Ley de Permisos Sectoriales: Menos burocracia, más construcción
La nueva Ley de Permisos Sectoriales promete agilizar los trámites hasta un 70%. Descubre cómo esto impactará positivamente al futuro de la...
¿Cuándo entra en vigencia la ley de protección de datos personales en Chile? Fecha, proyecto de prórroga, qué cambia y cómo adaptar tu empresa.
La Ley 21.719, conocida como la nueva ley de protección de datos personales de Chile, entra en vigencia el 1 de diciembre de 2026, que es la fecha legal que se mantiene vigente. Se trata de la reforma más profunda que ha tenido la protección de datos en el país desde 1999 y llega para cambiar la forma en que las empresas deben recopilar, guardar y usar la información de sus clientes y trabajadores.
Si tu empresa maneja correos electrónicos, teléfonos, RUTs, historiales de compra o cualquier otro dato de personas, esta normativa te afecta directamente, no importa el tamaño que tenga o si opera en forma presencial o digital.
Actualización · Octubre de 2026
El Gobierno de Chile presentó en el Senado un proyecto de ley que propone postergar la entrada en vigencia por un año, hasta el 1 de diciembre de 2027. Hasta el momento, sigue en primer trámite y no está aprobado, por lo que la fecha legal sigue siendo el 1 de diciembre de 2026. Te explicamos qué dice en la siguiente sección.
¿Cuándo entra en vigencia la Ley de Protección de Datos Personales en Chile?
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y fijó un plazo de 24 meses para que las organizaciones públicas y privadas se adaptaran. Mientras no se publique otra ley que modifique esa fecha, es la que se mantiene.
|
Fecha |
Hito |
|---|---|
|
13 dic 2024 |
Se publica la Ley 21.719 en el Diario Oficial. |
|
31 ago 2026 |
El Ejecutivo firma el mensaje que propone postergar la vigencia (Boletín 18.623-07). |
|
1 sep 2026 |
Ingresa al Senado. Primer trámite constitucional, en la Comisión de Constitución. |
|
1 dic 2026 |
Fecha legal de entrada en vigencia (la que rige hoy). |
|
1 dic 2027 |
Fecha que propone el proyecto de prórroga. No está aprobada. |
¿Se va a postergar la ley de protección de datos?
Es una posibilidad latente, pero que todavía no es una decisión tomada. El proyecto del Ejecutivo propone mover la vigencia al 1 de diciembre de 2027. Para que esto se dé, debe ser aprobado por el Senado y por la Cámara de Diputados, además de promulgado y publicado en el Diario Oficial. Hasta que eso pase, la fecha vigente sigue siendo el 1 de diciembre de 2026.
Pero, además, el proyecto propone otros cambios institucionales: aumentar el Consejo de la Agencia de Protección de Datos de tres a cinco integrantes y aplicar a todas las entidades obligadas, no solo a las pequeñas empresas, la advertencia escrita durante el primer año.
¿Conviene esperar a saber si se posterga?
No conviene. Si bien una prórroga movería el calendario, no cambiaría el estándar que la ley ya exige. Si estás partiendo desde cero, la adecuación podría tomar entre 6 y 9 meses, de modo que esperar la resolución del Congreso es la alternativa más cara. Lo prudente es planificar con el 1 de diciembre de 2026 y tratar una eventual prórroga como margen adicional.
¿Qué es la Ley 21.719 y qué cambia con la nueva protección de datos personales?
La Ley 21.719 reforma y moderniza la Ley 19.628 de 1999, cuyo nombre oficial es “Ley sobre Protección de la Vida Privada”, que tras dos décadas no mostraba capacidad real de fiscalización. La nueva ley no reemplaza a la anterior, pero sí la modifica a profundidad.
|
Aspecto |
Antes (Ley 19.628, 1999) |
Ahora (Ley 21.719) |
|---|---|---|
|
Autoridad |
Sin un órgano especializado con facultades reales de fiscalización. |
Agencia de Protección de Datos Personales (APDP), autónoma, que puede investigar, sancionar y ordenar suspensiones de tratamiento. |
|
Sanciones |
Bajo impacto económico y difíciles de hacer efectivas. |
Multas de hasta 20.000 UTM y un Registro Nacional de Sanciones público. |
|
Derechos de las personas |
Derechos ARCO: acceso, rectificación, cancelación y oposición. |
Seis derechos irrenunciables: se suman la portabilidad y el bloqueo. |
|
Obligaciones de las empresas |
Exigencias limitadas para quienes tratan datos. |
Inventario de datos, bases de licitud, contratos con proveedores y reporte de brechas de seguridad. |
La norma aplica a todos de forma transversal: empresas grandes, pymes, organismos públicos y cualquier persona que trate datos personales. Incluso las empresas extranjeras que ofrecen servicios a personas en Chile van a quedar sujetas a ella.
¿Qué se considera dato personal? Ejemplos y datos sensibles
La ley define, como dato personal, cualquier información vinculada o referida a una persona natural identificada o identificable. Es un concepto amplio y por eso el primer paso de la adecuación, el inventario de datos, parte por saber qué cuenta como tal.
|
Tipo |
Ejemplos |
Por qué importa |
|---|---|---|
|
Dato personal |
Nombre, RUT, correo electrónico, teléfono, dirección, historial de compras, datos de clientes y de trabajadores. |
Su tratamiento necesita una base de licitud: consentimiento, contrato, obligación legal o interés legítimo. |
|
Dato sensible |
Entre otros: datos de salud, datos biométricos, origen étnico o racial, afiliación sindical, convicciones religiosas u orientación sexual. |
La ley les da un tratamiento reforzado, y una brecha que los involucre exige avisar también a las personas afectadas. |
La Agencia de Protección de Datos Personales (APDP): qué puede hacer y qué multas aplica
El cambio más importante es estructural: nace la APDP, una entidad autónoma de derecho público con facultades reales para investigar, sancionar, ordenar suspensiones de tratamiento y publicar un Registro Nacional de Sanciones. Su puesta en marcha, en particular la conformación de su Consejo Directivo, es parte central de la discusión sobre la prórroga.
Las multas se clasifican según la gravedad de la infracción. Estos son los montos máximos:
|
Infracción |
Multa máxima |
Referencia |
|---|---|---|
|
Leve |
Hasta 5.000 UTM |
En algunos casos puede aplicarse un apercibimiento por escrito en lugar de multa. |
|
Grave |
Hasta 10.000 UTM |
En empresas que no son de menor tamaño, puede sumarse un tope de hasta 2% de los ingresos anuales. |
|
Gravísima |
Hasta 20.000 UTM |
Del orden de $1.300 millones, según el valor de la UTM. En empresas que no son de menor tamaño, el tope puede llegar al 4% de los ingresos anuales. |
Si hay reincidencia, la Agencia puede multar hasta tres veces el monto base de la infracción.
Derechos sobre los datos personales: los seis que reconoce la ley
Ampliar y fortalecer los derechos de los titulares representan uno de los ejes centrales de la reforma, es decir, de las personas cuyos datos son tratados. La ley reconoce seis derechos irrenunciables, que no pueden limitarse por contrato:
- Acceso: saber si una organización trata tus datos, obtener copia de ellos e información sobre su origen, finalidad y destinatarios.
- Rectificación: corregir datos inexactos, desactualizados o incompletos.
- Supresión: eliminar tus datos cuando ya no son necesarios o fueron tratados ilícitamente.
- Oposición: pedir que no se realice un tratamiento determinado, por ejemplo para fines de marketing.
- Portabilidad: recibir tus datos en formato electrónico y transferirlos a otro responsable.
- Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una reclamación.
Con estos derechos claros, las empresas deben responder las solicitudes de ejercicio en un plazo máximo de 30 días corridos. Las solicitudes de bloqueo deben responderse en solo 2 días hábiles. El acceso es gratuito al menos una vez por trimestre.
¿Qué debe hacer tu empresa antes del 1 de diciembre de 2026?
La Secretaría de Gobierno Digital publicó una Guía Práctica de Implementación orientada a los organismos del Estado, pero sus pasos son igualmente útiles para el sector privado. El punto de partida recomendado tiene tres acciones concretas:
- Designar un responsable institucional: una persona con capacidad de gestión que coordine la implementación. En empresas con mayor volumen de datos, puede ser el Delegado de Protección de Datos (DPO).
- Levantar un inventario de datos: identificar qué datos se recopilan, dónde están, con qué finalidad, quién los maneja y por cuánto tiempo se conservan.
- Revisar las bases de licitud: cada tratamiento debe tener una justificación legal válida: consentimiento, contrato, obligación legal o interés legítimo.
¿Por dónde empezar si todavía no has iniciado la adecuación?
El tiempo disponible es el necesario, aunque sin mucho para perder. Una implementación de cumplimiento puede requerir entre 6 y 9 meses si se parte desde cero, así que lo realista es priorizar. Estas son las prioridades:
|
Etapa |
Plazo |
Qué hacer |
|---|---|---|
|
Inventario y accesos |
Primeros 30 días |
Mapea qué datos tienes, dónde están almacenados y quién puede acceder a ellos. |
|
Gobernanza y contratos |
Días 30 a 60 |
Revisa los contratos con proveedores tecnológicos, actualiza las cláusulas de tratamiento de datos y define tu política de privacidad. |
|
Controles técnicos y simulación |
Días 60 a 90+ |
Implementa logs de acceso y procedimientos de respuesta ante brechas, y ensaya el proceso de atención a titulares. |
En PlanOK desarrollamos B-OK, un servicio de consultorías de ciberseguridad que blinda a tu empresa ante estos nuevos escenarios. Herman Vega, nuestro CISO, explica en el siguiente video:
Si quieres saber el nivel de cumplimiento de tu empresa, te invitamos a hacer este autodiagnóstico exprés sin costo: Quiero el diagnóstico.
Una última cosa: recuerda que la APDP va a fiscalizar evidencia operativa, no tus buenas intenciones. Logs, inventarios, registros de consentimiento y contratos datados son la diferencia entre cumplir y no cumplir. Mucho éxito.
Y si necesitas ayuda, desde B-OK estamos dispuestos a ayudarte.