La Ley 21.719 para pymes y empresas pequeñas
La respuesta corta a la pregunta que todos hacen: sí, te aplica. No hay umbral de tamaño. Pero el estándar exigible no es el mismo que para un banco, y eso está escrito en la ley.
Lo que la ley dice sobre el tamaño
Hay un artículo específico que ordena diferenciar. No es una interpretación benévola: es texto expreso.
Los estándares o condiciones mínimas que se impongan al responsable de datos para el cumplimiento de los deberes de información y de seguridad establecidos en los artículos 14 ter y 14 quinquies, respectivamente, serán determinados considerando el tipo de dato del que se trata, si el responsable es una persona natural o jurídica, el tamaño de la entidad o empresa de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416, que fija normas especiales para las empresas de menor tamaño, la actividad que desarrolla y el volumen, naturaleza y las finalidades de los datos personales que trata.
El inciso siguiente aclara quién los fija: «Los estándares o condiciones mínimas de cumplimiento y las medidas diferenciadas a que alude el inciso anterior, serán determinados por la Agencia mediante instrucción general».
Es decir: la diferenciación está garantizada por ley, pero su contenido concreto todavía no existe, porque la Agencia aún no está operando. Cualquiera que hoy te diga exactamente qué se le exigirá a una pyme está adelantando algo que no está escrito.
Qué NO cambia por ser pequeño
Conviene ser claro, porque la diferenciación se malinterpreta como exención. Estas obligaciones no dependen del tamaño:
- Tener una base de licitud para cada tratamiento. art. 12 · 13
- Respetar la finalidad para la que recolectaste los datos. art. 3° b)
- No pedir datos innecesarios. art. 3° c)
- Los derechos de las personas y el plazo de 30 días corridos para responder. art. 11
- El deber de secreto. art. 14 bis
- Reportar vulneraciones cuando exista riesgo razonable. art. 14 sexies
- Las reglas de datos sensibles y de menores de edad. art. 16 y ss.
Lo que se gradúa es el cómo: la profundidad de la documentación, la sofisticación de los controles de seguridad, el nivel de detalle de la información publicada. No el qué.
Dónde sí influye el tamaño
| Aspecto | Cómo influye el tamaño | Base |
|---|---|---|
| Estándares mínimos de información y seguridad | Se determinan considerando el tamaño de la entidad según la Ley 20.416, entre otros factores. Los fijará la Agencia por instrucción general. | 14 septies |
| Medidas de seguridad exigibles | El estándar ya es relativo por definición: considera «el estado actual de la técnica y los costos de aplicación», junto con la naturaleza y los riesgos del tratamiento. | 14 quinquies |
| Multa por reincidencia grave o gravísima | El tope adicional del 2% o 4% de los ingresos anuales aplica sólo a empresas distintas de las de menor tamaño según la Ley 20.416. | 35 |
Nota sobre el punto tres: significa que una empresa de menor tamaño que reincide no queda expuesta al porcentaje sobre ingresos, pero sí a las multas en UTM y al multiplicador por reincidencia del artículo 35. Ver el régimen sancionatorio
Sobre el «período de gracia» del que se habla
Circula la idea de que las empresas de menor tamaño tendrían, durante los primeros doce meses de vigencia, sólo amonestación por escrito en lugar de multa. Conviene precisar de dónde sale y qué se sabe con certeza.
La referencia proviene del Mensaje presidencial del Boletín 18.623-07, que al fundamentar sus cambios describe así la norma vigente:
el artículo sexto transitorio limita a las empresas de menor tamaño la facultad de la Agencia para aplicar una amonestación por escrito durante los primeros doce meses de vigencia de la ley.
Y ese mismo proyecto propone suprimir esa limitación, para extender el régimen a todos los obligados:
Suprímese, en el artículo sexto transitorio, la frase «para empresas calificadas como de menor tamaño, de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416, que fija normas especiales para aquéllas».
Transparencia sobre la fuente: la ficha de la Ley 21.719 publicada por LeyChile muestra cinco disposiciones transitorias, y su visor no despliega el texto de un artículo sexto. Por eso aquí citamos el Mensaje oficial del Ejecutivo, que es un documento primario y describe la norma expresamente, en lugar de parafrasear una disposición cuyo texto no pudimos leer directamente en la fuente consolidada. Si necesitas apoyarte en este punto para una decisión, verifícalo con tu asesor legal.
Se lee por ahí que «las pymes tienen un año de gracia sin multas» y que por eso pueden dejar el tema para después.
Lo que dice la ley que, incluso tomando la descripción del Mensaje al pie de la letra, se trata de una facultad de la Agencia para aplicar amonestación, no de una exención de las obligaciones. Las obligaciones rigen igual desde el primer día. Y hay un proyecto en trámite que propone eliminar esa limitación por tamaño. Planificar sobre la base de un año sin consecuencias es apostar dos veces: a que la norma se interprete a tu favor y a que el proyecto no se apruebe.
Lo mínimo razonable para una empresa pequeña
Explicado en simple
Si tienes una empresa chica y quieres saber por dónde partir sin contratar a nadie todavía, esto es lo que rinde más por el esfuerzo que cuesta:
- Haz una lista de qué datos tienes. Una planilla basta. Clientes, trabajadores, postulantes, proveedores. Dónde están y quién los ve.
- Borra lo que no necesitas. Bases viejas, currículums de hace tres años, planillas duplicadas. Es gratis y es lo que más reduce el riesgo.
- Quita campos de más en tus formularios. Si no usas el RUT, no lo pidas.
- Publica una política de privacidad que sea verdad y pon un correo donde la gente pueda escribirte para pedir sus datos. Que alguien lo revise.
- Ordena lo básico de seguridad: que cada persona tenga su propio usuario, que el sitio ande con HTTPS, y que los respaldos existan y se hayan probado al menos una vez.
Eso no es «cumplir la ley completa», pero te deja muy por delante del punto de partida habitual y resuelve las infracciones más fáciles de cometer: no informar y no responderle a la gente.
Para equipos técnicos y legales
Priorización por relación riesgo/esfuerzo para una organización con equipo técnico reducido:
- Minimización y retención. Reduce la superficie antes de invertir en protegerla. Es la única medida que baja el riesgo a cero y además simplifica todo lo demás (art. 3° c)).
- Canal de derechos con dueño y SLA. Las infracciones de los art. 34 bis b) y c) son las más baratas de evitar y las más fáciles de detectar desde fuera. No requieren tecnología.
- Información pública veraz. El art. 14 ter es auditable por cualquiera con un navegador. Derívala del inventario, no de una plantilla.
- Higiene de accesos. Usuarios nominativos, sin cuentas compartidas, y revisión de accesos al salir alguien del equipo. Coste cercano a cero, impacto alto en art. 14 quinquies.
- Terceros. Inventario de proveedores y ubicación del tratamiento. Aunque no renegocies contratos de inmediato, necesitas saber qué declarar en el art. 14 ter h).
Lo que no conviene priorizar en una pyme: adoptar un modelo de prevención del art. 49 antes de tener el inventario. Es voluntario, y montado sobre una organización que no sabe qué datos maneja produce documentación sin sustento. Ver cuándo sí conviene.
Sobre proporcionalidad: el art. 14 quinquies incorpora expresamente «los costos de aplicación» en el estándar. Eso permite justificar decisiones de arquitectura razonables para el tamaño, siempre que estén documentadas. Una decisión de riesgo aceptada y escrita es defendible; la misma decisión sin registro es una omisión.
Preguntas frecuentes
¿La Ley 21.719 se aplica a las pymes?
Sí. La ley se aplica a toda persona natural o jurídica que trate datos personales, sin umbral de tamaño, facturación ni cantidad de registros. Lo que sí se diferencia es el estándar exigible.
¿Hay un régimen especial para empresas pequeñas?
El artículo 14 septies ordena que las condiciones mínimas de cumplimiento de los deberes de información y de seguridad se determinen considerando, entre otros factores, el tamaño de la entidad según las categorías de la Ley N° 20.416. Esos estándares diferenciados los fijará la Agencia mediante instrucción general.
¿Una empresa pequeña necesita un delegado de protección de datos?
No como obligación general. La designación de un delegado es un elemento del modelo de prevención de infracciones del artículo 49, que es voluntario.
¿Qué es lo mínimo que debería hacer una pyme?
Saber qué datos trata y con qué base, publicar la información del artículo 14 ter, tener un canal operativo para que las personas ejerzan sus derechos y responder dentro de plazo, y adoptar medidas de seguridad proporcionales a su riesgo.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.