Ley 21.719 de Protección de Datos: qué debe hacer tu pyme
Chile estrena una ley de datos personales con multas serias y una agencia que fiscaliza. Entra en vigencia el 1 de diciembre de 2026. La buena noticia: adecuarse antes es más barato y, durante el primer año, las pymes solo reciben amonestaciones.
¿Qué es un dato personal y por qué te afecta?
Un dato personal es cualquier información que permite identificar a una persona: nombre, RUT, correo, teléfono, dirección, datos de pago, incluso una foto. Si tienes una base de clientes, una planilla de trabajadores o una lista de correos, ya tratas datos personales, y la ley te alcanza sin importar el tamaño de tu empresa. Algunos datos son "sensibles" (salud, situación socioeconómica, origen, etc.) y tienen protección reforzada.
Hasta ahora la fiscalización era débil. Con la Ley 21.719 eso cambia: hay una agencia con dientes, multas altas y obligaciones concretas. La buena noticia para las pymes es que el costo de ordenarse ahora —revisar qué datos tienes y con qué permiso— es mucho menor que el de una multa o la pérdida de confianza de tus clientes después.
Qué cambia con la Ley 21.719
La ley moderniza por completo la protección de datos personales en Chile. Sus puntos clave:
- Nace la Agencia de Protección de Datos Personales (APDP), que fiscaliza, multa y lleva un registro de sanciones.
- Las personas tienen derechos ARCO (acceso, rectificación, cancelación y oposición) y portabilidad de sus datos.
- El tratamiento requiere una base legal, normalmente el consentimiento informado.
- Las brechas de seguridad deben notificarse en un plazo de 72 horas.
- Aplica a toda organización que trate datos, sin importar su tamaño.
Las multas por tramo
| Gravedad | Sanción |
|---|---|
| Leves | Amonestación o hasta 100 UTM |
| Graves | Hasta 5.000 UTM |
| Gravísimas | Hasta 20.000 UTM o 4% de los ingresos anuales |
Durante el primer año de vigencia (diciembre 2026 a diciembre 2027), las pymes reciben solo amonestaciones: es la ventana para adecuarse sin arriesgar multas.
Cómo empezar la adecuación
No necesitas resolver todo de golpe. La adecuación parte por lo básico y avanza: primero levantar un inventario de qué datos manejas, de dónde vienen y para qué los usas; luego revisar que tengas una base legal (normalmente el consentimiento) para cada tratamiento; publicar una política de privacidad clara; y preparar cómo responderás cuando alguien ejerza sus derechos o cuando ocurra una brecha. Ninguno de estos pasos requiere una gran inversión: requieren orden y decisión.
El siguiente checklist te da una foto rápida de dónde estás parado. Márcalo con honestidad: lo que no puedas marcar es, justamente, tu lista de tareas para los próximos meses.
Checklist: ¿qué tan preparada está tu pyme?
Marca lo que ya tienes resuelto y mira tu nivel de preparación.
Estás partiendo: conviene ponerte en marcha cuanto antes.
En resumen
La Ley 21.719 no es solo para las grandes empresas: cualquier pyme que maneje datos de clientes o trabajadores debe cumplirla desde diciembre de 2026. Adecuarse es sobre todo un ejercicio de orden —saber qué datos tienes, con qué permiso y cómo los proteges— y hacerlo durante el primer año, cuando las pymes solo reciben amonestaciones, evita el riesgo de multas que llegan hasta las 20.000 UTM. Empieza por el checklist de arriba y avanza sobre lo que aún no puedes marcar.
¿Necesitas un DPO o adecuarte en serio a la Ley 21.719?
Para la adecuación integral —registro de actividades de tratamiento (RAT), portal de derechos ARCO, gestión de consentimientos, evaluaciones de impacto (DPIA) y manejo de brechas— trabajamos con DPOLab, la plataforma de cumplimiento de la Ley 21.719 desarrollada por Codevsys.
Conocer DPOLab →¿Prefieres que te orientemos primero?
Déjanos tu correo y te contactamos para revisar tus bases de datos, tus consentimientos y tu política de privacidad, y derivarte con nuestro partner si tu caso lo requiere.
Preguntas frecuentes
¿Desde cuándo rige la Ley 21.719 de datos personales?
Fue publicada en diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Conviene adecuarse antes: durante el primer año las pymes reciben solo amonestaciones, pero después vienen las multas.
¿Cuáles son las multas por incumplir?
Según la gravedad, van desde amonestación hasta multas de 100 UTM (leves), 5.000 UTM (graves) y hasta 20.000 UTM o el 4% de los ingresos anuales (gravísimas). Las fiscaliza la nueva Agencia de Protección de Datos Personales.
¿Aplica a mi pyme aunque sea chica?
Sí. La ley aplica a toda organización que trate datos personales, sin importar su tamaño. Si tienes clientes, trabajadores o una base de correos, tratas datos personales.
¿Qué es lo mínimo que debo hacer?
Saber qué datos manejas y para qué, obtener consentimiento cuando corresponda, publicar una política de privacidad, poder responder a los derechos ARCO y portabilidad, y tener cómo detectar y notificar una brecha en 72 horas.