19.10.2026 · REGULACIÓN · DATOS PERSONALES

1 de diciembre: lo que la Ley de Datos Personales le exige a tu empresa, se postergue o no

La fecha puede moverse. Las obligaciones, no. Qué cambia con la Ley 21.719, qué aprobó el Senado y cómo partir hoy, sin esperar a que se resuelva la postergación.

19.10.2026 · 9 min de lectura · Equipo Aexis

Conversemos Ver el servicio Ley 21.719

Contexto

Una ley de 1999 para un mundo de 2026

Hasta ahora, la protección de datos personales en Chile se ha regido por la Ley 19.628, de 1999: una norma escrita antes de las redes sociales, el comercio electrónico masivo y la nube, sin una autoridad que fiscalice ni multas que realmente disuadan. La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, cambia eso por completo.

La nueva ley crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar, resolver reclamos y sancionar. Establece obligaciones concretas para toda empresa que trate datos de personas (clientes, trabajadores, proveedores o visitas) y fija multas que pueden superar los mil millones de pesos. Se inspira en el Reglamento General de Protección de Datos europeo (RGPD), que en Europa lleva años aplicándose con sanciones millonarias.

Por mandato del propio texto legal, rige desde el 1 de diciembre de 2026.

Estado al 03.11.2026

¿Se posterga o no? Lo que sabemos hoy

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley (boletín N° 18.623-07) que proponía mover la entrada en vigor al 1 de diciembre de 2027. El proyecto, además, amplía el consejo directivo de la Agencia de tres a cinco miembros y extiende a todas las empresas una facultad que hoy sólo existe para las pymes: durante el primer año de vigencia, la Agencia podría optar por sancionar sólo con amonestación escrita.

El 28 de octubre de 2026 la Sala del Senado lo aprobó por 33 votos a favor y 6 en contra, con una fecha más cercana que la que pedía el Gobierno: el 15 de octubre de 2027. Al 03.11.2026 está en segundo trámite en la Cámara de Diputadas y Diputados y todavía no es ley.

A esto se suma un problema práctico: la Agencia aún no tiene consejeros. El plazo legal para nombrarlos venció el 1 de junio de 2026, y el Senado no ha aprobado ninguna de las propuestas presentadas.

Tres escenarios posibles para la entrada en vigor

Escenario	Qué pasa	Qué significa para tu empresa
No se aprueba a tiempo	La ley rige el 1 de diciembre de 2026, tal como está.	Las obligaciones son exigibles desde ese día.
Se aprueba la fecha del Senado	La ley rige el 15 de octubre de 2027.	Unos diez meses y medio más para prepararse, con las mismas obligaciones.
Plazo menor o escalonado	Algunas normas regirían a mediados de 2027 y otras más tarde, según lo que acuerde el Congreso.	Algunas obligaciones llegan antes de lo que muchos esperan.

En los tres escenarios hay algo que no cambia: el contenido de la ley. Lo único que se discute es cuándo, no qué.

Por qué no esperar

Por qué no conviene esperar

Muchas empresas han optado por esperar a que se resuelva la postergación. Es una apuesta riesgosa, por cinco razones:

Adecuarse toma meses, no semanas. Levantar qué datos se tratan, revisar contratos y cambiar procesos requiere tiempo y coordinación entre varias áreas. Según un estudio de LemonTech y la Asociación Chilena de Ética y Compliance publicado en septiembre de 2026, el 72 % de las organizaciones consultadas declara no estar preparada y sólo el 9 % se considera completamente lista.
La carga de la prueba es tuya. Ante un incidente, la empresa debe acreditar que sus medidas de seguridad existían y funcionaban. Eso no se improvisa después de una brecha.
Tus clientes no van a esperar. Las grandes empresas ya están revisando a sus proveedores. Si tratas datos por cuenta de otro, te van a pedir contratos y garantías antes de que la Agencia exista.
El registro es público. Las sanciones, incluidas las amonestaciones, se inscriben en un Registro Nacional de Sanciones y Cumplimiento visible durante cinco años. El costo reputacional llega aunque la multa sea menor.
Más plazo no es plazo gratis. Si la ley se posterga, el plazo adicional sirve para hacer las cosas bien, no para empezar en septiembre de 2027.

Qué exige

Lo que la ley exige, en simple

Estas son las obligaciones que más impactan la operación de una empresa:

Tratar datos sólo con una base legal
Cada uso de datos personales debe tener una justificación válida: el consentimiento de la persona (libre, informado, específico e inequívoco, y revocable en cualquier momento), la ejecución de un contrato, una obligación legal o un interés legítimo que no pase por encima de los derechos del titular, entre otras. «Siempre lo hemos hecho así» no es una base legal.
Publicar una política de tratamiento
La empresa debe mantener en su sitio web, de forma permanente, una política que indique quién trata los datos, para qué, con qué base legal, a quién se comunican, cuánto tiempo se conservan, si salen del país y qué medidas de seguridad se aplican.
Responder a los derechos de las personas
Cualquier persona puede pedir acceso a sus datos, su rectificación, supresión, oposición, portabilidad o bloqueo. La empresa tiene 30 días corridos para responder (prorrogables una vez) y sólo dos días hábiles para responder una solicitud de bloqueo temporal. Si no responde, la persona puede reclamar ante la Agencia.
Proteger los datos y reportar las brechas
Las medidas de seguridad deben ser proporcionales al riesgo. Cuando ocurre una vulneración con riesgo para las personas, hay que informarla a la Agencia «sin dilaciones indebidas». Si involucra datos sensibles, datos de menores de 14 años o datos financieros, también hay que avisar a cada persona afectada. Ocultar deliberadamente una brecha es una infracción gravísima.
Controlar a los proveedores que tratan datos
Cuando un tercero trata datos por cuenta de tu empresa (una empresa de remuneraciones, un call center, un proveedor de nube o una empresa de seguridad con cámaras y registros de visitas), debe existir un contrato con contenido mínimo: objeto, duración, finalidad, tipos de datos, categorías de personas y derechos y obligaciones de cada parte. Al terminar, el proveedor debe suprimir o devolver los datos. No puede subcontratar sin autorización escrita, y si usa los datos para otros fines, la ley lo trata como responsable y responde solidariamente por los daños.
Cuidado especial con datos sensibles y de menores
Los datos de salud, biométricos (como la huella o el rostro) y otros datos sensibles requieren, por regla general, consentimiento expreso. Los datos de niños, niñas y adolescentes tienen reglas propias, y la geolocalización, exigencias especiales de información a las personas.
Transferencias internacionales con resguardos
Enviar datos fuera de Chile, lo que incluye muchos servicios en la nube, sólo es lícito hacia países con nivel adecuado de protección o con garantías como cláusulas contractuales, salvo las excepciones que prevé la ley.

Multas

Las multas, en pesos

Multas máximas por infracción (valor UTM de octubre de 2026: $72.151)

Infracción	Multa máxima	Equivalente aproximado
Leve (por ejemplo, no publicar la política de tratamiento)	Amonestación o hasta 5.000 UTM	$361 millones
Grave (por ejemplo, tratar datos sin base legal)	Hasta 10.000 UTM	$722 millones
Gravísima (por ejemplo, ocultar deliberadamente una brecha)	Hasta 20.000 UTM	$1.443 millones

A eso se suman reglas que endurecen el castigo. En caso de reincidencia, la multa puede triplicarse; para empresas que no son de menor tamaño, una reincidencia grave o gravísima puede llegar al 2 % o 4 % de sus ingresos anuales, respectivamente. Si la empresa no corrige en 60 días, hay un recargo del 50 %. Ante infracciones gravísimas reiteradas, la Agencia puede incluso suspender el tratamiento de datos por hasta 30 días.

Si eres pyme

La ley gradúa las exigencias de información y seguridad según el tamaño de la empresa y el volumen de datos, y las multas calculadas sobre ingresos no se aplican a las empresas de menor tamaño. Además, durante los primeros 12 meses de vigencia, la Agencia puede optar por sancionarlas sólo con amonestación escrita. Es una facultad de la Agencia, no una garantía, y la amonestación igual queda en el registro público.

Modelo de prevención

El modelo de prevención: lo que la ley premia

La ley obliga a toda empresa a tomar acciones para prevenir infracciones y le permite adoptar voluntariamente un modelo de prevención de infracciones, con un delegado de protección de datos, identificación de riesgos, protocolos y supervisión. El reglamento que lo regula se publicó en el Diario Oficial el 9 de septiembre de 2026. El modelo puede certificarse ante la Agencia por tres años y funciona como atenuante si la empresa llega a ser sancionada. El modelo no es obligatorio, pero es la mejor forma de demostrar diligencia.

Por dónde partir

Un plan de cuatro semanas para empezar

No hace falta resolver todo de una vez. Lo importante es partir con orden:

Semana 1: inventario
Qué datos personales trata la empresa, de quién (clientes, trabajadores, proveedores, visitas, imágenes de cámaras), para qué, dónde se guardan, quién accede y por cuánto tiempo se conservan. Sin inventario, todo lo demás es adivinanza.
Semana 2: bases legales y política
Asignar una base legal a cada tratamiento, revisar formularios y consentimientos, y redactar la política de tratamiento que se publicará en el sitio web.
Semana 3: proveedores
Listar a todos los terceros que tratan datos por cuenta de la empresa, revisar sus contratos según lo que exige la ley e identificar qué datos salen del país.
Semana 4: procedimientos
Definir quién responde las solicitudes de las personas y cómo se cumplen los plazos, armar el protocolo para reportar brechas, designar un responsable interno y capacitar a los equipos que manejan datos.

Con eso hecho, la empresa está en condiciones de evaluar si le conviene implementar y certificar un modelo de prevención.

Si eres proveedor

Si tu empresa es proveedora de otras

Hay un efecto de la ley del que se habla poco: cuando una empresa trata datos por cuenta de un cliente, ese cliente sigue siendo el responsable de esos datos ante la ley. Por eso las grandes empresas ya están empezando a exigir a sus proveedores que demuestren su nivel de cumplimiento. Lo analizamos en detalle en nuestro artículo sobre la cadena de suministro y los operadores de importancia vital.

Si tu cliente también trabaja con Aexis

No revisamos la evidencia de un proveedor al que hayamos asesorado en los últimos 12 meses para responder a ese mismo cliente. Si ocurre, lo informamos antes de contratar y esa evidencia la revisa el equipo del cliente u otro especialista. La misma regla regirá en KRYVEX.

Qué significa para tu empresa

Una línea para cada mesa

Para el directorio: La fecha se discute, las obligaciones no: pide el inventario de datos, los contratos con proveedores y el protocolo de brechas, y evalúa un modelo de prevención certificable, que cuenta como atenuante.
Para TI: Ante un incidente, la empresa tendrá que acreditar que sus medidas de seguridad existían y funcionaban: deja registro hoy de controles, accesos y del protocolo para reportar brechas.
Para la pyme: Parte por el inventario de la semana 1: qué datos tratas, de quién, dónde están y quién accede. La amonestación del primer año es posible, pero igual queda en el registro público.

Ver el servicio Ley 21.719 para tu empresa

Sigue por aquí

Lo que suele venir después

Conversemos

¿Por dónde parte tu empresa?

En Aexis acompañamos a empresas y proveedores en su adecuación a la Ley 21.719, desde el inventario de datos. KRYVEX, la plataforma de Aexis que está en preparación, también evaluará cómo los proveedores protegen la información y los datos personales que tratan por sus clientes. La primera conversación no tiene costo.

Conversemos

Fuentes

Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.