¿Qué es la Ley 21.719? Guía completa sobre Protección de Datos Personales en Chile

¿Qué es la Ley 21.719?

La Ley 21.719, también conocida como la Ley de Protección de Datos Personales, es la nueva normativa chilena que regula el tratamiento de datos personales por parte de organizaciones públicas y privadas. Promulgada en diciembre de 2024, esta ley moderniza y reemplaza la antigua Ley 19.628, adaptando la legislación chilena a los estándares internacionales como el Reglamento General de Protección de Datos (GDPR) europeo.

Su objetivo principal es proteger los derechos fundamentales de las personas respecto al uso de sus datos personales, estableciendo obligaciones claras para quienes recopilan, almacenan y procesan esta información.

¿Cuándo entra en vigencia?

La ley tiene un período de vacancia legal que otorga a las organizaciones tiempo para prepararse. Las obligaciones sustantivas comienzan a aplicarse desde diciembre de 2026, y gradualmente se implementarán todas las disposiciones durante los meses siguientes.

Esto significa que las organizaciones tienen hasta diciembre de 2026 para adecuar sus procesos, políticas y sistemas al nuevo marco normativo. Pasada esa fecha, quienes no hayan implementado las medidas necesarias quedarán expuestos a sanciones.

¿A quiénes aplica la Ley 21.719?

La ley aplica a toda organización pública o privada que realice tratamiento de datos personales en territorio chileno, independientemente de su tamaño. Esto incluye:

• ●Empresas de todos los tamaños, desde microempresas hasta grandes corporaciones
• ●Organismos públicos y servicios gubernamentales
• ●Organizaciones sin fines de lucro y fundaciones
• ●Personas naturales que manejen datos de terceros de forma habitual

No importa si su empresa tiene 2 o 2.000 empleados: si maneja datos de clientes, proveedores, colaboradores o cualquier tercero, la ley le aplica. Las PyMEs no están exentas.

¿Cuáles son las principales obligaciones?

La Ley 21.719 establece una serie de obligaciones concretas para las organizaciones. Las más relevantes incluyen:

• ●Obtener consentimiento informado de los titulares de datos antes de recopilar y procesar su información
• ●Designar un Delegado de Protección de Datos (DPO) encargado de velar por el cumplimiento normativo
• ●Mantener un Registro de Actividades de Tratamiento que documente qué datos se procesan, con qué fines y por cuánto tiempo
• ●Implementar medidas de seguridad técnicas y organizativas apropiadas para proteger los datos
• ●Notificar a la autoridad y a los afectados en caso de brechas de seguridad
• ●Realizar Evaluaciones de Impacto en la Protección de Datos para tratamientos de alto riesgo
• ●Atender y responder oportunamente las solicitudes de los titulares sobre sus datos

Cada una de estas obligaciones requiere políticas, procedimientos y herramientas específicas que las organizaciones deben implementar antes de la entrada en vigencia.

¿Cuáles son las sanciones por incumplimiento?

Una de las razones por las que esta ley ha generado tanta atención es la magnitud de las sanciones. Las multas pueden alcanzar hasta 20.000 Unidades Tributarias Mensuales (UTM), equivalentes a aproximadamente $1.300 millones de pesos chilenos al valor actual.

Las sanciones se clasifican según la gravedad de la infracción:

• ●Infracciones leves: amonestación o multas de hasta 5.000 UTM
• ●Infracciones graves: multas de hasta 10.000 UTM
• ●Infracciones gravísimas: multas de hasta 20.000 UTM

Además de las multas, la ley contempla otras consecuencias como la suspensión temporal del tratamiento de datos, la publicidad de las sanciones (daño reputacional), y la posibilidad de acciones civiles por parte de los afectados.

Para una PyME, una multa de esta magnitud puede significar el cierre del negocio. De ahí la urgencia de prepararse con anticipación.

Derechos de los titulares de datos

La Ley 21.719 reconoce y fortalece los derechos de las personas sobre sus datos personales, conocidos como derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) ahora ampliados:

• ●Derecho de Acceso: conocer qué datos suyos están siendo tratados y con qué fines
• ●Derecho de Rectificación: solicitar la corrección de datos inexactos o incompletos
• ●Derecho de Cancelación (o Supresión): solicitar la eliminación de sus datos cuando corresponda
• ●Derecho de Oposición: oponerse al tratamiento de sus datos para fines específicos
• ●Derecho de Portabilidad: recibir sus datos en un formato estructurado y transferirlos a otro responsable

Las organizaciones deben contar con procedimientos claros para atender estas solicitudes dentro de los plazos establecidos por la ley.

¿Cómo preparar su organización?

La preparación para la Ley 21.719 no tiene por qué ser abrumadora. Un plan de acción típico incluye las siguientes etapas:

1. Diagnóstico inicial: evaluar el estado actual de cumplimiento para identificar brechas y prioridades 2. Mapeo de datos: identificar qué datos personales se procesan, dónde se almacenan, cómo fluyen y quién tiene acceso 3. Actualización de políticas: revisar y actualizar las políticas de privacidad, consentimiento y seguridad 4. Implementación de medidas técnicas: adecuación de sistemas, controles de acceso, cifrado, monitoreo 5. Capacitación: formar a los colaboradores en las nuevas obligaciones y buenas prácticas 6. Designación de DPO: nombrar al Delegado de Protección de Datos 7. Monitoreo continuo: establecer procesos de revisión y mejora permanente

El primer paso, y el más importante, es conocer su situación actual. No se puede mejorar lo que no se mide.