Ley 21.719 para pymes: qué aplica el 1 de diciembre de 2026 y qué viene después
Respuesta corta: desde el 1 de diciembre de 2026 toda empresa chilena que trate datos de personas, de cualquier tamaño, debe tener una base legal para cada uso de datos, publicar una política con 12 puntos, responder solicitudes en 30 días corridos, proteger los datos y reportar brechas, y firmar contratos con sus proveedores. Las multas llegan a 20.000 UTM, pero durante los primeros 12 meses la Agencia puede limitarse a amonestar por escrito a las empresas de menor tamaño. Varios detalles, como los estándares de seguridad por tamaño, los fijará la Agencia más adelante.
Desde cuándo rige y a quién se aplica
La Ley N° 21.719 fue promulgada el 25 de noviembre de 2024 y publicada en el Diario Oficial N° 44.023 el 13 de diciembre de 2024. No es una ley independiente: su artículo primero reescribe la Ley N° 19.628, que pasa a llamarse «sobre protección de datos personales». Por eso los artículos que se citan (5°, 11, 14 ter, 34 bis…) son los de la Ley 19.628 modificada.
Las modificaciones a las leyes N° 19.628 […] entrarán en vigencia el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial.Art. 1° transitorio, Ley 21.719
Publicada en diciembre de 2024, el mes vigésimo cuarto posterior es diciembre de 2026. La nueva regulación rige desde el 1 de diciembre de 2026.
Se aplica a «todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos» (art. 1°). No hay excepción por tamaño de empresa. Quedan fuera el tratamiento que hacen las personas naturales en sus actividades personales y el ejercicio de las libertades de opinar e informar. También se aplica a empresas extranjeras que ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento (art. 1° bis).
Obligaciones desde el 1 de diciembre de 2026
| Obligación | Qué significa para una pyme | Artículo |
|---|---|---|
| Base de licitud | Cada uso de datos necesita consentimiento o una de las otras fuentes: obligación legal, contrato o medidas precontractuales, interés legítimo, defensa de un derecho, o datos comerciales del Título III. Debes poder acreditarla. | 12, 13 |
| Consentimiento | Libre, informado, específico, previo e inequívoco. Se puede revocar en cualquier momento por un medio igual de simple. Te toca probarlo. | 12 |
| Política publicada | Información permanente en tu sitio u otro medio: responsable, contacto, datos, finalidades, bases, destinatarios, seguridad, derechos, transferencias, plazos, fuente, retiro del consentimiento y decisiones automatizadas. | 14 ter |
| Confidencialidad | Secreto sobre los datos, también para trabajadores y proveedores, incluso después de terminada la relación. | 14 bis |
| Diseño y por defecto | Recoger solo lo necesario y pensar la protección antes de lanzar un proceso o sistema. | 14 quáter |
| Seguridad | Medidas adecuadas al riesgo (cifrado, respaldos, control de accesos, revisiones). Si hay controversia, te toca acreditarlas. | 14 quinquies |
| Brechas | Reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» si hay riesgo razonable; registrar; avisar a los afectados si son datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales. No hay un plazo en horas. | 14 sexies |
| Proveedores (encargados) | Contrato escrito con objeto, duración, finalidad, tipo de datos, categorías de titulares y derechos y obligaciones. Subencargos solo con autorización escrita. | 15 bis |
| Evaluación de impacto | Previa y obligatoria en tratamientos de alto riesgo: perfiles automatizados con efectos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas públicas, datos sensibles sin consentimiento. | 15 ter |
| Datos sensibles | Salud, biometría, origen étnico, afiliación sindical o política, religión, vida y orientación sexual, identidad de género, situación socioeconómica: consentimiento expreso o excepción legal. Reglas extra para salud (16 bis) y biometría (16 ter). | 2° g, 16 |
| Niños, niñas y adolescentes | Interés superior. Menores de 14: autorización de padres o representantes. Datos sensibles de menores de 16: también. | 16 quáter |
| Transferencias internacionales | A países con nivel adecuado, con garantías (cláusulas contractuales, normas corporativas vinculantes, certificación) o en casos puntuales de excepción. | 27, 28 |
Derechos de las personas y plazos
Toda persona puede pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos (art. 4°). Son irrenunciables. El procedimiento está en el art. 11:
- La empresa debe acusar recibo y pronunciarse dentro de 30 días corridos desde el ingreso, plazo prorrogable una sola vez por hasta 30 días corridos.
- Debe responder por escrito y guardar respaldo de la fecha, el destino y el contenido íntegro de la respuesta.
- Si deniega, debe fundar la decisión e informar que la persona tiene 30 días hábiles para reclamar ante la Agencia (art. 41).
- El bloqueo temporal, pedido junto con una rectificación, supresión u oposición, se responde dentro de 2 días hábiles; mientras tanto no se pueden usar esos datos.
- Rectificar, suprimir y oponerse es siempre gratis; el acceso, al menos una vez por trimestre (art. 10).
La supresión tiene excepciones: por ejemplo, no procede si el tratamiento es necesario para cumplir una obligación legal o ejecutar un contrato con la persona, o para defender reclamaciones (art. 7°). La portabilidad solo procede si el tratamiento es automatizado y se basa en el consentimiento (art. 9°).
Infracciones y multas
| Tipo | Ejemplos | Sanción (art. 35) | Equivalente* |
|---|---|---|---|
| Leve (34 bis) | No cumplir el deber de información del 14 ter; no tener un contacto operativo; responder tarde o incompleto | Amonestación escrita o multa de hasta 5.000 UTM | ≈ $361 millones |
| Grave (34 ter) | Tratar sin base legal o para otra finalidad; impedir derechos; datos de menores contra la ley; vulnerar la seguridad o la confidencialidad; omitir comunicaciones o registros de brechas; transferir al extranjero contra la ley | Multa de hasta 10.000 UTM | ≈ $722 millones |
| Gravísima (34 quáter) | Tratamiento fraudulento; tratar datos sensibles o de menores a sabiendas contra la ley; omitir deliberadamente comunicar una brecha; no hacer una evaluación de impacto obligatoria | Multa de hasta 20.000 UTM | ≈ $1.443 millones |
* Con la UTM de octubre de 2026, $72.151 según el SII. Son máximos.
- Las medidas para corregir la infracción deben adoptarse en 60 días; si no, la multa sube 50% (art. 35).
- Reincidencia, es decir, dos o más sanciones en 30 meses: hasta el triple. Solo las empresas que no son de menor tamaño, si reinciden en infracciones graves o gravísimas, se exponen además a multas de hasta el 2% o 4% de sus ingresos anuales (arts. 35 y 36).
- Infracciones gravísimas reiteradas en 24 meses: suspensión del tratamiento de datos hasta por 30 días (art. 38).
- Las sanciones se publican por 5 años en el Registro Nacional de Sanciones y Cumplimiento (art. 39). Las acciones prescriben en 4 años (art. 40).
- Además, la empresa debe indemnizar el daño patrimonial y extrapatrimonial que cause a las personas (art. 47).
Regla transitoria para empresas de menor tamaño
Durante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción para empresas calificadas como de menor tamaño, de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416 […], la Agencia podrá aplicar como sanción una amonestación por escrito […]. A esta amonestación será aplicable el deber de registro según lo dispone el artículo 39 de la presente ley.Art. 6° transitorio, Ley 21.719
Tres matices: dice «podrá», así que es una facultad de la Agencia y no una garantía; la amonestación queda en el registro público; y no elimina la responsabilidad civil frente a las personas afectadas. Según nuestra lectura, el período va del 1 de diciembre de 2026 al 30 de noviembre de 2027.
Son empresas de menor tamaño las micro (ventas anuales hasta 2.400 UF), pequeñas (más de 2.400 y hasta 25.000 UF) y medianas (más de 25.000 y hasta 100.000 UF), según el art. 2° de la Ley 20.416, que excluye algunos giros, como ciertos negocios inmobiliarios y financieros. La ley también ordena que la Agencia fije estándares de información y seguridad diferenciados según ese tamaño (art. 14 septies).
Lo que viene después o depende de la Agencia
La Agencia de Protección de Datos Personales dictará instrucciones generales, que deben pasar antes por consulta pública en su sitio web (art. 30 bis a). Las que dicte antes del 1 de diciembre de 2026 solo serán obligatorias desde esa fecha (art. 4° transitorio). Quedan pendientes, entre otros:
- Estándares mínimos de información y seguridad diferenciados por tamaño de empresa, tipo y volumen de datos (art. 14 septies).
- Procedimientos para autenticar la identidad de quien ejerce un derecho (art. 11 a).
- Parámetros de costos cuando se pide acceso o portabilidad más de una vez por trimestre (art. 10).
- Lista orientativa de tratamientos que requieren evaluación de impacto y orientaciones mínimas (art. 15 ter).
- Modelos tipo de contratos con encargados (art. 15 bis), lista de países adecuados y cláusulas modelo para transferencias (art. 28).
- Reglamento para certificar modelos de prevención de infracciones (art. 51).
- Reglamento sobre comunicación de datos entre organismos públicos y con privados, dentro de 6 meses desde la vigencia (art. 26 y 2° transitorio).
Mientras no existan, la obligación se cumple con el texto de la ley. Por ejemplo, la seguridad ya es exigible el 1 de diciembre, aunque el estándar diferenciado para pymes llegue después.
Lo que es voluntario
Nombrar un delegado de protección de datos y adoptar un modelo de prevención de infracciones son voluntarios (arts. 49 y 50). En una micro, pequeña o mediana empresa el dueño puede asumir las tareas de delegado. Un modelo certificado por la Agencia cuenta como atenuante (art. 36 N° 5) y figura en el registro público. Lo que sí es obligatorio para todos es adoptar acciones para prevenir infracciones (art. 48), sin que la ley diga cuáles.
Tampoco existe ya la obligación de inscribir bases de datos en el Registro Civil: ese registro se elimina (art. 3° transitorio). Y la ley chilena no exige un «registro de actividades de tratamiento» como el europeo, aunque en la práctica necesitas ese inventario para cumplir el art. 14 ter y responder solicitudes de acceso.
¿Por dónde empezar? Haz el autodiagnóstico gratuito (15 preguntas, 10 minutos) y publica tu política con el generador.
Fuentes
- Ley N° 21.719, Diario Oficial N° 44.023, 13-12-2024, CVE 2583630: PDF del Diario Oficial.
- Biblioteca del Congreso Nacional: Ley 21.719 y Ley 19.628.
- Ley N° 20.416, art. 2°: BCN.
- Valor UTM 2026: Servicio de Impuestos Internos.