Ley 21.719: lo que toda pyme chilena debe saber antes del 1 de diciembre de 2026
Si tu empresa tiene un sitio web, una base de clientes o una planilla de remuneraciones, trata datos personales, y desde el 1 de diciembre de 2026 lo hará bajo un régimen completamente nuevo.
La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, reforma íntegramente la antigua Ley 19.628 y crea por primera vez en Chile una autoridad dedicada: la Agencia de Protección de Datos Personales. No es un ajuste cosmético: cambia las reglas de qué datos puedes usar, para qué, y cuánto cuesta hacerlo mal.
El cambio más visible: las multas
El régimen vigente contempla multas de 1 a 50 UTM. El nuevo régimen las lleva a otra escala:
| Categoría de infracción | Multa máxima |
|---|---|
| Leve | 5.000 UTM |
| Grave | 10.000 UTM |
| Gravísima | 20.000 UTM |
Para dimensionarlo: a valores de UTM cercanos a $68.000, una infracción grave puede llegar a unos $680 millones de pesos, y una gravísima, a más de $1.300 millones. Y si una empresa acumula dos o más sanciones firmes en 30 meses, la multa puede triplicarse.
La buena noticia para las pymes: las empresas de menor tamaño según la Ley 20.416 quedan excluidas del agravante porcentual (2% o 4% de los ingresos anuales), que solo aplica a empresas grandes reincidentes. La mala: las multas en UTM aplican igual, y para una pyme, son montos existenciales.
Qué exige la ley (en simple)
- Transparencia en tu sitio web (art. 14 ter): publicar de forma permanente tu política de tratamiento de datos, con fecha y versión, identificando al responsable, qué categorías de datos tratas, con qué fin, a quién los comunicas y cómo pueden los titulares ejercer sus derechos. Es la obligación más fácil de fiscalizar: basta con visitar tu sitio.
- Base de licitud para cada tratamiento (art. 13): cada uso de datos personales necesita un fundamento: consentimiento, obligación legal, contrato o interés legítimo.
- Seis derechos de los titulares: acceso, rectificación, supresión, oposición, portabilidad (nuevo) y bloqueo. Tu empresa debe tener un procedimiento real para atenderlos.
- Evaluación de impacto (EIPD, art. 15 ter): obligatoria antes de iniciar tratamientos de alto riesgo: decisiones automatizadas con efectos significativos, tratamiento a gran escala, monitoreo de zonas públicas (por ejemplo, cámaras) o datos sensibles en ciertos supuestos.
- Fin de la excepción de "fuentes accesibles al público": la base histórica de gran parte del marketing directo y el scoring comercial en Chile desaparece. El uso de datos públicos queda acotado a los fines de su publicación.
"La Agencia está atrasada, ¿me puedo relajar?"
No. La instalación de la Agencia ha tenido retrasos (a mediados de 2026 la designación de su Consejo Directivo seguía pendiente en el Senado), pero eso no cambia la fecha de vigencia: el 1 de diciembre de 2026 está fijado por ley y las obligaciones entran a regir de pleno derecho. Una empresa que llegue a esa fecha sin política de tratamiento publicada estará en infracción visible desde el primer día.
Qué hacer ahora
El orden razonable para una pyme es: inventariar qué datos trata, definir la base de licitud de cada tratamiento, publicar la política de tratamiento en el sitio web y habilitar los procedimientos de derechos. Lo detallamos paso a paso en nuestro checklist de cumplimiento.
Y si quieres entender exactamente qué cambia respecto de la ley actual, revisa la comparativa Ley 19.628 vs. Ley 21.719.
Este artículo es de carácter informativo y no constituye asesoría legal. Fuentes: Ley 21.719 (Diario Oficial N° 44.023, 13-12-2024), texto consolidado de la Ley 19.628 en BCN/LeyChile y guía oficial de Gobierno Digital.