Ley 21.719 de Protección de Datos Personales en Chile: guía completa y práctica
Si tu empresa guarda nombres, correos, teléfonos, direcciones, datos de trabajadores o información de clientes, ya estás tratando datos personales. La Ley 21.719 cambia qué debes informar, qué debes poder demostrar y qué derechos deben poder ejercer esas personas.
Esta guía está escrita para dos públicos a la vez: quien necesita entender qué significa esto para su negocio o para sus propios datos, y quien tiene que implementarlo. Cada afirmación se contrastó con el texto oficial publicado por la Biblioteca del Congreso Nacional, y las citas indican el artículo exacto para que puedas verificarlas.
Qué es la Ley 21.719
La Ley N° 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Se promulgó el 25 de noviembre de 2024 y se publicó en el Diario Oficial el 13 de diciembre de 2024.
Un detalle que se pierde en muchos resúmenes: la Ley 21.719 no es una ley aislada que reemplace a la anterior. Su artículo primero introduce modificaciones en la Ley N° 19.628 —hasta ahora llamada «sobre protección de la vida privada»— y la reescribe casi por completo, empezando por su nombre, que pasa a ser «sobre protección de los datos personales». Sus artículos segundo y tercero ajustan además la Ley 20.285 de acceso a la información pública y la Ley 19.496 del consumidor.
Por eso, cuando busques el texto de un artículo concreto, verás referencias del tipo art. 14 sexies o art. 34 ter: son artículos de la Ley 19.628 en su nueva redacción.
Explicado en simple
Chile tenía desde 1999 una ley de datos personales que había quedado corta: no existía una autoridad que fiscalizara, las sanciones eran casi inexistentes y las obligaciones eran vagas.
La Ley 21.719 corrige eso. En términos prácticos hace tres cosas:
- Le da a las personas derechos concretos sobre su información, con plazos de respuesta.
- Le impone a quien trata datos el deber de informar, proteger y poder demostrar lo que hace.
- Crea una Agencia con facultades para fiscalizar y multar.
Si antes bastaba con «tenemos una política de privacidad en el sitio», ahora esa política tiene que decir cosas específicas, y tú tienes que poder probar que lo que dice es cierto.
Para equipos técnicos y legales
El cambio de fondo es que se pasa de un modelo declarativo a uno de responsabilidad demostrable. El principio de licitud del art. 3° a) lo dice sin rodeos: «El responsable deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza».
Eso tiene consecuencias de diseño e ingeniería:
- Necesitas un registro de actividades de tratamiento que asocie cada flujo de datos con su finalidad y su base de licitud (art. 13).
- El consentimiento deja de ser un checkbox premarcado: debe ser previo, inequívoco y revocable por medios equivalentes a los usados para otorgarlo (art. 12). Eso implica almacenar prueba de cuándo, para qué y con qué texto se consintió.
- Los estándares mínimos no son iguales para todos: el art. 14 septies ordena diferenciarlos según tipo de dato, tamaño de la entidad (según la ley 20.416), actividad y volumen. Los fijará la Agencia mediante instrucción general.
Terminología que conviene fijar: anonimización es irreversible y saca al dato del ámbito de la ley; seudonimización no, y el dato sigue siendo personal (art. 2° k) y l)).
Qué es un dato personal y qué es un dato sensible
La definición legal es amplia a propósito. Un dato personal es «cualquier información vinculada o referida a una persona natural identificada o identificable», y se considera identificable a toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante uno o más identificadores: el nombre, el número de cédula, o elementos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
En la práctica esto alcanza a cosas que muchas empresas no clasifican como datos personales: una IP asociada a un usuario, un identificador de cookie que permite reconstruir un perfil, un número de ficha, una patente vinculada a un cliente.
Datos personales sensibles: tendrán esta condición aquellos datos personales que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural.
Vale la pena detenerse en dos elementos de esa lista que sorprenden a quien viene del reglamento europeo. Chile incluye expresamente la situación socioeconómica entre los datos sensibles, algo que el RGPD no hace. Y también los datos biométricos, que tienen además su propio artículo. Si tu sistema registra tramos de ingreso, scoring social, huella digital o reconocimiento facial, estás tratando datos sensibles y el estándar sube.
Ver el detalle de datos sensibles, biométricos y de menores de edad →
A quién aplica
La ley aplica a toda persona natural o jurídica, incluidos los órganos públicos, que trate datos personales. No hay un umbral de tamaño: no importa si eres una sociedad con mil empleados o una persona natural con giro que administra una lista de clientes.
Quedan fuera dos cosas:
- El tratamiento que hacen las personas naturales en el marco de sus actividades personales (tu agenda de contactos del teléfono).
- El ejercicio de las libertades de emitir opinión e informar. Los medios de comunicación sí quedan sujetos a la ley respecto de los tratamientos con una finalidad distinta a opinar e informar.
El alcance territorial art. 1° bis es el que suele sorprender: la ley alcanza a empresas no establecidas en Chile cuando sus operaciones se destinan a ofrecer bienes o servicios a personas que están en Chile —haya pago o no— o a monitorear su comportamiento, incluyendo análisis, rastreo, perfilamiento o predicción.
Los ocho principios
El art. 3° fija los principios que rigen todo tratamiento. No son declaraciones decorativas: varios de ellos tienen una infracción asociada en el catálogo sancionatorio.
| Principio | Qué significa en la práctica |
|---|---|
| Licitud y lealtad | Necesitas una base legal para cada tratamiento y debes poder acreditarla. |
| Finalidad | Los datos se recogen con fines específicos, explícitos y lícitos. No puedes reutilizarlos para algo distinto, salvo compatibilidad o relación contractual que lo justifique. |
| Proporcionalidad | Sólo los datos necesarios. Pedir el RUT «por si acaso» en un formulario de contacto es exactamente lo que este principio prohíbe. |
| Calidad | Datos exactos, completos y actualizados respecto de la finalidad. |
| Responsabilidad | Respondes por el tratamiento, incluso cuando lo ejecuta un tercero por encargo tuyo. |
| Seguridad | Confidencialidad, integridad, disponibilidad y resiliencia (desarrollado en el art. 14 quinquies). |
| Transparencia e información | La información del art. 14 ter debe estar permanentemente pública. |
| Confidencialidad | Deber de secreto sobre los datos tratados. |
Los derechos de las personas
La ley reconoce seis derechos al titular de los datos, cada uno en su propio artículo: acceso art. 5°, rectificación art. 6°, supresión art. 7°, oposición art. 8°, bloqueo art. 8° ter y portabilidad art. 9°. A ellos se suma el derecho a no ser objeto de decisiones exclusivamente automatizadas art. 8° bis.
El dato operativo más importante está en el art. 11: el responsable debe pronunciarse dentro de los 30 días corridos siguientes al ingreso de la solicitud, prorrogables por una sola vez hasta por otros 30 días corridos. Si deniega, debe fundar la decisión e informar al titular que dispone de 30 días hábiles para reclamar ante la Agencia.
Consentimiento y otras bases de licitud
Existe un malentendido muy extendido: que todo tratamiento requiere consentimiento. No es así. El consentimiento es la regla general art. 12, pero el art. 13 reconoce otras fuentes de licitud que permiten tratar datos sin consentimiento:
- Datos de obligaciones económicas, financieras, bancarias o comerciales, conforme al Título III.
- Cuando es necesario para cumplir una obligación legal.
- Cuando es necesario para celebrar o ejecutar un contrato con el titular, o para medidas precontractuales pedidas por él.
- Interés legítimo del responsable o de un tercero, siempre que no se afecten los derechos y libertades del titular.
Pagarle el sueldo a un trabajador o emitir una boleta no requiere consentimiento: requiere una base legal o contractual. Enviarle publicidad no solicitada, en cambio, es otra conversación.
Qué debe hacer una organización
Los deberes centrales están concentrados en pocos artículos:
- Concepto
- Doce puntos que deben estar permanentemente a disposición del público, en tu sitio web o medio equivalente.
- Qué implica
- Incluye la política de tratamiento con fecha y versión, las finalidades, la base de legitimidad de cada una, los destinatarios, el período de conservación y la existencia de decisiones automatizadas.
- Evidencia que deberías poder mostrar
- La URL pública de la política, su versionado y el historial de cambios.
- Riesgo si no está
- Incumplirlo es infracción leve (art. 34 bis a): amonestación o multa de hasta 5.000 UTM.
- Concepto
- La privacidad se incorpora al diseñar el sistema, no después.
- Qué implica
- Minimización de campos, retención acotada, configuraciones privadas por defecto.
- Evidencia que deberías poder mostrar
- Decisiones de diseño documentadas y configuración por defecto de tus formularios y sistemas.
- Concepto
- Medidas que aseguren confidencialidad, integridad, disponibilidad y resiliencia.
- Qué implica
- El estándar es relativo: considera el estado de la técnica, los costos, la naturaleza del tratamiento y la probabilidad y gravedad de los riesgos.
- Evidencia que deberías poder mostrar
- Política de seguridad, control de accesos, cifrado en tránsito, registro de quién accede a qué.
- Riesgo si no está
- Infringirlo es infracción grave (art. 34 ter j): hasta 10.000 UTM.
- Concepto
- Obligatoria y previa cuando el tratamiento pueda producir un alto riesgo.
- Qué implica
- Siempre se exige en perfilamiento con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público y datos sensibles tratados bajo excepción del consentimiento.
- Evidencia que deberías poder mostrar
- El documento de evaluación, fechado antes del inicio del tratamiento.
Seguridad e incidentes: el error de las 72 horas
Se lee por ahí que la Ley 21.719 obliga a notificar una brecha de seguridad «dentro de 72 horas».
Lo que dice la ley el art. 14 sexies no fija un plazo en horas. Ordena reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas», cuando exista un riesgo razonable para los derechos y libertades de los titulares. El plazo de 72 horas proviene del artículo 33 del Reglamento General de Protección de Datos europeo, que no rige en Chile.
Esta confusión está muy difundida en artículos chilenos sobre la ley. La diferencia importa: «sin dilaciones indebidas» es un estándar de conducta que se evalúa caso a caso, y en algunos escenarios puede ser más exigente que 72 horas, no menos. Además, la ley obliga a registrar cada vulneración con su naturaleza, efectos, categorías de datos y número aproximado de titulares afectados.
Cuando la vulneración afecta datos sensibles, datos de niños y niñas menores de catorce años, o datos de obligaciones económicas, financieras, bancarias o comerciales, hay que comunicarla además a los titulares afectados.
Infracciones y sanciones
El régimen distingue infracciones leves, graves y gravísimas, con los montos del art. 35. Conviene leerlo sin dramatismo: son topes máximos, y la Agencia gradúa considerando atenuantes y agravantes.
| Categoría | Sanción máxima | Ejemplo |
|---|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM | No publicar la información del art. 14 ter; responder fuera de plazo una solicitud. |
| Grave | Multa de hasta 10.000 UTM | Tratar sin base de licitud; obstaculizar el ejercicio de derechos; infringir el deber de seguridad. |
| Gravísima | Multa de hasta 20.000 UTM | Tratamiento fraudulento; omitir deliberadamente el reporte de una vulneración; tratar a sabiendas datos sensibles o de menores en contravención a la ley. |
Hay dos agravantes que conviene conocer. Si la Agencia ordena medidas correctivas y no se adoptan en el plazo fijado —no mayor a 60 días— se aplica un recargo del 50% sobre la multa. Y en caso de reincidencia de una empresa que no sea de menor tamaño, la multa puede alcanzar el 2% de los ingresos anuales para infracciones graves o el 4% para gravísimas.
Qué se puede revisar técnicamente en un sitio web
Buena parte del cumplimiento no se ve desde afuera: contratos, bases de datos internas, políticas de retención, accesos. Pero una parte sí es observable, y suele ser donde aparecen los primeros hallazgos.
- Formularios y campos que se piden
- Existencia y contenido del aviso de privacidad
- Cookies, píxeles y scripts de terceros que cargan
- Hacia qué dominios y países salen las peticiones
- Uso de HTTPS y configuración de transporte
- Presencia de un canal declarado para ejercer derechos
- Chats, mapas, vídeos y widgets embebidos
- Cuál es la base de licitud de cada finalidad
- Si un interés legítimo resiste la ponderación
- Cuánto tiempo corresponde conservar cada dato
- Qué cláusulas rigen con cada proveedor
- Si un tratamiento exige evaluación de impacto
- Cómo calificar y responder un incidente concreto
- Qué informar a un titular en un caso límite
Esa distinción es deliberada y es la que ordena nuestro trabajo: una herramienta puede automatizar el diagnóstico técnico y darte evidencia, pero no puede decidir por ti las cuestiones jurídicas. Así funciona PixaPrivacy →
Toda la guía, por tema
Cada página desarrolla un tema con el mismo criterio: primero la respuesta directa, después el detalle, y siempre el artículo que la respalda.
Fundamentos
- Qué es la Ley 21.719 La Ley 21.719 no deroga la Ley 19.628: la reescribe. Qué cambia en la práctica, qué conceptos introduce y por qué importa.
- A quién aplica Empresas, personas naturales con actividad económica y órganos públicos. Cuándo alcanza a una empresa extranjera que vende o hace seguimiento en Chile.
- Estado y vigencia La fecha vigente es el 1 de diciembre de 2026. El Boletín 18.623-07 propone trasladarla a 2027, pero está en primer trámite y no ha sido votado.
Si eres una persona
Si tienes una organización
- Obligaciones de las empresas Qué debe informar, documentar, asegurar y poder demostrar una organización que trata datos personales en Chile.
- Checklist de cumplimiento Lista de revisión separada en dos frentes: lo legal y organizacional, y lo técnico y digital. Con el artículo que respalda cada punto.
- Plan de 90 días Una hoja de ruta por fases: qué hacer los primeros 30 días, qué entre el 31 y el 60, y qué en el último tramo antes de la vigencia.
- Pymes y empresas pequeñas La ley aplica sin importar el tamaño, pero el estándar exigible sí se diferencia. Qué dice el artículo 14 septies y qué significa para una empresa chica.
- Política de privacidad Los doce puntos del artículo 14 ter que deben estar públicos en tu sitio web, explicados uno por uno.
- Consentimiento y cookies Cuándo necesitas consentimiento y cuándo no, qué requisitos tiene, y por qué un banner de cookies no resuelve la ley por sí solo.
- Seguridad e incidentes El deber de seguridad del artículo 14 quinquies y el reporte de vulneraciones del 14 sexies. Sin el plazo de 72 horas que muchos sitios repiten por error.
- Multas y sanciones Infracciones leves, graves y gravísimas, con los montos del artículo 35 y el porcentaje de ingresos aplicable a la reincidencia.
Situaciones específicas
- Datos sensibles y menores Qué cuenta como dato sensible en Chile, por qué la situación socioeconómica está en esa lista, y las reglas para menores de edad.
- Transferencias internacionales Qué pasa cuando tus datos viven en un servidor fuera de Chile y qué vías reconoce el artículo 27 para que esa transferencia sea lícita.
- Decisiones automatizadas El artículo 8° bis: cuándo una persona puede oponerse a que un algoritmo decida sobre ella y qué debes informar si usas scoring o perfilamiento.
- Modelo de prevención Es voluntario, no obligatorio. Qué contiene, para qué sirve frente a la Agencia y cuándo tiene sentido adoptarlo.
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.