Multas y sanciones de la Ley 21.719
La ley clasifica las infracciones en leves, graves y gravísimas, con topes de 5.000, 10.000 y 20.000 UTM. Son máximos, no montos automáticos: la Agencia gradúa considerando atenuantes y agravantes.
Esta página está escrita sin alarmismo a propósito. El objetivo de la ley no es recaudar, y construir un proyecto de cumplimiento sobre el miedo produce papeleo, no protección. Pero las cifras son públicas y conviene conocerlas bien.
Los montos · artículo 35
| Categoría | Sanción | Base legal |
|---|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM | art. 35 a) |
| Grave | Multa de hasta 10.000 UTM | art. 35 b) |
| Gravísima | Multa de hasta 20.000 UTM | art. 35 c) |
Los montos están fijados en unidades tributarias mensuales, que se reajustan. Por eso esta página no publica su equivalencia en pesos: cualquier cifra quedaría desactualizada. El valor vigente de la UTM lo publica mensualmente el Servicio de Impuestos Internos.
Los agravantes que cambian el orden de magnitud
Hay dos mecanismos que pueden llevar la sanción bastante más allá del tope nominal.
Y el que más se cita en titulares: si el infractor es una empresa distinta de las definidas como de menor tamaño en la Ley N° 20.416, y reincide en infracción grave o gravísima, la multa puede alcanzar lo más gravoso entre el triple señalado arriba o hasta el 2% o el 4% de los ingresos anuales por ventas, servicios y otras actividades del giro en el último año calendario, según se trate de infracciones graves o gravísimas respectivamente.
Nota: ese porcentaje aplica a reincidencia de una empresa que no es de menor tamaño. No es la sanción de entrada por una primera infracción.
Qué es leve, qué es grave y qué es gravísimo
Infracciones leves · artículo 34 bis
- Incumplir total o parcialmente el deber de información y transparencia del art. 14 ter.
- Carecer de un domicilio, correo o medio de contacto actualizado y operativo para que los titulares ejerzan sus derechos.
- Omitir la respuesta, responder de forma incompleta o fuera de plazo las solicitudes de los titulares.
- Omitir el envío a la Agencia de las comunicaciones obligatorias previstas en la ley o sus reglamentos.
- Incumplir las instrucciones generales impartidas por la Agencia en los casos que corresponda.
Infracciones graves · artículo 34 ter
- Tratar datos sin consentimiento ni otra base de licitud, o con una finalidad distinta de aquella para la que fueron recolectados.
- Comunicar o ceder datos sin el consentimiento necesario, o para un fin distinto del autorizado.
- Tratar datos innecesarios en relación con los fines, vulnerando el principio de proporcionalidad.
- Tratar datos inexactos, incompletos o desactualizados, salvo que la actualización corresponda al titular por ley o contrato.
- Impedir u obstaculizar el ejercicio legítimo de los derechos de acceso, rectificación, supresión, oposición y demás.
- Vulnerar el deber de secreto o confidencialidad del art. 14 bis.
- Infringir las obligaciones de seguridad del art. 14 quinquies.
- Omitir las comunicaciones o los registros en casos de vulneración de las medidas de seguridad.
- Adoptar medidas de calidad y seguridad insuficientes o no idóneas para tratamientos con fines históricos, estadísticos o científicos y de interés público.
- Realizar transferencias internacionales en contravención a las normas de la ley.
- Incumplir una resolución o requerimiento específico y directo de la Agencia.
Infracciones gravísimas · artículo 34 quáter
Fíjate en un patrón: casi todas incorporan un elemento de intención —«fraudulenta», «maliciosamente», «a sabiendas», «deliberada»—. La categoría más severa está reservada para conductas dolosas, no para errores de implementación.
- Efectuar tratamiento de datos personales en forma fraudulenta.
- Destinar maliciosamente los datos a una finalidad distinta de la consentida o prevista en la ley.
- Comunicar o ceder, a sabiendas, información no veraz, incompleta, inexacta o desactualizada sobre el titular.
- Vulnerar el deber de secreto sobre datos sensibles y sobre datos relativos a la comisión y sanción de infracciones penales, civiles, administrativas y disciplinarias.
- Tratar, comunicar o ceder a sabiendas datos sensibles o de niños, niñas y adolescentes en contravención a la ley.
- Omitir deliberadamente la comunicación de vulneraciones que puedan afectar la confidencialidad, disponibilidad o integridad de los datos.
Cómo leer esto sin entrar en pánico
Explicado en simple
Tres cosas que ayudan a poner las cifras en perspectiva:
- Son topes. «Hasta 20.000 UTM» no significa que la primera infracción cueste 20.000 UTM. Significa que ese es el máximo que la Agencia puede aplicar en el caso más grave.
- Las leves pueden terminar en amonestación. La ley contempla expresamente la amonestación escrita como sanción para infracciones leves.
- Lo gravísimo es doloso. Equivocarte al redactar una política de privacidad no te pone en la categoría de «tratamiento fraudulento».
Dicho eso, hay un punto que sí conviene tomarse en serio: no responder a las personas es infracción leve, y obstaculizar que ejerzan sus derechos es grave. Es de las cosas más baratas de arreglar y de las más fáciles de detectar desde afuera.
Si tuvieras que priorizar con presupuesto limitado, empezaría por ahí: un canal que funcione y alguien que responda.
Para equipos técnicos y legales
Lectura de exposición al riesgo desde el diseño del sistema:
- El catálogo premia la trazabilidad. Varias infracciones no sancionan el hecho sino la incapacidad de acreditar: responder fuera de plazo, omitir registros, no poder demostrar la licitud. Un sistema con buena trazabilidad reduce exposición aunque cometa errores sustantivos.
- El artículo 34 ter c) es el más subestimado. «Tratar datos personales innecesarios en relación con los fines» es infracción grave. Cada campo de más en un formulario, cada columna que nadie usa, cada log que guarda más de lo que necesita, es superficie de infracción grave. Minimizar no es una buena práctica opcional.
- Art. 34 ter j) y k) son acumulables. Un mismo incidente puede constituir infracción por las medidas de seguridad insuficientes y por la omisión del registro o la comunicación. El registro correcto no evita la primera, pero evita la segunda.
- El recargo del 50% se activa por inacción posterior. Es el único de estos mecanismos que depende enteramente de la conducta después de la sanción; sesenta días es poco si las medidas correctivas requieren cambios de arquitectura.
- Circunstancias atenuantes y agravantes están en el art. 36, y la reincidencia se define en su literal a). El art. 49 menciona expresamente el modelo de prevención en relación con el régimen sancionatorio.
La Agencia administra además un Registro Nacional de Sanciones y Cumplimiento. El costo reputacional de figurar allí puede superar al de la multa, especialmente para empresas que venden a otras empresas o participan en licitaciones.
Preguntas frecuentes
¿Cuál es la multa máxima de la Ley 21.719?
Hasta 20.000 UTM para infracciones gravísimas. Además, si una empresa que no sea de menor tamaño reincide en infracciones graves o gravísimas, la multa puede alcanzar el 2% o el 4% de sus ingresos anuales por ventas y servicios del último año calendario, respectivamente.
¿Quién aplica las multas?
La Agencia de Protección de Datos Personales, una corporación autónoma de derecho público creada por la propia ley, con facultades para fiscalizar y sancionar.
¿Todas las infracciones terminan en multa?
No. Las infracciones leves pueden sancionarse con amonestación escrita o con multa de hasta 5.000 UTM. La Agencia gradúa la sanción considerando circunstancias atenuantes y agravantes del artículo 36.
¿Sirve de algo tener un modelo de prevención?
El modelo de prevención de infracciones del artículo 49 es voluntario, y la Agencia lo certifica y supervisa. Su adopción es relevante en la evaluación de la conducta del responsable y en el régimen de transferencias internacionales.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.