Ley 21.719, la nueva Ley de Protección de Datos Personales
La Ley 21.719 es la nueva ley chilena de protección de datos personales, publicada el 13 de diciembre de 2024. Esta página resume qué reemplaza (el régimen de la Ley 19.628), qué obligaciones de seguridad, transparencia y responsabilidad demostrable introduce para las organizaciones que tratan datos en Chile, y cómo se alinea con estándares internacionales como el RGPD.
Última actualización:
La Ley 21.719 es la nueva ley de protección de datos personales de Chile: reescribe la Ley 19.628, la norma vigente hoy, crea la Agencia de Protección de Datos Personales, fija bases de licitud modernas y derechos ampliados, y respalda todo con multas de hasta 20.000 UTM anotadas en un registro público.
Esta página reúne lo esencial de la Ley 21.719 para las empresas: los cambios principales que introduce, los principios que ordenan el tratamiento de datos y la estructura de la norma con sus temas centrales, los derechos de los titulares y la cronología de implementación, y las obligaciones, plazos y sanciones que aplican. Al cierre están las cifras clave, las preguntas frecuentes y las fuentes oficiales.
La ley entra en vigencia el 1 de diciembre de 2026, y un proyecto del Gobierno en el Senado la postergaría al 1 de diciembre de 2027. Si trabaja contra ese calendario, parta por qué debe estar operativo el 1 de diciembre de 2026.
Cambios Principales
El punto de partida son cuatro cambios que reorganizan el cumplimiento respecto del régimen anterior.
Base Legal Obligatoria
Todo tratamiento requiere sustento legal específico
Derechos Exigibles
Titulares pueden ejercer derechos mediante procedimientos formales
Notificación de Brechas
Notificación de brechas sin dilaciones indebidas
Régimen Sancionatorio
Multas de hasta 20.000 UTM por infracciones
Detrás de estos cambios están los principios que la ley convierte en obligaciones verificables.
Principios Fundamentales
Ocho principios vinculantes que requieren implementación mediante controles verificables
Licitud
Requiere base legal válida y documentación que la acredite. El responsable debe demostrar cumplimiento (accountability).
Finalidad
Fines determinados, explícitos y lícitos. El tratamiento posterior se limita a estas finalidades declaradas.
Seguridad
Medidas técnicas y organizacionales apropiadas al riesgo. Notificación de brechas sin dilaciones indebidas.
Ver los 8 principios completos →
Los principios se concretan en una estructura de temas que la ley desarrolla por separado.
Estructura de la Normativa
La ley organiza las obligaciones de cumplimiento en torno a principios rectores, derechos de los titulares, y deberes específicos del responsable del tratamiento.
Principios Fundamentales
La ley establece ocho principios que rigen el tratamiento de datos personales. Estos principios operan como obligaciones verificables que el responsable debe implementar y documentar.
Derechos del Titular
La ley reconoce derechos específicos exigibles mediante procedimientos formales. El responsable debe responder dentro de plazos establecidos.
Obligaciones del Responsable
El responsable debe cumplir obligaciones específicas: información clara, registro de actividades, medidas de seguridad y notificación de brechas.
Delegado de Protección de Datos
El artículo 50 permite al responsable designar un delegado de protección de datos (“podrá designar”). El delegado supervisa el cumplimiento y actúa como punto de contacto con la Agencia.
Entre esos temas, los derechos de los titulares se detallan a continuación.
Derechos de los Titulares
Derechos exigibles mediante procedimientos formales. Plazo de respuesta: 15 días hábiles.
Acceso
Obtener confirmación sobre el tratamiento y acceder a los datos procesados.
Rectificación
Corregir datos inexactos o actualizar información incompleta.
Supresión
Eliminar datos cuando cesa la finalidad o se retira el consentimiento.
Portabilidad
Recibir datos en formato estructurado para transferencia a otro responsable.
Decisiones Automatizadas
Limitar decisiones basadas exclusivamente en procesamiento automatizado.
Ver implicancias de la inteligencia artificial en la empresa →
Todo lo anterior se enmarca en un calendario de aplicación con hitos definidos.
Cronología de Implementación
La ley establece un período de implementación gradual hacia su entrada en vigencia, fijada hoy para el 1 de diciembre de 2026. Un proyecto en el Senado (boletín 18.623-07, con urgencia suma) la postergaría al 1 de diciembre de 2027; mientras no se apruebe, rige la fecha de 2026.
- DIC 2024Promulgación de la Ley
Publicación oficial de la Ley 21.719 en el Diario Oficial el 13 de diciembre de 2024.
- 2025Período de Transición
Fase de preparación y desarrollo de reglamentos complementarios por parte de la autoridad.
- DIC 2026Entrada en Vigencia Plena
Vigencia completa de la Ley 21.719 y funcionamiento de la Agencia de Protección de Datos.
Sobre esa cronología se ordenan las obligaciones concretas, sus plazos y las sanciones asociadas.
Obligaciones, plazos y sanciones
El cumplimiento de la Ley 21.719 se estructura en obligaciones materiales del responsable, plazos legales acotados y un régimen sancionatorio escalado según gravedad.
Obligaciones principales
- Identificar bases legales válidas para cada tratamiento y documentar la trazabilidad (principio de licitud y accountability).
- Mantener un Registro de Actividades de Tratamiento (RAT) actualizado y disponible para la Agencia.
- Evaluar la designación de un delegado de protección de datos, que el artículo 50 configura como facultativa (“podrá designar”) y recae en una persona natural. La conveniencia es mayor en organismos públicos y en tratamientos masivos o de datos sensibles a gran escala.
- Implementar medidas técnicas y organizacionales apropiadas al riesgo, conforme al principio de seguridad.
- Suscribir contratos de encargo (DPA) con encargados del tratamiento que regulen instrucciones, confidencialidad y seguridad.
Plazos clave
- 15 días hábiles para responder solicitudes de derechos del titular (acceso, rectificación, supresión, oposición, portabilidad).
- Notificación a la Agencia, sin dilaciones indebidas, de las brechas de seguridad con riesgo para los titulares.
- 1 de diciembre de 2026: entrada en vigencia plena y régimen sancionatorio (proyecto en el Senado la postergaría al 1 de diciembre de 2027).
Sanciones
- Infracciones leves: multas de hasta 5.000 UTM.
- Infracciones graves: multas de hasta 10.000 UTM.
- Infracciones gravísimas: multas de hasta 20.000 UTM, además de medidas correctivas y publicación de la sanción.
El alcance de la ley se resume en unas pocas cifras.
Cifras Clave de la Nueva Legislación
Datos relevantes para la implementación de la normativa de protección de datos
Preguntas frecuentes
Las consultas más habituales sobre la ley y su implementación.
¿Qué es la Ley 21.719?
Es la nueva ley chilena de protección de datos personales, publicada el 13 de diciembre de 2024. Reemplaza el régimen de la Ley 19.628 e introduce una arquitectura regulatoria alineada con estándares internacionales como el Reglamento General de Protección de Datos.
¿Cuándo entra en vigencia la Ley 21.719?
La Ley contempla un período de vacancia de 24 meses, por lo que su entrada en vigencia plena está fijada para el 1 de diciembre de 2026. Un proyecto en el Senado (boletín 18.623-07, ingresado el 1 de septiembre de 2026 con urgencia suma) la postergaría al 1 de diciembre de 2027; mientras no se apruebe y publique, rige la fecha de 2026. Durante el plazo intermedio las organizaciones deben adecuar procesos y nombrar Delegados de Protección de Datos cuando corresponda.
¿Qué derechos reconoce a los titulares?
Acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento. Los responsables deben atender las solicitudes en plazos legales y mantener registros de evidencia.
¿Qué es el Delegado de Protección de Datos (DPO)?
Es la figura responsable de supervisar el cumplimiento del marco normativo dentro de la organización, asesorar a la dirección y servir de punto de contacto con la Agencia. Su designación es obligatoria para responsables del sector público y para organizaciones que efectúen tratamientos a gran escala.
¿Qué sanciones contempla la ley?
Multas que escalan según gravedad hasta 20.000 UTM por infracciones gravísimas. La Agencia de Protección de Datos Personales es la autoridad fiscalizadora, con potestad para imponer medidas correctivas y sanciones.
¿Qué obligaciones tiene el responsable del tratamiento?
Principios de licitud, finalidad, calidad y seguridad; deber de información al titular; mantención de registros de actividades de tratamiento; análisis de impacto cuando corresponda; notificación de brechas a la Agencia; y nombramiento de DPO en los casos previstos.
Fuentes oficiales
Servicios relacionados
Explora prácticas complementarias y análisis normativos de nuestro equipo.
Ley 19.628 (el régimen actual)
La ley de datos vigente hoy: qué exige, la información comercial y cómo la reescribe la Ley 21.719.
Principios del tratamiento
Los principios del artículo 3 que ordenan todo tratamiento de datos personales.
Derechos del titular
Acceso, rectificación, supresión, oposición y portabilidad: cómo se ejercen y responden.
Obligaciones del responsable
Deberes de información, seguridad y reporte de vulneraciones de quien trata datos.
Notificación de brechas
A quién reportar una vulneración de seguridad y en qué plazo (artículo 14 sexies).
Delegado de Protección de Datos
Qué es el DPO, cuándo es obligatorio y qué exige el artículo 50.
Agencia de Protección de Datos
Facultades normativas, de fiscalización y sanción de la nueva autoridad.
Sanciones y multas
Infracciones leves, graves y gravísimas: multas de hasta 20.000 UTM (artículo 35).
Modelo de prevención de infracciones
El programa de cumplimiento del artículo 49 y su reglamento (DS 662): elementos, delegado, certificación y atenuantes.
Responsabilidad del directorio
La empresa responde con multas de hasta 20.000 UTM; el directorio, por su deber de cuidado.
Transferencias internacionales
Cuándo procede transferir datos fuera de Chile y con qué resguardos.
Evaluación de impacto
Cuándo exige la ley una evaluación de impacto y cómo se ejecuta.
¿Qué pasa si no cumplo en 2026?
La vigencia del 1 de diciembre de 2026 y el proyecto que la posterga a 2027: infracciones, registro público y atenuantes.
¿Consentimiento o interés legítimo?
Cómo elegir la base de licitud de cada tratamiento (artículos 12 y 13).
IA y datos personales
Usar IA con datos de clientes: base de licitud, transferencias y decisiones automatizadas.
Diagnóstico Ley de Datos
Brechas de su empresa frente a la Ley 21.719: tratamientos, bases de licitud y deberes.
Ley Marco de Ciberseguridad (21.663)
La ley marco: ANCI, servicios esenciales, obligaciones y plazos.
IA & Empresa
Gobernanza de la inteligencia artificial en la empresa: riesgos y marco aplicable.
Conversemos sobre los desafíos legales de su empresa
Agende una conversación inicial con nuestro equipo.
