El 1 de diciembre de 2026 comienza la plena vigencia de la Ley 21.719, la reforma que moderniza el régimen chileno de protección de datos personales. Se trata del cambio más importante en esta materia en más de dos décadas y marca un antes y un después: por primera vez, Chile contará con una Agencia de Protección de Datos Personales con facultades para fiscalizar, investigar y aplicar sanciones.
La mayoría de los artículos sobre esta ley se enfocan en los aspectos jurídicos: bases de licitud, contratos, consentimientos o cláusulas. Todo eso es importante, pero suele quedar en segundo plano un aspecto igual de crítico. Cumplir con la Ley 21.719 no consiste únicamente en tener la documentación correcta; también implica demostrar que los datos personales están efectivamente protegidos.
Y esa demostración no surge de un contrato. Surge de la evidencia que generan la tecnología y los procesos: controles implementados, registros de auditoría, procedimientos documentados y una estrategia de seguridad capaz de responder ante una fiscalización o un incidente.
En este artículo analizamos la Ley 21.719 desde esa perspectiva y repasamos qué medidas técnicas conviene comenzar a implementar para llegar preparado a diciembre de 2026.
¿Qué es la Ley 21.719 y por qué puede aplicarte aunque tu empresa no esté en Chile?
La Ley 21.719, publicada el 13 de diciembre de 2024, moderniza profundamente la antigua Ley 19.628 sobre protección de datos personales, adaptando el marco regulatorio chileno a un entorno donde el cloud, el comercio electrónico, las redes sociales y la inteligencia artificial forman parte de la operación diaria de las organizaciones.
Su enfoque se inspira en el Reglamento General de Protección de Datos (GDPR) de la Unión Europea, incorporando principios y obligaciones similares, aunque con características propias del sistema jurídico chileno.
Hay dos aspectos que conviene tener claros desde el inicio.
El primero es que la ley alcanza a cualquier organización, pública o privada, que trate datos personales de personas ubicadas en Chile. La obligación existe tanto para una startup como para una gran empresa; lo que cambia es el nivel de las medidas esperadas, que deben ser proporcionales a los riesgos asociados al tratamiento de los datos.
El segundo aspecto es que la ley puede tener un alcance extraterritorial. No todas las organizaciones alcanzadas estarán establecidas en Chile. En determinados casos, la normativa también puede aplicarse a empresas extranjeras que traten datos personales de personas ubicadas en Chile, aun cuando operen desde otro país.
Si tu empresa ofrece productos o servicios a personas en Chile o trata datos personales en el contexto de esas actividades, es importante evaluar si la Ley 21.719 resulta aplicable.
El mayor desafío no es jurídico, es demostrar que proteges los datos
Uno de los pilares de la nueva normativa es el principio de responsabilidad proactiva (accountability). Ya no alcanza con afirmar que una organización cumple; debe ser capaz de demostrarlo.
La ley también incorpora el principio de seguridad, que exige implementar medidas técnicas y organizativas apropiadas para proteger los datos personales frente a accesos no autorizados, pérdidas, alteraciones, destrucción o divulgación indebida.
En la práctica, esto significa que una fiscalización no se limita a revisar contratos o políticas internas. También puede requerir evidencia de cómo la organización protege la información, cómo administra los accesos, cómo responde ante incidentes y qué controles tiene implementados.
Es en ese punto donde el cumplimiento deja de ser una cuestión exclusivamente legal y pasa a involucrar directamente a las áreas de tecnología y ciberseguridad.
Las medidas técnicas que conviene empezar a implementar
La Ley 21.719 no establece una lista cerrada de controles de seguridad. Lo que exige es adoptar medidas técnicas y organizativas apropiadas, considerando la naturaleza de los datos tratados, los riesgos existentes y las características de cada organización.
En la práctica, un programa de seguridad alineado con estos principios suele incluir medidas como:
- Cifrado de la información, tanto en reposo como en tránsito.
- Controles de acceso basados en el principio de mínimo privilegio, complementados con autenticación multifactor (MFA) y una adecuada gestión de identidades privilegiadas.
- Registros de auditoría que permitan conocer quién accedió, modificó o eliminó información y cuándo ocurrió cada acción.
- Herramientas de prevención de fuga de información (DLP) para reducir el riesgo de exfiltración de datos.
- Gestión segura de dispositivos corporativos y personales mediante soluciones de administración y borrado remoto cuando corresponda.
La elección de los controles dependerá del contexto de cada organización. Lo importante es que las medidas adoptadas sean coherentes con el nivel de riesgo y que puedan justificarse ante una eventual fiscalización.
El RAT: el primer documento que probablemente te pidan
La ley exige mantener un Registro de Actividades de Tratamiento (RAT), un documento que identifica qué datos personales trata la organización, con qué finalidad, cuál es la base jurídica que habilita ese tratamiento, quiénes participan en él, durante cuánto tiempo se conservan los datos y si existen transferencias a terceros.
Desde el punto de vista legal, el RAT es una pieza central del cumplimiento. Sin embargo, elaborarlo correctamente depende de algo mucho más técnico: saber dónde están realmente los datos personales.
Por eso, uno de los primeros pasos suele ser realizar un proceso de descubrimiento y clasificación de datos. Este ejercicio permite identificar información distribuida entre bases de datos, servicios en la nube, aplicaciones SaaS, casillas de correo y repositorios compartidos.
Solo con esa visibilidad es posible construir un RAT confiable y definir qué información necesita protección y qué controles son adecuados para cada caso.
En definitiva, no es posible documentar ni proteger aquello cuya existencia se desconoce.
EIPD: evaluar los riesgos antes de iniciar tratamientos de alto impacto
La Ley 21.719 incorpora la obligación de realizar una Evaluación de Impacto en Protección de Datos (EIPD) cuando un tratamiento pueda generar riesgos elevados para los derechos de las personas.
Esto puede ocurrir, por ejemplo, en tratamientos masivos, perfilamientos con efectos significativos, monitoreo sistemático de espacios públicos o tratamiento de categorías especiales de datos personales.
Si una organización incorpora soluciones de inteligencia artificial que procesan datos personales, también deberá analizar si ese tratamiento presenta un nivel de riesgo que haga necesaria una EIPD antes de su implementación.
Gestión de brechas: prepararse antes de que ocurra el incidente
Cuando se produzca una vulneración de datos personales, la Ley 21.719 exige notificar a la Agencia de Protección de Datos Personales sin dilación indebida. Además, cuando la brecha represente un alto riesgo para los derechos de las personas, también será necesario informar a los titulares afectados.
Existe un punto que suele generar confusión. El conocido plazo de 72 horas no surge de la Ley 21.719, sino de la Ley Marco de Ciberseguridad (Ley 21.663), que establece ese plazo para reportar determinados incidentes a la Agencia Nacional de Ciberseguridad (ANCI).
En muchas organizaciones ambas normas convivirán. Un mismo incidente puede generar obligaciones frente a dos autoridades distintas y con requisitos diferentes.
Por esa razón, contar con un procedimiento documentado de respuesta a incidentes, previamente probado y conocido por los equipos involucrados, deja de ser una buena práctica para convertirse en un elemento clave del cumplimiento.
Las multas: por qué este tema llegó a la agenda de la dirección
El nuevo régimen sancionatorio representa uno de los mayores cambios introducidos por la ley.
Las sanciones pueden alcanzar las 20.000 UTM y, en determinadas circunstancias previstas por la normativa, llegar hasta el 4 % de los ingresos anuales de la organización. Además, la Agencia podrá investigar de oficio, ordenar medidas correctivas y mantener un Registro Nacional de Sanciones.
Más allá del impacto económico, una investigación o una sanción pueden afectar la confianza de clientes, socios comerciales e inversionistas. Por eso, la protección de datos dejó de ser un tema exclusivo de TI para convertirse en una cuestión de gestión del riesgo empresarial.
¿Cómo demuestra una empresa que cumple?
Una de las principales diferencias entre la Ley 21.719 y el régimen anterior es que el cumplimiento debe poder acreditarse.
Cuando una organización sea fiscalizada, no bastará con afirmar que protege los datos personales. Será necesario demostrarlo mediante evidencia.
Esa evidencia puede incluir políticas aprobadas, inventarios de datos, registros de auditoría, controles de acceso implementados, documentación de evaluaciones de riesgo, procedimientos de respuesta a incidentes, capacitaciones realizadas y cualquier otro antecedente que permita demostrar que las medidas adoptadas son apropiadas para los riesgos identificados.
En otras palabras, el objetivo no es solamente tener controles de seguridad, sino poder probar que existen, funcionan y se gestionan adecuadamente.
Hoja de ruta para llegar preparado a diciembre de 2026
Un programa de adecuación suele requerir varios meses de trabajo. Un orden razonable podría ser el siguiente:
- Realizar un diagnóstico de brechas respecto de los requisitos de la Ley 21.719.
- Identificar y clasificar los datos personales presentes en la organización.
- Elaborar el Registro de Actividades de Tratamiento (RAT).
- Implementar o fortalecer los controles técnicos de seguridad de acuerdo con el nivel de riesgo.
- Realizar Evaluaciones de Impacto en Protección de Datos para los tratamientos que lo requieran.
- Definir y probar un procedimiento de gestión de incidentes y brechas de seguridad.
- Revisar los contratos con proveedores que actúan como encargados del tratamiento de datos personales.
- Capacitar al personal y reforzar las obligaciones de confidencialidad.
Aunque diciembre de 2026 parezca una fecha lejana, los proyectos de adecuación rara vez se completan en pocas semanas. Comenzar con anticipación permite priorizar riesgos, distribuir esfuerzos y llegar a la entrada en vigor de la ley con un programa de cumplimiento realmente operativo.
Preguntas frecuentes sobre la Ley 21.719
¿Cuándo entra en vigencia la Ley 21.719?
Su plena vigencia comienza el 1 de diciembre de 2026, luego del período de implementación previsto por la propia ley.
¿Puede aplicarse si mi empresa no está en Chile?
Sí. La ley tiene alcance extraterritorial y puede aplicarse a organizaciones que traten datos personales de personas ubicadas en Chile, aunque operen desde otro país.
¿Es obligatorio designar un Delegado de Protección de Datos?
La ley no establece una obligación general para todas las organizaciones. Sin embargo, contempla esta figura y su designación puede resultar exigible o recomendable según las circunstancias y el modelo de cumplimiento adoptado.
¿La ley obliga a notificar una brecha en 72 horas?
No. La Ley 21.719 exige notificar sin dilación indebida. El plazo de 72 horas corresponde a la Ley Marco de Ciberseguridad para determinados reportes ante la ANCI.
¿Cuál es la multa máxima?
Las sanciones pueden alcanzar las 20.000 UTM y, en determinados casos previstos por la ley, llegar hasta el 4 % de los ingresos anuales de la organización.
Prepara tu empresa con Nextfense
La adecuación a la Ley 21.719 es un proceso continuo, no un proyecto que termina cuando se redacta una política o se firma un contrato. Requiere mantener una postura de seguridad capaz de prevenir riesgos, detectar incidentes y demostrar que los controles funcionan.
En Nextfense ayudamos a las organizaciones a recorrer ese camino combinando consultoría especializada con Core, nuestra plataforma de gestión de ciberseguridad, que centraliza la visibilidad del entorno, facilita el monitoreo continuo y aporta la evidencia necesaria para fortalecer el cumplimiento y la respuesta ante incidentes.
Cuanto antes comience el proceso de adecuación, mayor será el margen para implementar mejoras de forma planificada y llegar a diciembre de 2026 con una estrategia sólida de protección de datos.
.jpg)