Paso a paso, instrumento por instrumento: cómo llegar al 1 de diciembre de 2026 con el cumplimiento de la nueva Ley de Protección de Datos Personales operando — no solo documentado.
Adaptada para empresas privadas a partir de la guía oficial de la Secretaría de Gobierno Digital, con cronograma actualizado al tiempo que realmente queda.
La Ley 21.719 — publicada el 13 de diciembre de 2024, con vigencia plena el 1 de diciembre de 2026 — reforma íntegramente la Ley 19.628 y crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y aplicar multas de hasta 20.000 UTM. Si aún no conoces la ley en detalle, parte por nuestra guía introductoria de la Ley 21.719.
Esta guía práctica está basada en la metodología oficial que la Secretaría de Gobierno Digital publicó para los órganos del Estado, pero adaptada a empresas privadas y actualizada al tiempo que realmente queda antes de la vigencia. La lógica es la misma y funciona: partir por lo organizativo (responsable, proyecto, comité), levantar información, y bajar progresivamente a lo técnico (catálogo, política, protocolos).
Catálogo de datos, política de tratamiento publicada, canal de derechos operando y protocolos priorizados por riesgo.
Gerencias generales, legales, TI y operaciones de empresas de cualquier tamaño que tratan datos de clientes, trabajadores o proveedores.
Con dedicación real, el ciclo completo cabe en 4 meses. El cronograma detalla semana a semana.
No necesitas consultores ni software para dar el primer paso. Necesitas tres decisiones de gerencia:
La gerencia general designa a una persona que coordinará la implementación. En esta etapa importa más su capacidad de gestión y articulación interna que su perfil jurídico: debe poder convocar a comercial, TI, RR.HH. y finanzas, y hacer seguimiento de un proyecto transversal.
Si la empresa quiere, puede designar desde ya un delegado de protección de datos (figura que la ley reformada contempla, con requisitos de autonomía e independencia). En ese caso, el delegado asume también este rol para no duplicar funciones. Importante: la designación no traslada la responsabilidad — el cumplimiento sigue siendo responsabilidad de la administración de la empresa.
El responsable formaliza un proyecto con herramienta de seguimiento — puede ser tan simple como una planilla con hitos, responsables y plazos, o tu herramienta de gestión habitual. Lo importante es que exista un documento de inicio (acta o correo de gerencia) y un lugar único donde se registre el avance. Las tareas específicas se cargan después del levantamiento de información (fase 2).
La gerencia comunica internamente, al menos, que:
Por qué esto va primero: el error más común es partir redactando la política de privacidad. Una política escrita antes de saber qué datos tratas y dónde viven es un texto genérico que la Agencia puede contrastar fácilmente contra tu operación real — y la inconsistencia juega en contra.
Esta es la fase que sostiene todo lo demás. El responsable envía a cada área una matriz de levantamiento y las acompaña en reuniones de trabajo para completarla. El objetivo: saber exactamente qué datos personales trata la empresa, dónde, para qué y con qué respaldo legal.
Para cada tratamiento de datos, la matriz debe capturar:
| Campo | Ejemplo en una empresa |
|---|---|
| 1. Categoría o tipo de dato | Nombre, RUT, correo, teléfono, dirección, historial de compras, datos bancarios, CV. |
| 2. Universo de titulares | Clientes, prospectos, trabajadores, postulantes, proveedores, visitantes web. |
| 3. ¿Es dato sensible? | Salud (licencias médicas en RR.HH.), datos biométricos (control de acceso), situación socioeconómica. |
| 4. ¿Está en una base de datos? ¿Cuál? | CRM, ERP, planillas compartidas, correo, e-commerce, sistema de remuneraciones. |
| 5. Finalidad del tratamiento | Facturar, despachar, hacer marketing, pagar remuneraciones, evaluar postulantes. |
| 6. Base de licitud | Consentimiento, ejecución de contrato, obligación legal, interés legítimo. |
| 7. Fuente del dato | Formulario web, WhatsApp, compra en tienda, referido, base comprada (ojo aquí). |
| 8. Terceros a quienes se comunica | Courier, pasarela de pago, agencia de marketing, contador externo, matriz en el extranjero. |
| 9. Responsable interno | Dueño del proceso: jefe comercial, jefe de personas, encargado de e-commerce. |
| 10. Plazo de conservación | Duración del contrato + plazos tributarios/laborales; qué pasa después (eliminar o anonimizar). |
| 11. Sistemas y plataformas asociados | CRM, ERP, herramientas de IA, repositorios en la nube, plataformas de email marketing. |
| 12. Áreas con acceso | Ventas, soporte, finanzas — ¿y quién más tiene la clave de la planilla? |
| 13. Dónde se almacena físicamente | Nube (¿de qué proveedor y en qué país?), servidor propio, computador del contador. |
| 14. Transferencias internacionales | SaaS con servidores fuera de Chile: nombre del proveedor y ubicación de los servidores. |
| 15. Decisiones automatizadas y perfiles | Scoring de leads, segmentación automática, evaluación crediticia, agentes IA — con la lógica aplicada y sus consecuencias para el titular. |
| 16. Riesgos detectados | Planillas sin control de acceso, datos sensibles por WhatsApp personal, bases sin fecha de limpieza. |
Con la matriz completa, el responsable redacta un informe de hallazgos breve (5 a 10 páginas es suficiente) que identifique:
Para las brechas, usa este checklist basado en el artículo 14 ter de la ley reformada (deber de información y transparencia). Es la información que tu empresa deberá mantener permanentemente disponible al público en su sitio web:
Este informe se presenta a la mesa o comité de cumplimiento (fase 4), que es quien prioriza. No intentes cerrar todas las brechas a la vez: el informe sirve justamente para decidir qué va primero según riesgo.
Terminado el levantamiento (o antes, si la gerencia lo prefiere), se constituye una instancia que decide y prioriza. En una empresa grande será un comité ejecutivo; en una pyme basta una mesa de cumplimiento de dos o tres personas. Si ya existe un comité de datos, riesgos o seguridad de la información, puede asumir estas funciones — no multipliques instancias.
El primer entregable formal es el catálogo de datos personales que trata la empresa, construido a partir de la matriz de levantamiento. Un matiz importante: la ley chilena no exige expresamente un "registro de actividades de tratamiento" como el GDPR, pero el artículo 14 ter sí obliga a publicar información específica sobre los tratamientos — y la única forma ordenada de cumplirlo es tener ese catálogo al día.
El catálogo debe contener, por cada tratamiento:
Con el catálogo listo, la política deja de ser un texto genérico: describe lo que la empresa realmente hace. Debe contener, a lo menos:
Proceso de elaboración en 3 pasos:
La fase más técnica: convertir la política en reglas operativas, priorizando los riesgos altos que el comité identificó — no todos a la vez. Estos protocolos forman parte del modelo de prevención de infracciones (artículo 49 de la ley reformada), que es voluntario pero opera como atenuante y hace auditable el cumplimiento: la ley no solo exige medidas organizativas (comités, políticas), sino también técnicas (control de accesos, anonimización, cifrado, gestión de bases de datos).
Ejemplos de protocolos típicos en una empresa privada:
Quién accede a qué datos, con qué perfil, y qué pasa cuando alguien deja la empresa. Incluye las planillas compartidas, no solo los sistemas.
Cómo se recibe, registra, deriva y responde una solicitud de acceso, rectificación, supresión, oposición o portabilidad — con folio y plazo.
Cómo se detecta, clasifica y notifica una vulneración: quién decide, en qué plazo y con qué plantillas de comunicación a la Agencia y a los titulares.
Reglas para almacenar datos personales en Drive, OneDrive u otras nubes, y por qué medios se comparte información sensible (nunca por WhatsApp personal).
Procedimiento para responder requerimientos de tribunales, fiscalías u otras autoridades que impliquen compartir datos personales.
Si usas scoring, segmentación automática o agentes IA: qué lógica aplican, qué consecuencias tienen para el titular y cómo se informa. Clave si operas procesos autónomos.
Regla de oro: el área que va a operar el protocolo participa en redactarlo. Un protocolo escrito por legal sin la operación termina en un cajón; uno acordado con quienes lo ejecutan, se cumple.
El cronograma oficial para el Estado partía en diciembre de 2025 y repartía el trabajo en un año. Si estás leyendo esto a mediados de 2026, ese calendario ya no te sirve: lo que sigue es la versión comprimida y priorizada para llegar al 1 de diciembre de 2026 con lo esencial operando.
| Período | Fases | Entregable al cierre |
|---|---|---|
| Agosto 2026 | Cómo empezar (fase 1) + levantamiento de información (fase 2) | Responsable designado, proyecto constituido, matriz de datos completa por área. |
| Septiembre 2026 | Informe de hallazgos (fase 3) + comité (fase 4) + inicio del catálogo (fase 5) | Riesgos priorizados por el comité; primera versión del catálogo de datos. |
| Octubre 2026 | Catálogo final (fase 5) + política de tratamiento (fase 6) + canal de derechos | Política aprobada y publicada en el sitio web; canal de solicitudes de titulares operando. |
| Noviembre 2026 | Protocolos prioritarios (fase 7) + capacitación + marcha blanca | Protocolos de riesgo alto operando, equipo capacitado, evidencia registrándose. |
| 1 dic 2026 | Vigencia plena. La Agencia puede fiscalizar. Tu empresa opera con registro, canal de derechos y protocolos — y sigue mejorando por prioridad de riesgo. | |
Cualquier información vinculada o referida a una persona natural identificada o identificable: nombre, RUT, correo, e incluso identificadores indirectos (físicos, económicos, culturales o sociales).
Datos que revelan origen étnico, afiliación política o sindical, situación socioeconómica, convicciones, creencias religiosas, salud, perfil biológico, datos biométricos, vida u orientación sexual e identidad de género.
Cualquier operación sobre datos personales, automatizada o no: recolectar, procesar, almacenar, comunicar, transmitir o utilizar.
La persona natural o jurídica que decide los fines y medios del tratamiento — aunque los datos los procese un tercero por encargo (tu agencia, tu software, tu contador).
La persona natural, identificada o identificable, a quien se refieren los datos personales. Es quien ejerce los derechos de acceso, rectificación, supresión, oposición y portabilidad.
Tratamiento automatizado que evalúa, analiza o predice aspectos de una persona: rendimiento, situación económica, salud, preferencias, comportamiento o ubicación. Incluye scoring y segmentación con IA.
El módulo de compliance Ley 21.719 implementa la parte de esta guía que no se resuelve con documentos: el catálogo de datos conectado a tus sistemas reales, el canal de derechos con folio y plazos, la gestión de brechas y un agente IA que monitorea el cumplimiento todos los días — con supervisión humana y evidencia trazable para la Agencia.
Esta guía fue elaborada por SyncManager para empresas privadas, tomando como referencia metodológica la Guía Práctica de la Secretaría de Gobierno Digital para la Administración del Estado y el texto de la Ley 21.719. No constituye asesoría legal: para la interpretación jurídica, trabaja con tu equipo de abogados.