Cuenta regresiva para la Ley 21.719: lo que tu empresa debe hacer ahora

Análisis · Neural Code AI

El 1 de diciembre de 2026 entra en plena vigencia la Ley 21.719, la nueva Ley de Protección de Datos Personales de Chile. Es el cambio regulatorio más grande en la materia en más de 20 años: reemplaza la antigua Ley 19.628, crea una Agencia de Protección de Datos Personales con facultades de fiscalización y sanción, y se alinea con el estándar europeo (GDPR). La cuenta regresiva ya empezó, y la mayoría de las empresas chilenas todavía no está lista.

Qué cambia en concreto

La ley deja de ser un texto declarativo para convertirse en un régimen con multas reales y una agencia que las aplica. Los puntos que más impactan a una empresa promedio son:

• Multas de hasta 20.000 UTM (del orden de $1.300 millones) para las infracciones más graves, con un régimen escalonado según la gravedad y la reincidencia.
• Principio de responsabilidad proactiva: ya no basta con “pedir autorización”. Debes poder demostrar que tratas los datos de forma lícita, con registros y medidas técnicas.
• Derechos ARCOP reforzados (acceso, rectificación, cancelación, oposición y portabilidad): las personas pueden exigir ver, corregir o eliminar sus datos, y tú debes responder en plazos definidos.
• Notificación de brechas: ante una filtración de datos personales, debes notificar a la Agencia y, en ciertos casos, a los afectados, sin dilaciones indebidas.
• Base de licitud clara: todo tratamiento necesita una causa legal (consentimiento, contrato, obligación legal, interés legítimo, etc.). El consentimiento debe ser libre, informado y específico.

A quién afecta

A prácticamente todas. Si tu empresa tiene una base de clientes, un CRM, una nómina de trabajadores, un formulario de contacto o una tienda online, estás tratando datos personales. No importa el tamaño: la ley aplica a la pyme y a la gran empresa por igual, y la Agencia fiscaliza a ambas.

Qué significa para tu empresa

El error más común es tratarlo como “un tema del abogado”. El cumplimiento se firma en un contrato, pero se construye en tus sistemas: dónde viven los datos, quién accede, cómo se cifran, cómo se eliminan cuando corresponde y cómo detectas y notificas una brecha a tiempo. Sin ese trabajo técnico, la política de privacidad es solo un PDF.

Checklist mínimo para llegar a diciembre

• Levantar un inventario de datos: qué datos personales tienes, dónde y por qué.
• Definir la base de licitud de cada tratamiento y revisar tus formularios de consentimiento.
• Establecer un procedimiento para responder derechos ARCOP en plazo.
• Implementar medidas de seguridad reales: control de acceso, cifrado, respaldos y registro de actividad.
• Tener un plan de respuesta a brechas que permita notificar a tiempo.
• Actualizar tu política de privacidad y tus contratos con proveedores que procesan datos.

Nuestra lectura: esto no es un tema solo legal, es técnico — y llegar tarde sale caro. Faltan meses, no años, y ordenar sistemas toma tiempo. Lo inteligente es empezar el diagnóstico ahora, cerrar las brechas críticas primero y llegar a diciembre con la casa en orden, no improvisando en noviembre.