19.10.2026 · LEY 21.719 · PYMES, GERENCIA Y PROVEEDORES

Ley 21.719: qué cambia y qué hacer primero

Rige desde el 1 de diciembre de 2026, salvo que se apruebe a tiempo la postergación en trámite. Lo que cambia, lo que no y por dónde empezar, sin alarma.

19.10.2026 · 10 min de lectura · Equipo Aexis

Revisemos por dónde empezar Ver el servicio Ley 21.719

En 30 segundos

Tres ideas para llevarte

La fecha legal sigue siendo el 1 de diciembre de 2026. Un proyecto propone moverla al 15 de octubre de 2027: el Senado lo aprobó el 28.10.2026 y, al 03.11.2026, está en segundo trámite en la Cámara de Diputadas y Diputados.
Si tu empresa maneja datos de clientes, trabajadores o pacientes, la ley te aplica. Cuánto te exige depende de tu tamaño, de tu actividad y de los datos que tratas.
El primer paso no es un documento: es saber qué datos tienes, dónde están, quién accede a ellos y con quién los compartes.

Estado al 03.11.2026

La fecha y la postergación, con fuente

Publicación: 13.12.2024, en el Diario Oficial.
Entrada en vigencia: 01.12.2026: el primer día del mes vigésimo cuarto después de su publicación (artículo primero transitorio).
Proyecto de postergación: Boletín N° 18.623-07, Mensaje N° 110-374 del 31.08.2026. Ingresó al Senado el 01.09.2026.
Qué propone: Mover la entrada en vigencia al 15.10.2027 en el texto aprobado por el Senado (el Mensaje proponía el 01.12.2027), ampliar el Consejo Directivo de la Agencia de tres a cinco consejeros, adelantar y simplificar el nombramiento del primer Consejo, y permitir que la amonestación escrita del primer año se aplique a cualquier responsable de datos, no sólo a las empresas de menor tamaño.
Dónde está: Aprobado por la Sala del Senado el 28.10.2026, por 33 votos a favor y 6 en contra. Al 03.11.2026 está en segundo trámite constitucional en la Cámara de Diputadas y Diputados.

Mientras ese proyecto no sea aprobado y publicado como ley, la fecha que rige es el 1 de diciembre de 2026.

Si se aprueba con la fecha del Senado, tendrás unos diez meses y medio más para prepararte, pero no menos trabajo: el proyecto no cambia los derechos de las personas ni los deberes de las empresas. Lo que hagas ahora te sirve en cualquiera de los dos escenarios.

Si el proyecto avanza, actualizamos este artículo y su fecha. Si quieres el detalle de las multas y la preparación en ambos escenarios, lo explicamos en lo que la ley exige, se postergue o no.

Qué cambia

De la Ley 19.628 a la 21.719: lo que cambia en la práctica

Hoy rige la Ley N° 19.628, de 1999, sobre protección de la vida privada. La Ley N° 21.719 no la reemplaza por otra: la modifica a fondo y crea la Agencia de Protección de Datos Personales, que podrá dictar instrucciones obligatorias, fiscalizar y sancionar (art. 30 bis).

Derechos de las personas: Acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos (art. 4°). Debes acusar recibo y responder dentro de 30 días corridos, prorrogables una sola vez por otros 30 (art. 11).
Para qué y con qué base: Cada tratamiento necesita una finalidad clara y una base: el consentimiento o alguna de las que fija la ley, como un contrato con la persona o una obligación legal (arts. 12 y 13). Y sólo los datos necesarios (art. 3°, letra c).
Transparencia: Publicar tu política de tratamiento, qué datos tratas, para qué, con quién los compartes, cuánto tiempo los guardas y cómo ejercer los derechos (art. 14 ter).
Seguridad: Medidas técnicas y organizativas proporcionales al riesgo, incluida la capacidad de recuperar los datos rápido después de un incidente (art. 14 quinquies), y protección desde el diseño y por defecto (art. 14 quáter).
Vulneraciones: Reportarlas a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para las personas, y registrarlas (art. 14 sexies). Si involucran datos sensibles, de niños y niñas menores de catorce años o de obligaciones económicas, financieras, bancarias o comerciales, también hay que avisar a las personas afectadas.
Proveedores: Un contrato con cada encargado que trate datos por ti, con el objeto, la duración, la finalidad y el tipo de datos del encargo (art. 15 bis).
Sanciones: Infracciones leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 unidades tributarias mensuales (UTM), respectivamente. Las leves también pueden sancionarse con amonestación escrita. Si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, la multa puede llegar al 2 % o al 4 % de sus ingresos anuales (arts. 34 a 35).

Las multas, en su contexto

La ley gradúa las sanciones y considera atenuantes, como colaborar con la investigación, autodenunciarse o haber cumplido con diligencia los deberes de dirección y supervisión, lo que se acredita con un modelo de prevención certificado por la Agencia (arts. 36 y 51). Los estándares mínimos de información y seguridad se fijarán según el tamaño de la empresa, su actividad y los datos que trata (art. 14 septies). Y durante los primeros doce meses de vigencia, la Agencia podrá sancionar a las empresas de menor tamaño con una amonestación escrita (artículo sexto transitorio). Es una posibilidad, no una exención: las obligaciones son las mismas.

¿Te aplica?

Responsable o encargado: primero, qué rol tienes

La ley se aplica a todo tratamiento de datos personales que haga una persona natural o jurídica, sin importar su tamaño (art. 1°). Lo que define qué te toca es el rol que cumples con cada conjunto de datos.

Responsable de datos

Decides para qué y cómo se usan los datos, aunque los trate otro por ti (art. 2°, letra n).
Es tu caso con los datos de tus clientes, de tus trabajadores o de los pacientes de tu consulta.
Respondes por el cumplimiento, también cuando un proveedor trata esos datos por cuenta tuya.

Encargado o tercero mandatario

Tratas datos por cuenta de otro, según sus instrucciones (art. 2°, letra x).
Es tu caso si llevas las remuneraciones, la cobranza, el soporte o un software de un cliente.
Debes guardar secreto, aplicar medidas de seguridad y avisarle a tu cliente si hay una vulneración (art. 15 bis).

Puedes ser las dos cosas

La misma empresa es responsable de los datos de sus trabajadores y encargada de los datos que le confía un cliente. Conviene ordenar cada caso por separado.

Qué hacer primero

Seis pasos, en este orden

01 · Inventario: Anota qué datos personales tienes (clientes, trabajadores, pacientes, contactos), dónde están (planillas, sistema de gestión, correo, nube) y quién accede a cada uno.
02 · Para qué: Para cada uso, escribe la finalidad y su base: consentimiento, contrato, obligación legal o interés legítimo (arts. 12 y 13). Lo que no necesitas, elimínalo (art. 3°, letra c).
03 · Proveedores: Haz la lista de quienes tratan datos por ti, como tu contador, remuneraciones, software o marketing, y revisa que cada contrato tenga lo que pide el art. 15 bis.
04 · Aviso y canal: Publica tu política de tratamiento (art. 14 ter) y define un correo para recibir solicitudes, con una persona a cargo de responder en plazo (art. 11).
05 · Seguridad básica: Segundo factor en el correo, cuentas por persona y respaldos que se prueban. La ley pide medidas acordes al riesgo (art. 14 quinquies) y los mínimos los fijará la Agencia (art. 14 septies). Estas tres te sirven en cualquier escenario y además protegen tu operación.
06 · Si algo pasa: Define desde hoy quién evalúa una vulneración, quién decide si se reporta a la Agencia y dónde queda registrada (art. 14 sexies).

No necesitas un delegado de protección de datos para empezar: la ley lo deja como opción y, en una micro, pequeña o mediana empresa, puede asumirlo el dueño (arts. 49 y 50).

Tampoco se cumple con una política descargada de internet. Lo que publiques tiene que corresponder a lo que tu empresa hace de verdad, porque eso es lo que te pueden pedir demostrar.

Si eres proveedor

Si tratas datos por cuenta de un cliente, esto es lo tuyo

Usa los datos sólo para el encargo y según las instrucciones de tu cliente. Si los usas para otra cosa o los entregas sin autorización, la ley te trata como responsable y respondes personalmente (art. 15 bis).
No subcontrates parte del encargo sin una autorización específica y por escrito de tu cliente. Aunque la tengas, sigues respondiendo solidariamente por lo que haga tu subcontratista.
Guarda secreto y aplica medidas de seguridad proporcionales a los datos que tratas: el art. 15 bis te remite a los mismos deberes del responsable (arts. 14 bis y 14 quinquies).
Si hay una vulneración de seguridad, avísale a tu cliente.
Al terminar el servicio, suprime o devuelve los datos, según corresponda.

Es probable que tu cliente te pida demostrarlo con un cuestionario de seguridad. Te contamos cómo responderlo en este artículo.

Sin alarma

Lo que la ley no dice, aunque lo escuches

No obliga a todas las empresas a tener un delegado de protección de datos: es voluntario (art. 50).
No te obliga a certificarte. Sí te pide tomar acciones para prevenir infracciones (art. 48), pero armar un modelo formal de prevención es voluntario; si lo adoptas y la Agencia lo certifica, cuenta como atenuante (arts. 36, 49 y 51).
No pide lo mismo a una pyme que a un banco: los estándares mínimos de información y seguridad se diferencian por tamaño, actividad y tipo de datos (art. 14 septies).
No se resuelve sólo comprando tecnología: también exige finalidades claras, avisos, contratos y respuestas oportunas a las personas.

Lo que definirá la Agencia

Varias definiciones prácticas quedan en manos de la Agencia: los estándares diferenciados por tamaño (art. 14 septies), los modelos tipo de contratos con encargados (art. 15 bis) y la lista orientativa de tratamientos que requieren una evaluación de impacto (art. 15 ter). Lo básico no depende de esos detalles: conviene avanzar en ello ahora.

Para tu equipo técnico

Dónde se cruza la ley con tus controles

Correspondencias de referencia, elaboradas por Aexis

Art. 14 quinquies, medidas de seguridad · ISO/IEC 27001:2022, Anexo A · NIST CSF 2.0, función PROTECT (PR).
Art. 14 quinquies, letra c, restaurar la disponibilidad · ISO/IEC 27001:2022 A.8.13, respaldo de la información · NIST CSF 2.0, función RECOVER (RC).
Art. 14 sexies, reporte de vulneraciones · ISO/IEC 27001:2022 A.5.24 a A.5.28, gestión de incidentes · NIST CSF 2.0, función RESPOND (RS).
Art. 15 bis, encargados · ISO/IEC 27001:2022 A.5.19 a A.5.22, relaciones con proveedores · NIST CSF 2.0 GV.SC.
Arts. 14 quáter y 15 ter, protección desde el diseño y evaluación de impacto · ISO/IEC 27001:2022 A.5.34, privacidad y protección de datos personales.
Una correspondencia no equivale a cumplimiento: la ley pide poder demostrar medidas acordes al riesgo de cada tratamiento.

Preguntas frecuentes

Lo que más se pregunta sobre esta ley

¿Y si se aprueba la postergación?

Las modificaciones regirían desde el 15 de octubre de 2027, la fecha que aprobó el Senado, si la Cámara la mantiene. El proyecto no cambia lo que la ley exige a las empresas, así que el trabajo que hagas ahora sirve igual.

Tengo una pyme con pocos clientes. ¿Me aplica igual?

Sí: la ley se aplica a todo tratamiento de datos personales (art. 1°). Lo que cambia es la exigencia, porque los estándares mínimos se diferencian según el tamaño y la actividad de tu empresa (art. 14 septies).

¿Tengo que nombrar un delegado de protección de datos?

No es obligatorio. Si decides tenerlo, en una micro, pequeña o mediana empresa puede asumirlo el dueño (art. 50).

¿Aexis reemplaza a mi abogado?

No. Trabajamos los procesos, la seguridad y la evidencia junto a tu asesoría legal, que revisa los aspectos jurídicos.

¿Cuánto cuesta?

La primera conversación no tiene costo. Si después necesitas un diagnóstico o una adecuación, conoces el alcance y el valor antes de contratar.

Qué significa para tu empresa

Una línea para cada mesa

Para el directorio: Haber cumplido con diligencia los deberes de dirección y supervisión es una atenuante, que se acredita con un modelo de prevención certificado (arts. 36 y 51). Pide un inventario de datos, la lista de proveedores que los tratan y quién responde ante una vulneración.
Para TI: La ley convierte buenas prácticas en deberes con fecha. Segundo factor, accesos por persona, respaldos que se recuperan y un registro de incidentes son tu mejor evidencia.
Para la pyme: Empieza por una planilla: qué datos tienes, dónde están, quién accede y con quién los compartes. Con eso ya sabes qué ajustar primero.

Ver el servicio Ley 21.719

Sigue por aquí

Lo que suele venir después

Conversemos

Cuéntanos qué datos manejas. Te decimos por dónde empezar

Escríbenos a contacto@aexis.cl. La primera conversación no tiene costo y te respondemos dentro de 2 días hábiles.

Revisemos por dónde empezar

Fuentes

Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.