La Ley N.º 21.719 transforma el marco de protección y tratamiento de datos personales en Chile.
Su entrada en vigencia está prevista para el 1 de diciembre de 2026 y durante este año
se han producido nuevos avances regulatorios que las organizaciones deben considerar.
Entre las novedades más recientes destaca el Decreto N.º 662 del Ministerio de Hacienda,
publicado en el Diario Oficial el 9 de septiembre de 2026, que regula los requisitos, modalidades y
procedimientos para la implementación, certificación, registro y supervisión de los
Modelos de Prevención de Infracciones contemplados por la Ley 21.719.
Fecha clave para las empresas en Chile
1 de diciembre de 2026
Fecha establecida para la entrada en vigencia de la Ley N.º 21.719.
¿Tu empresa ya sabe qué datos personales trata y cómo los protege?
La preparación frente a la Ley 21.719 requiere revisar procesos, personas, tecnologías,
proveedores y controles de seguridad.
¿Qué es la Ley 21.719 de Protección de Datos Personales?
La Ley N.º 21.719 actualiza el marco chileno sobre protección y tratamiento
de datos personales y modifica de manera sustancial la Ley N.º 19.628.
La normativa establece nuevas obligaciones para quienes realizan tratamiento de datos personales,
fortalece los derechos de los titulares y crea una nueva institucionalidad encargada de fiscalizar
el cumplimiento de estas disposiciones.
Protección
Nuevas obligaciones para proteger los datos personales durante todo su ciclo de tratamiento.
Responsabilidad
Las organizaciones deben poder demostrar el cumplimiento de sus obligaciones.
Seguridad
La seguridad de la información adquiere un papel central en la protección de datos.
Fiscalización
La nueva Agencia de Protección de Datos Personales tendrá facultades de fiscalización y sanción.
¿Cuándo entra en vigencia la Ley 21.719?
La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y
establece como fecha general de entrada en vigencia el 1 de diciembre de 2026.
| Hito | Fecha | Relevancia |
|---|---|---|
| Publicación de la Ley 21.719 | 13 de diciembre de 2024 | Se establece el nuevo marco de protección de datos. |
| Publicación Decreto N.º 662 | 9 de septiembre de 2026 | Regula los Modelos de Prevención de Infracciones. |
| Entrada en vigencia | 1 de diciembre de 2026 | Comienza la aplicación general del nuevo régimen. |
Decreto N.º 662: una de las principales novedades de 2026
El Decreto N.º 662 del Ministerio de Hacienda fue publicado en el Diario Oficial
el 9 de septiembre de 2026.
Su objetivo es establecer los requisitos, modalidades y procedimientos para la
implementación, certificación, registro y supervisión de los Modelos de Prevención
de Infracciones contemplados en la Ley 21.719.
¿Qué regula el Decreto 662?
- Implementación de los modelos de prevención.
- Requisitos de los programas de cumplimiento.
- Designación y funciones del delegado de protección de datos.
- Certificación de los modelos.
- Registro de entidades certificadas.
- Supervisión por parte de la Agencia.
¿Qué es un Modelo de Prevención de Infracciones?
El Modelo de Prevención de Infracciones corresponde a un programa de cumplimiento que
los responsables de datos pueden adoptar voluntariamente para establecer medidas organizativas
y de funcionamiento destinadas a prevenir infracciones relacionadas con el tratamiento
de datos personales.
adoptar un Modelo de Prevención de Infracciones no elimina el deber general de cumplir
las disposiciones de la Ley 19.628 y de prevenir infracciones.
Elementos que contempla el reglamento
| Elemento | ¿Qué implica? |
|---|---|
| Identificación de datos | Identificar qué datos personales trata la organización y qué categorías de datos administra. |
| Registro de actividades | Caracterizar las operaciones de tratamiento realizadas por la organización. |
| Matriz de riesgos | Identificar actividades que presentan un mayor riesgo de generar infracciones. |
| Protocolos | Definir procedimientos para prevenir infracciones durante las actividades de tratamiento. |
| Reporte interno | Establecer mecanismos para informar incumplimientos o infracciones. |
| Capacitación | Formar permanentemente a las personas que participan en operaciones de tratamiento. |
Protección de datos: también es responsabilidad de las personas
Uno de los aspectos relevantes del nuevo reglamento es que la protección de datos
no queda limitada a las áreas de tecnología, seguridad o asuntos legales.
El reglamento establece que los protocolos y procedimientos deben permitir que
las personas que intervienen en las actividades de tratamiento
ejecuten sus tareas de una manera que prevenga la comisión de infracciones.
Además, el delegado de protección de datos debe preocuparse de la
formación y capacitación permanente de las personas que participan
en operaciones de tratamiento.
si las personas que trabajan diariamente con información personal no conocen los
procedimientos que deben seguir.
La protección de datos requiere más que tecnología
Para abordar la Ley 21.719 de manera integral, las organizaciones deben considerar
distintas dimensiones que interactúan entre sí.
Personas
Roles, responsabilidades y capacitación.
Procesos
Procedimientos y gestión de riesgos.
Tecnología
Controles técnicos y seguridad.
Gobierno
Supervisión y cumplimiento.
Delegado de Protección de Datos: ¿qué establece el nuevo reglamento?
La Ley 21.719 contempla la figura del Delegado de Protección de Datos.
El nuevo Decreto N.º 662 desarrolla sus características, funciones y condiciones
dentro del Modelo de Prevención de Infracciones.
Cuando una organización adopta y certifica un Modelo de Prevención de Infracciones,
la designación del delegado es obligatoria dentro de dicho modelo.
| Función | Rol dentro de la organización |
|---|---|
| Asesorar | Orientar sobre las obligaciones de protección y tratamiento de datos. |
| Supervisar | Supervisar el cumplimiento de la normativa aplicable. |
| Capacitar | Promover la formación permanente de quienes participan en el tratamiento. |
| Gestionar riesgos | Asesorar en la identificación de riesgos y medidas de protección. |
| Relación con la Agencia | Actuar como punto de contacto con la Agencia de Protección de Datos Personales. |
Protección de datos desde el diseño y por defecto
La Ley 21.719 incorpora la protección de datos desde el diseño y por defecto.
Esto implica considerar la protección de los datos desde las primeras etapas
de diseño de procesos, productos, servicios y sistemas que involucren su tratamiento.
Privacy by Design
La protección de datos se incorpora desde el diseño de los procesos,
sistemas y servicios.
Privacy by Default
Por defecto deben tratarse únicamente los datos necesarios para la finalidad correspondiente.
Evaluaciones de impacto en protección de datos
La Ley 21.719 contempla evaluaciones de impacto cuando determinadas operaciones
de tratamiento puedan generar un alto riesgo para los derechos de los titulares.
Entre las situaciones contempladas se encuentran determinados tratamientos masivos,
elaboración de perfiles mediante decisiones automatizadas, monitoreo sistemático
de zonas de acceso público y determinados tratamientos de datos sensibles.
Necesidad
Proporcionalidad
Riesgos
Mitigaciones
Ley 21.719 y ciberseguridad: ¿cómo se relacionan?
Protección de datos personales y ciberseguridad están estrechamente relacionadas,
aunque no son exactamente lo mismo.
| Protección de datos | Ciberseguridad |
|---|---|
| Define obligaciones sobre el tratamiento de datos personales. | Implementa medidas para proteger sistemas e información. |
| Se enfoca en los derechos de los titulares. | Se enfoca en amenazas, vulnerabilidades y controles de seguridad. |
| Determina cómo y para qué pueden tratarse los datos. | Protege la confidencialidad, integridad y disponibilidad de la información. |
En la práctica, una estrategia de cumplimiento debería considerar ambas dimensiones:
gobierno de datos y controles de ciberseguridad.
¿Qué ocurre ante una brecha de datos personales?
La Ley 21.719 establece obligaciones relacionadas con las vulneraciones de seguridad
que afecten datos personales.
la Ley 21.719 no establece como regla general una obligación de reportar todas las
brechas en un plazo fijo de 72 horas. El artículo 14 sexies establece el deber de
comunicar las vulneraciones a la Agencia por los medios más expeditos posibles
y sin dilaciones indebidas, cuando exista un riesgo razonable para los derechos
y libertades de los titulares.
Por eso, las organizaciones deberían contar con procedimientos para identificar,
evaluar, contener y gestionar incidentes que involucren datos personales.
¿Qué pasa con los proveedores y terceros?
Los datos personales no siempre permanecen dentro de los sistemas propios de una empresa.
Pueden ser tratados por proveedores tecnológicos, plataformas cloud, sistemas de gestión,
proveedores de marketing, servicios de recursos humanos y otros terceros.
Preguntas que una organización debería poder responder
- ¿Qué datos personales estamos tratando?
- ¿Dónde están almacenados?
- ¿Quién puede acceder a ellos?
- ¿Qué proveedores intervienen?
- ¿Para qué se utilizan?
- ¿Durante cuánto tiempo se conservan?
- ¿Se comunican a terceros?
- ¿Existen transferencias internacionales?
Sanciones de la Ley 21.719
La Ley 21.719 establece un régimen de infracciones clasificadas como
leves, graves y gravísimas.
| Categoría | Referencia |
|---|---|
| Infracciones leves | Sujetan a las sanciones establecidas por la ley según la infracción correspondiente. |
| Infracciones graves | Pueden alcanzar multas de hasta 1.000 UTM en los casos contemplados por la ley. |
| Infracciones gravísimas | Pueden alcanzar hasta 20.000 UTM en los casos establecidos por la normativa. |
En determinados casos de reincidencia, la ley contempla además multas vinculadas
a los ingresos anuales por ventas y servicios y otras actividades del giro.
Checklist: ¿qué debería revisar una empresa antes del 1 de diciembre de 2026?
La preparación frente a la Ley 21.719 debería comenzar por conocer cómo circulan
los datos personales dentro de la organización.
¿Tu empresa está preparada para la Ley 21.719?
La adecuación a la nueva normativa requiere revisar datos, procesos, personas,
proveedores, riesgos y controles de seguridad.
Preguntas frecuentes sobre la Ley 21.719
¿Cuándo entra en vigencia la Ley 21.719?
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026.
¿La Ley 21.719 reemplaza a la Ley 19.628?
Modifica de manera sustancial la Ley 19.628 y establece un nuevo
marco institucional y regulatorio para la protección de datos personales.
¿Qué es el Decreto N.º 662?
Es el reglamento publicado el 9 de septiembre de 2026 que regula los requisitos,
modalidades y procedimientos para implementar, certificar, registrar y supervisar
los Modelos de Prevención de Infracciones asociados a la Ley 21.719.
¿El Modelo de Prevención de Infracciones es obligatorio?
No. El reglamento establece que los responsables de datos pueden adoptar e implementar
voluntariamente un modelo de prevención. Esto no elimina el deber general de cumplir
la normativa y prevenir infracciones.
¿Todas las empresas deben tener un Delegado de Protección de Datos?
No debe afirmarse que todas las empresas están obligadas a designarlo. El nuevo reglamento
establece su designación obligatoria dentro del Modelo de Prevención de Infracciones
cuando este es adoptado y certificado.
¿La Ley 21.719 establece un plazo general de 72 horas para reportar brechas?
No como regla general. La normativa establece que determinadas vulneraciones deben
comunicarse a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas,
cuando exista un riesgo razonable para los derechos y libertades de los titulares.
