Protección de datos en Chile: qué exige la Ley 21.719 a las empresas
La protección de datos es el conjunto de reglas y medidas que aseguran que la información de las personas se recolecte, use y guarde de forma lícita y segura. En Chile, ese marco cambia por completo con la Ley 21.719, que entra en vigor el 1 de diciembre de 2026.
La nueva ley modifica a fondo la Ley 19.628, vigente desde 1999. Crea una autoridad con poder para fiscalizar y sancionar, amplía los derechos de las personas y fija multas que pueden superar los mil millones de pesos.
Para cualquier empresa que maneje datos de clientes, colaboradores o usuarios, la pregunta ya no es si debe cumplir, sino cómo llegar preparada.
Qué es la protección de datos y por qué cambia ahora
Todo dato que permite identificar a una persona es un dato personal: un RUT, un correo, una dirección IP, el historial de compras o una foto del rostro.
Proteger esos datos tiene dos caras:
- La legal: tratar los datos solo con una base válida, para un fin claro y respetando los derechos de su titular.
- La técnica: impedir que se filtren, se alteren o los use alguien sin autorización.
La Ley 19.628 cubría la primera cara en el papel, pero no tenía una autoridad que la hiciera cumplir. La Ley 21.719 corrige eso y alinea a Chile con estándares como el Reglamento General de Protección de Datos europeo (GDPR).
Te puede interesar: Protección de datos personales: Los 3 pilares para blindar tu organización
Qué cambia con la Ley 21.719
Los cambios principales son cuatro:
- Una autoridad propia. Se crea la Agencia de Protección de Datos Personales, que puede fiscalizar, dictar normas obligatorias, resolver reclamos y aplicar multas.
- Principios exigibles. Todo tratamiento debe respetar la licitud, la finalidad, la proporcionalidad, la seguridad, la transparencia y la responsabilidad.
- Más derechos para las personas. Se suman la portabilidad y el bloqueo a los derechos que ya existían.
- Sanciones reales. Las infracciones se clasifican en leves, graves y gravísimas, con multas en UTM.
Los derechos de los titulares en la ley de protección de datos
La ley reconoce seis derechos a toda persona cuyos datos se tratan:
| Derecho | Qué permite |
|---|---|
| Acceso | Saber si una empresa trata sus datos, de dónde los obtuvo y para qué los usa |
| Rectificación | Corregir datos inexactos o desactualizados |
| Supresión | Pedir que se eliminen datos sin fundamento legal o tratados de forma ilícita |
| Oposición | Oponerse a ciertos usos, como el marketing directo o las decisiones automatizadas |
| Portabilidad | Recibir sus datos en un formato electrónico estructurado |
| Bloqueo | Suspender temporalmente el tratamiento mientras se resuelve una solicitud |
Las empresas tienen 30 días corridos para responder estas solicitudes, prorrogables por otros 30.
Obligaciones para las empresas
Quien decide cómo y para qué se usan los datos es el responsable del tratamiento. Sus obligaciones más importantes son:
- Tener una base legal para cada tratamiento, como el consentimiento del titular, un contrato o una obligación legal.
- Informar con transparencia qué datos recolecta, para qué, con quién los comparte y si los transfiere a otros países.
- Aplicar medidas de seguridad técnicas y organizativas, como el cifrado o la seudonimización, y revisar su eficacia de forma periódica.
- Proteger desde el diseño y por defecto: la privacidad se considera desde que se crea un producto o proceso, no al final.
- Notificar las vulneraciones de seguridad a la Agencia sin dilaciones indebidas cuando pongan en riesgo los derechos de los titulares.
- Evaluar el impacto antes de tratar datos sensibles de forma sistemática y a gran escala.
La ley también permite adoptar un modelo de prevención de infracciones. Es voluntario, pero si la Agencia lo certifica funciona como atenuante ante una sanción.
Datos sensibles: el caso de la biometría
Los datos sensibles tienen una protección reforzada. Entre ellos están los de salud y los biométricos, como la huella dactilar, el rostro o el iris.
Esto importa a cualquier empresa que use biometría para validar identidad, registrar asistencia o autorizar pagos. Tratar datos sensibles sin cumplir la ley es una infracción gravísima.
La biometría sigue siendo una de las formas más seguras de autenticar. La diferencia es que ahora debe usarse con una base legal clara, con un fin definido y con datos protegidos de punta a punta.
Profundiza en este contenido: Cómo prevenir un ciberataque que entra por accesos invisibles o poco protegidos
Inteligencia artificial y decisiones automatizadas
La ley obliga a informar si la empresa toma decisiones automatizadas o elabora perfiles, y permite a la persona oponerse a una decisión automática que la afecte y pedir revisión humana. Para modelos de prevención de fraude, eso exige que cada decisión pueda explicarse. Lo vemos en detalle en IA y protección de datos: cómo usar inteligencia artificial sin exponer información sensible.
Multas por incumplimiento
| Tipo de infracción | Multa máxima |
|---|---|
| Leve | 5.000 UTM |
| Grave | 10.000 UTM |
| Gravísima | 20.000 UTM |
En caso de reincidencia, las multas pueden aumentar o calcularse como un porcentaje de las ventas anuales. Las empresas sancionadas quedan, además, en un registro público, lo que suma un costo reputacional.
Cómo preparar a tu empresa en la protección de datos: 6 pasos para hacerlo
- Haz un inventario de datos. Identifica qué datos personales recolectas, dónde los guardas, quién accede y con quién los compartes.
- Revisa la base legal de cada uso. Si dependes del consentimiento, verifica que esté documentado y que la persona sepa para qué lo dio.
- Actualiza tu política de privacidad. Debe ser clara, fácil de encontrar e incluir las decisiones automatizadas y las transferencias internacionales.
- Refuerza la seguridad. Autenticación multifactor, cifrado en tránsito y en reposo, control de accesos y registros de actividad.
- Define cómo responderás a los titulares. Crea un canal y un procedimiento para atender solicitudes en el plazo legal.
- Prepara un plan ante incidentes. Define quién detecta, quién evalúa y cómo se notifica a la Agencia si hay una vulneración.
Descubre más: Cómo el machine learning mejora la experiencia de la MFA en el mundo financiero
¿Se posterga la ley?
En agosto de 2026, el Gobierno presentó un proyecto para mover la entrada en vigor al 1 de diciembre de 2027. A octubre de 2026, el proyecto sigue en trámite en el Senado.
Mientras no se apruebe y publique, la fecha vigente es el 1 de diciembre de 2026. Y aun si se posterga, la Ley 19.628 sigue vigente: las obligaciones de proteger los datos ya existen.
Preguntas frecuentes sobre protección de datos
¿Cuándo entra en vigor la Ley 21.719? El 1 de diciembre de 2026, salvo que el Congreso apruebe el proyecto de postergación.
¿Quién fiscaliza la protección de datos en Chile? La Agencia de Protección de Datos Personales, creada por la Ley 21.719.
¿La ley aplica a las pymes? Sí. Aplica a toda organización que trate datos personales, sin importar su tamaño.
¿Qué diferencia hay entre protección de datos y ciberseguridad? La protección de datos define qué se puede hacer con la información de las personas. La ciberseguridad aporta las herramientas técnicas para que nadie la use sin autorización. La ley exige ambas.
Cómo ayuda Ionix
Cumplir con la Ley 21.719 exige saber quién accede a los datos y poder explicar cada decisión automática. Ionix valida identidades con biometría protegida y evalúa el riesgo de cada interacción en tiempo real, con trazabilidad de cada decisión.
¿Quieres revisar cómo proteger los datos de tus usuarios sin sumar fricción? Conversemos.
