Qué es la Ley 21.719 y cómo cambia la Ley 19.628
La Ley N° 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Se publicó el 13 de diciembre de 2024 y no reemplaza a la ley anterior: la reescribe desde dentro.
Una ley que modifica otra ley
Esta es la fuente de casi toda la confusión terminológica. La Ley 21.719 está estructurada en tres artículos permanentes que modifican otras leyes:
- Artículo primero: modifica la Ley N° 19.628, que hasta ahora se llamaba «sobre protección de la vida privada» y pasa a llamarse «sobre protección de los datos personales». Aquí está el 95% del contenido sustantivo.
- Artículo segundo: modifica la Ley N° 20.285 de acceso a la información pública.
- Artículo tercero: modifica la Ley N° 19.496 sobre protección de los derechos de los consumidores.
Consecuencia práctica: cuando alguien cita el art. 14 ter o el art. 34 quáter «de la Ley 21.719», en rigor se refiere a un artículo de la Ley 19.628 en su nueva redacción. Por eso el texto está lleno de numeración latina —bis, ter, quáter, quinquies, sexies, septies—: son artículos intercalados en una ley que ya existía.
En esta guía usamos la convención habitual y hablamos de «la Ley 21.719» para referirnos al régimen completo, indicando el artículo tal como aparece en el texto consolidado.
De dónde viene
La Ley 19.628 es de 1999. Fue pionera en la región, pero envejeció mal: no creó una autoridad de control, su régimen sancionatorio era prácticamente inoperante y sus obligaciones eran demasiado genéricas para una economía digital. El propio mensaje del Ejecutivo reconoce que existieron más de sesenta iniciativas legales que buscaban abordar el problema.
El proyecto que terminó siendo la Ley 21.719 se originó en un mensaje de 2017 y en una moción parlamentaria, refundidos en los Boletines 11.092-07 y 11.144-07. Su tramitación tomó siete años. El objetivo declarado fue alinear a Chile con las orientaciones de la OCDE y con el derecho fundamental a la vida privada del artículo 19 N° 4 de la Constitución.
Qué cambia en concreto
| Tema | Ley 19.628 original (1999) | Con la Ley 21.719 |
|---|---|---|
| Autoridad | No existía un órgano fiscalizador especializado. | Se crea la Agencia de Protección de Datos Personales, corporación autónoma de derecho público con facultades para instruir, fiscalizar y sancionar. |
| Sanciones | Régimen prácticamente inaplicado. | Catálogo de infracciones leves, graves y gravísimas, con multas de hasta 20.000 UTM y hasta 2% o 4% de ingresos anuales en reincidencia. |
| Bases de licitud | Centrada en la autorización legal o el consentimiento. | Consentimiento como regla general más un catálogo explícito de otras fuentes: obligación legal, contrato, interés legítimo y datos de obligaciones económicas. |
| Derechos | Acceso, modificación, eliminación y bloqueo, con procedimiento poco definido. | Seis derechos con artículo propio, incluida la portabilidad, más el derecho frente a decisiones automatizadas, y un procedimiento con plazos ciertos. |
| Seguridad | Deber genérico de cuidado. | Deber expreso de asegurar confidencialidad, integridad, disponibilidad y resiliencia, más el deber de reportar vulneraciones. |
| Alcance territorial | No regulado con precisión. | Alcanza a quien, sin estar en Chile, ofrece bienes o servicios a personas en Chile o monitorea su comportamiento. |
| Órganos públicos | Régimen parcialmente diferenciado. | Quedan expresamente sujetos, con reglas específicas. |
Los conceptos nuevos que conviene aprender
Explicado en simple
Hay cinco palabras que van a aparecer en todas las conversaciones sobre esta ley. Vale la pena tenerlas claras desde el principio:
- Titular. La persona de carne y hueso a la que se refieren los datos. Tú, cuando compras en una tienda online.
- Responsable. Quien decide para qué y cómo se usan esos datos. La tienda.
- Encargado (la ley lo llama «tercero mandatario»). Quien trata los datos por encargo del responsable. El proveedor de correos masivos que usa la tienda.
- Tratamiento. Prácticamente cualquier cosa que se haga con un dato: recolectar, guardar, consultar, usar, compartir, borrar.
- Base de licitud. La razón legal por la que puedes usar un dato. Sin una, no puedes tratarlo.
La idea de fondo: el responsable no deja de serlo porque contrató a alguien. Si tu proveedor filtra los datos de tus clientes, el problema también es tuyo.
Para equipos técnicos y legales
Definiciones del art. 2° que tienen consecuencias técnicas directas:
- Dato personal: información vinculada o referida a una persona natural identificada o identificable, directa o indirectamente. El test es objetivo: «todos los medios y factores objetivos que razonablemente se podrían usar para dicha identificación en el momento del tratamiento». Identificadores de dispositivo, IPs asociadas a cuentas y claves subrogadas caen dentro si permiten reidentificar.
- Anonimización art. 2° k): procedimiento irreversible. «Un dato anonimizado deja de ser un dato personal». Es la única salida real del ámbito de la ley.
- Seudonimización art. 2° l): el dato sigue siendo personal. Exige que la información adicional figure por separado y bajo medidas técnicas y organizativas. Hashear un RUT sin sal y sin separación de claves no es anonimizar.
- Fuentes de acceso público art. 2° i): que un dato sea público no lo saca de la ley. «El tratamiento de datos personales provenientes de fuentes de acceso público se someterá a las disposiciones de esta ley». Raspar un registro público y construir una base comercial sigue siendo tratamiento regulado.
- Comunicación vs. cesión art. 2° c): comunicar es dar a conocer sin transferir la titularidad del tratamiento; ceder implica transferirla. Se rigen por reglas distintas.
El encargado tiene deberes propios (art. 15 bis): debe cumplir el deber de secreto y el de seguridad, reportar al responsable cualquier vulneración, y al terminar el servicio suprimir o devolver los datos.
¿Es una copia del RGPD europeo?
Se le parece en la arquitectura —principios, bases de licitud, derechos, autoridad de control, sanciones porcentuales— pero no es lo mismo, y asumir que sí es la causa de varios errores que circulan. Tres diferencias que importan:
- Datos sensibles. Chile incluye expresamente la situación socioeconómica en la lista de datos sensibles. El RGPD no.
- Notificación de brechas. El RGPD fija 72 horas. La ley chilena no fija un plazo en horas: exige reportar «por los medios más expeditos posibles y sin dilaciones indebidas» (ver detalle).
- Modelo de prevención. Es una figura propia del derecho chileno, heredada de la Ley 20.393 de responsabilidad penal de las personas jurídicas. Es voluntario y la Agencia lo certifica (ver detalle).
Por eso copiar una política de privacidad europea y traducirla no funciona: quedará corta en algunos puntos y sobrará en otros.
Y ahora qué
Si esto es lo primero que lees sobre la ley, el orden natural es: confirmar si te aplica, revisar desde cuándo, y luego bajar a lo que hay que hacer.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.