Ley 21.719: lo que toda pyme chilena debe saber antes del 1 de diciembre de 2026
Si tu empresa tiene un sitio web, una base de clientes o una planilla de remuneraciones, trata datos personales — y desde el 1 de diciembre de 2026 lo hará bajo un régimen completamente nuevo.
La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, reforma íntegramente la antigua Ley 19.628 y crea por primera vez en Chile una autoridad dedicada: la Agencia de Protección de Datos Personales. No es un ajuste cosmético: cambia las reglas de qué datos puedes usar, para qué, y cuánto cuesta hacerlo mal.
El cambio más visible: las multas
El régimen vigente contempla multas de 1 a 50 UTM. El nuevo régimen las lleva a otra escala:
| Categoría de infracción | Multa máxima |
|---|---|
| Leve | 5.000 UTM |
| Grave | 10.000 UTM |
| Gravísima | 20.000 UTM |
Para dimensionarlo: a valores de UTM cercanos a $68.000, una infracción grave puede llegar a unos $680 millones de pesos, y una gravísima, a más de $1.300 millones. Y si una empresa acumula dos o más sanciones firmes en 30 meses, la multa puede triplicarse.
La buena noticia para las pymes: las empresas de menor tamaño según la Ley 20.416 quedan excluidas del agravante porcentual (2% o 4% de los ingresos anuales), que solo aplica a empresas grandes reincidentes. La mala: las multas en UTM aplican igual, y para una pyme, son montos existenciales.
Qué exige la ley (en simple)
- Transparencia en tu sitio web (art. 14 ter): publicar de forma permanente tu política de tratamiento de datos, con fecha y versión, identificando al responsable, qué categorías de datos tratas, con qué fin, a quién los comunicas y cómo pueden los titulares ejercer sus derechos. Es la obligación más fácil de fiscalizar: basta con visitar tu sitio.
- Base de licitud para cada tratamiento (art. 13): cada uso de datos personales necesita un fundamento — consentimiento, obligación legal, contrato o interés legítimo.
- Seis derechos de los titulares: acceso, rectificación, supresión, oposición, portabilidad (nuevo) y bloqueo. Tu empresa debe tener un procedimiento real para atenderlos.
- Evaluación de impacto (EIPD, art. 15 ter): obligatoria antes de iniciar tratamientos de alto riesgo — decisiones automatizadas con efectos significativos, tratamiento a gran escala, monitoreo de zonas públicas (por ejemplo, cámaras) o datos sensibles en ciertos supuestos.
- Fin de la excepción de "fuentes accesibles al público": la base histórica de gran parte del marketing directo y el scoring comercial en Chile desaparece. El uso de datos públicos queda acotado a los fines de su publicación.
"La Agencia está atrasada, ¿me puedo relajar?"
No. La instalación de la Agencia ha tenido retrasos — a mediados de 2026 la designación de su Consejo Directivo seguía pendiente en el Senado — pero eso no cambia la fecha de vigencia: el 1 de diciembre de 2026 está fijado por ley y las obligaciones entran a regir de pleno derecho. Una empresa que llegue a esa fecha sin política de tratamiento publicada estará en infracción visible desde el primer día.
Qué hacer ahora
El orden razonable para una pyme es: inventariar qué datos trata, definir la base de licitud de cada tratamiento, publicar la política de tratamiento en el sitio web y habilitar los procedimientos de derechos. Lo detallamos paso a paso en nuestro checklist de cumplimiento.
Y si quieres entender exactamente qué cambia respecto de la ley actual, revisa la comparativa Ley 19.628 vs. Ley 21.719.
Este artículo es de carácter informativo y no constituye asesoría legal. Fuentes: Ley 21.719 (Diario Oficial N° 44.023, 13-12-2024), texto consolidado de la Ley 19.628 en BCN/LeyChile y guía oficial de Gobierno Digital.