Ley 19.628 vs. Ley 21.719: qué cambia exactamente en protección de datos
Chile regula los datos personales desde 1999 con la Ley 19.628 sobre protección de la vida privada. La Ley 21.719 no la deroga: la reforma íntegramente — hasta le cambia el nombre, que pasa a ser "Ley sobre protección de los datos personales". Entender qué cambia (y qué ya es exigible hoy) evita dos errores comunes: creer que no hay obligaciones vigentes, y creer que las nuevas pueden esperar.
La comparativa de un vistazo
| Aspecto | Ley 19.628 (hoy) | Ley 21.719 (desde el 1-12-2026) |
|---|---|---|
| Base de licitud | Consentimiento expreso y escrito + amplia excepción de fuentes públicas | Consentimiento + obligación legal, contrato o interés legítimo; excepción de fuentes públicas restringida |
| Derechos del titular | 4 (acceso, modificación, cancelación, bloqueo) | 6 (+ oposición y portabilidad) |
| Autoridad de control | Ninguna — solo el juez civil (habeas data) | Agencia de Protección de Datos Personales |
| Multas | 1 a 50 UTM | Hasta 20.000 UTM; agravante de 2%/4% de ingresos solo para grandes empresas reincidentes |
| Transparencia web | No exigida | Obligatoria (art. 14 ter) |
| Evaluación de impacto (EIPD) | No existe | Obligatoria en 4 supuestos de alto riesgo |
Lo que ya rige hoy (y muchos ignoran)
La Ley 19.628 vigente no es letra muerta:
- La regla general es autorización legal o consentimiento expreso y escrito del titular.
- Los derechos ARCO — acceso, modificación, cancelación y bloqueo — son gratuitos e irrenunciables, y exigibles judicialmente mediante habeas data: el responsable tiene solo 2 días hábiles para responder al requerimiento.
- Su gran déficit es la fiscalización: no hay autoridad administrativa y las multas (1 a 50 UTM) rara vez disuaden.
Los tres cambios estructurales
1. Nace un fiscalizador. La Agencia de Protección de Datos Personales es una corporación autónoma de derecho público, técnica, con facultades de fiscalización y sanción. Hoy, reclamar por tus datos exige ir a tribunales; desde diciembre de 2026, bastará un reclamo administrativo ante la Agencia.
2. Las sanciones cambian de escala. De un máximo de 50 UTM a 20.000 UTM (unos $1.360 millones de pesos a valores de UTM cercanos a $68.000), con triplicación posible en caso de reincidencia. Las pymes (Ley 20.416) quedan fuera del agravante porcentual sobre ingresos, pero no de las multas en UTM.
3. Se acaba el comodín de las "fuentes públicas". La excepción amplia que permitía tratar datos de fuentes accesibles al público — el sustento histórico del marketing directo y el scoring comercial — se elimina y se reformula de manera restrictiva: los datos públicos solo podrán tratarse conforme a los fines de su publicación.
Novedades que exigen trabajo interno
- Portabilidad (art. 9): el titular puede exigir sus datos en un formato electrónico estructurado, genérico e interoperable — algo imposible de improvisar si tus datos viven en planillas dispersas.
- Transparencia activa (art. 14 ter): la política de tratamiento debe estar publicada permanentemente en tu sitio web.
- Accountability: el responsable debe poder acreditar la licitud de sus tratamientos, no solo afirmarla.
- EIPD (art. 15 ter): evaluación previa obligatoria para tratamientos de alto riesgo.
Estrategia práctica: cumplir la nueva ley cumple también la actual
El régimen vigente es menos exigente que el nuevo, así que todo lo que implementes hoy con estándar Ley 21.719 queda conforme a ambos. Es la razón para empezar ahora y no en noviembre de 2026: los pasos concretos están en nuestro checklist de cumplimiento, y el panorama general en la guía de la Ley 21.719 para pymes.
Este artículo es de carácter informativo y no constituye asesoría legal. Fuentes: textos oficiales de las leyes 19.628 y 21.719 en BCN/LeyChile y Diario Oficial N° 44.023 (13-12-2024).