar la base instalada: qué se puede seguir usando, qué requiere reconsentimiento y qué corresponde suprimir o anonimizar.
¿Necesito un delegado o responsable de protección de datos?
La ley contempla la figura y las empresas con tratamiento intensivo de datos deberían designar un responsable con panel e información al día. Aunque no sea exigible en todos los casos, alguien tiene que responder cuando la Agencia pregunte.
¿Un software me hace "cumplir" la ley?
No por sí solo. El cumplimiento combina definiciones legales (políticas, bases de licitud, contratos) con operación diaria (registros, plazos, evidencia). El software y el agente IA resuelven lo segundo y hacen sostenible lo primero. Por eso trabajamos en conjunto con la asesoría legal de cada empresa.
Si quieres profundizar en cómo diseñamos agentes con autonomía gobernada, revisa el Modelo EPA™ y nuestra guía de procesos autónomos. Y si tu empresa opera en Chile, aquí está el detalle del módulo de compliance Ley 21.719 con agente IA.