Checklist: 6 pasos para que tu empresa cumpla la Ley 21.719
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Suena lejano hasta que se mira lo que hay que tener funcionando ese día: política publicada, tratamientos inventariados, procedimientos de derechos operativos. Este es el checklist que usamos como punto de partida con nuestros clientes.
1. Publica tu política de tratamiento de datos (art. 14 ter)
Es la obligación más visible y más fácil de fiscalizar: cualquiera puede comprobarla visitando tu sitio web. Debes mantener permanentemente a disposición del público:
- La política de tratamiento de datos, con fecha y versión.
- La individualización del responsable (y del encargado de prevención, si existe).
- Las categorías de datos que tratas, sus finalidades y los destinatarios.
- Los derechos del titular y el hecho de que puede reclamar ante la Agencia si no respondes oportunamente.
Si hoy tu sitio no tiene nada de esto, este es el punto de partida.
2. Inventaria tus tratamientos de datos
No puedes cumplir con lo que no conoces. Haz un mapeo honesto: formularios web, CRM, remuneraciones, cámaras, correos de marketing, planillas compartidas, proveedores que procesan datos por ti. Para cada uno: qué datos, de quiénes, para qué, dónde se almacenan y quién accede.
3. Define la base de licitud de cada tratamiento (art. 13)
Cada tratamiento necesita un fundamento legal explícito:
- Consentimiento del titular (la regla general),
- obligación legal,
- contrato (o medidas precontractuales a solicitud del titular), o
- interés legítimo, siempre que no afecte los derechos y libertades del titular.
El ejercicio de asignar base de licitud suele destapar los tratamientos que nadie sabe justificar — esos son exactamente los que hay que corregir antes de la vigencia.
4. Habilita procedimientos para los seis derechos
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. No basta con declararlos: necesitas un canal de recepción, plazos internos y alguien responsable de responder. La portabilidad exige además poder entregar los datos en un formato electrónico estructurado y de uso común.
5. Evalúa si necesitas una EIPD (art. 15 ter)
La evaluación de impacto en protección de datos es obligatoria antes de iniciar el tratamiento en cuatro supuestos: decisiones automatizadas o perfiles con efectos significativos, tratamiento a gran escala, monitoreo sistemático de zonas de acceso público (las cámaras de tu local pueden calificar) y datos sensibles en las hipótesis de excepción del consentimiento.
6. Revisa tu marketing y scoring
La excepción de "fuentes accesibles al público" — sobre la que se construyó buena parte del marketing directo y la evaluación comercial en Chile — desaparece con la reforma. El uso de datos públicos queda acotado a los fines de su publicación. Si tu prospección depende de bases compradas o datos "públicos", necesitas rediseñarla.
Bonus: el modelo de prevención como póliza de seguro
El modelo de prevención de infracciones (art. 49) y el delegado de protección de datos (art. 50) son voluntarios. Pero hay un incentivo concreto: la certificación del modelo opera como atenuante frente a multas que llegan a 20.000 UTM. Para una pyme, un modelo proporcional — política, delegado, procedimientos de derechos y registro de tratamientos — es la vía de menor costo para acotar el riesgo.
¿Y mientras tanto?
Hasta el 30 de noviembre de 2026 sigue rigiendo la Ley 19.628 actual, que ya exige consentimiento y reconoce derechos exigibles judicialmente. Todo lo que implementes hoy con estándar Ley 21.719 queda automáticamente conforme al régimen vigente. Contexto completo en nuestra guía de la Ley 21.719 y en la comparativa entre ambas leyes.
Este artículo es de carácter informativo y no constituye asesoría legal. Fuentes: Ley 21.719 (Diario Oficial N° 44.023, 13-12-2024), BCN/LeyChile y guía oficial de Gobierno Digital.