La Ley 21.719 en 10 minutos
La Ley 21.719 reemplaza la antigua ley de protección de datos por un régimen con autoridad fiscalizadora, obligaciones documentadas y multas. Entra en plena vigencia el 1 de diciembre de 2026, y a diferencia de la Ley 21.663 —que aplica a sectores determinados— esta le aplica a cualquier organización que trate datos personales.
Si tienes trabajadores, tienes datos personales. La pregunta no es si te aplica, sino cuánto te falta.
Los dos roles que define la ley
Sección titulada «Los dos roles que define la ley»Responsable. Quien decide para qué y cómo se tratan los datos. Es tu empresa respecto de la nómina de tus trabajadores, de tu base de clientes, de las cámaras de tus instalaciones.
Encargado (o mandatario). Quien trata datos por cuenta de un responsable. Es la empresa de remuneraciones que procesa tu nómina, el proveedor de nube donde viven tus sistemas.
La distinción importa porque las obligaciones no son las mismas, y porque tu empresa suele ser las dos cosas a la vez según el tratamiento del que se hable.
Lo que la ley te va a pedir
Sección titulada «Lo que la ley te va a pedir»Gobernanza
Sección titulada «Gobernanza»Una política de protección de datos aprobada, con su fecha y versión. Roles definidos formalmente. Y un deber de prevención de infracciones exigible a todo responsable.
Transparencia: publicar cómo tratas los datos
Sección titulada «Transparencia: publicar cómo tratas los datos»Acá hay otra sorpresa para quien viene del reglamento europeo: la ley chilena no establece un “registro de actividades de tratamiento” interno y obligatorio. Lo que establece es un deber de información y transparencia: mantener permanentemente a disposición del público —en tu sitio web o medio equivalente— tu política de tratamiento con su fecha y versión, quién es el responsable y cómo contactarlo, las categorías de datos que tratas, el universo de personas de tus bases, los destinatarios, las finalidades, la base de licitud de cada tratamiento, tus medidas de seguridad, los derechos de los titulares, las transferencias internacionales, los períodos de conservación, el origen de los datos y la existencia de decisiones automatizadas.
Es, en la práctica, la misma información que un registro interno — pero publicada. Y por eso necesitas igual el inventario: no se puede publicar lo que no se ha inventariado. Tiene capítulo propio: Registro de actividades de tratamiento.
Los derechos de los titulares
Sección titulada «Los derechos de los titulares»Acceso, rectificación, supresión, oposición, portabilidad y bloqueo, más garantías frente a decisiones automatizadas. Necesitas un canal y un procedimiento para recibirlos y responderlos: acuse de recibo y respuesta fundada por escrito dentro de 30 días corridos, prorrogables por una sola vez hasta por 30 días más.
La seguridad y las brechas
Sección titulada «La seguridad y las brechas»Medidas de seguridad apropiadas, y un procedimiento para detectar, evaluar y gestionar vulneraciones que afecten datos personales — coordinado con tu gestión de incidentes de ciberseguridad, no como un proceso paralelo.
Cuando la vulneración genere riesgo razonable de daño, hay que reportarla a la Agencia sin dilaciones indebidas. Y hay que comunicarla a los titulares afectados cuando involucre datos sensibles, datos de niñas y niños menores de catorce años, o datos de obligaciones económicas, financieras, bancarias o comerciales.
Además debes mantener un registro interno de todas las vulneraciones — no solo de las reportables — con hechos, efectos y medidas correctivas, disponible para la Agencia.
Privacidad desde el diseño y evaluaciones de impacto
Sección titulada «Privacidad desde el diseño y evaluaciones de impacto»Incorporar protección de datos desde la concepción de cada nuevo proyecto, y realizar una evaluación de impacto cuando el tratamiento pueda producir alto riesgo para los derechos de los titulares.
Lo que está en juego
Sección titulada «Lo que está en juego»Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM respectivamente. Para empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, la multa puede alcanzar un porcentaje de los ingresos anuales por ventas y servicios del último año calendario.
Hay además un Registro Nacional de Sanciones y Cumplimiento, público y gratuito, donde las anotaciones permanecen cinco años — y donde también se registra a quienes adoptan modelos de prevención certificados.
Dos advertencias sobre las fechas
Sección titulada «Dos advertencias sobre las fechas»Esta ley todavía no está en vigencia mientras lees esto. Rige desde el 1 de diciembre de 2026, y a mediados de 2026 existía una discusión pública sobre postergar esa fecha. Verifica el estado vigente antes de tomar decisiones de calendario: el contenido de las obligaciones es el que describe este capítulo, pero la fecha desde la cual se exigen puede haber cambiado.
La Agencia se estaba constituyendo. El órgano fiscalizador —la Agencia de Protección de Datos Personales— requiere que el Senado apruebe a su consejo directivo, y ese proceso venía con dificultades. Que la autoridad no esté instalada no cambia lo que tienes que construir; sí cambia cuándo empezará a fiscalizarlo.
Cómo se traduce en la plataforma
Sección titulada «Cómo se traduce en la plataforma»Preceptix trae la Ley 21.719 como marco cargable, con sus requisitos organizados igual que la ley: gobernanza, principios, bases de licitud, derechos, deber de información, secreto, privacidad desde el diseño, seguridad, vulneraciones, encargados, categorías especiales, transferencias internacionales, cesión, supervisión y los regímenes especiales.
Y trae algo más: una ruta guiada completa. El asistente de Cyber Concierge para la Ley 21.719 te lleva por las fases de contexto, diagnóstico, plan, construcción de la documentación y cierre. Es el asistente más maduro de la plataforma, precisamente porque esta ley es la que más empresas tienen encima.
También hay cruces preparados hacia ISO 27001, lo que significa que las medidas de seguridad que ya tienes documentadas alimentan directamente los requisitos de seguridad de esta ley.
Cómo se relaciona con la Ley 21.663
Sección titulada «Cómo se relaciona con la Ley 21.663»Si te aplican las dos, hay una superposición grande y conviene aprovecharla:
| Lo que construyes para la 21.663 | Sirve en la 21.719 para |
|---|---|
| Medidas de seguridad de la información | El deber de seguridad de los datos |
| Gestión de incidentes y su procedimiento | La gestión de vulneraciones |
| Inventario de activos | Ubicar dónde viven los datos personales |
| Capacitación en ciberseguridad | La capacitación en privacidad |
| Reporte a la alta dirección | El principio de responsabilidad |
Lo que no se traspasa es todo lo propio de privacidad: el registro de tratamiento, las bases de licitud, los derechos de los titulares, las evaluaciones de impacto. Esa es la parte que hay que construir desde cero, y es la que ocupa el resto de esta ruta.
Cordillera llega a la Ley 21.719 con una ventaja y un problema. La ventaja: el trabajo de la Ley 21.663 ya dejó montada la seguridad y la gestión de incidentes. El problema: nadie ha inventariado nunca los tratamientos de datos, y hay más de los que aparecen a simple vista — la nómina, los contratistas, el control de acceso biométrico a las centrales, las cámaras, la telemetría de los vehículos, la base de clientes.
Sobre el delegado de protección de datos, Carolina y Marco toman una decisión consciente: como no es obligatorio, evalúan si designarlo por conveniencia. Optan por hacerlo, porque el volumen de datos sensibles —biometría de todo el personal y los contratistas— justifica tener una contraparte formal. Queda registrado que fue una decisión, no un trámite.
Sigue por acá
Sección titulada «Sigue por acá»El punto de partida de esta ley no es el diagnóstico, sino el inventario: sin saber qué datos tratas, no hay nada que evaluar. Registro de actividades de tratamiento.
Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. La interpretación de la Ley 21.719, de su reglamentación y de los criterios de la Agencia de Protección de Datos Personales frente a tu caso concreto corresponde a tu asesor jurídico.