El 1 de diciembre de 2026 entra en vigor la Ley 21.719, que deroga la actual Ley 19.628 y redefine las reglas del juego para cualquier organización que trate datos personales en Chile. Esta ley, está inspirada en el estándar del GDPR europeo, la norma crea una nueva Agencia de Protección de Datos con facultades reales de fiscalizar, resolver y sancionar. La adecuación a la Ley 21.719 dejó de ser un asunto legal a futuro para convertirse en una prioridad de este año.
Sin importar el tamaño ni el rubro, si tu empresa trata datos personales, la ley es aplicable. Y el costo de no prepararse es concreto: las sanciones van desde amonestaciones hasta multas de 20.000 UTM, pudiendo alcanzar hasta el 4% de la facturación anual según la gravedad de la falta. La protección de datos personales pasó de ser una buena práctica a una obligación fiscalizable en Chile.
¿Qué es la Ley 21.719 y a quién aplica?
La Ley 21.719 moderniza el marco chileno de protección de datos personales, alineándolo con los estándares internacionales del GDPR. Su principal diferencia respecto a la ley anterior es que introduce una autoridad regulatoria, la Agencia de Protección de Datos, con capacidad efectiva de fiscalización y sanción, lo que transforma el cumplimiento de la misma, en una exigencia con consecuencias medibles.
Por lo tanto, si trabajas con datos personales en Chile, la ley te aplica, sin importar el tamaño de tu empresa o rubro. Esta ley abarca a sectores muy distintos, entre ellos:
- Banca, fintech y retail: donde existe un alto volumen de datos de clientes y transacciones financieras.
- Salud y clínicas: donde hay tratamiento de datos sensibles y de salud de cada uno de los pacientes.
- Educación, sector inmobiliario y logística: donde se requiere una gestión permanente de datos de personas.
- SaaS, tecnología y e-commerce: captura y análisis de comportamiento digital.
- Sector público, despachos legales, agencias de marketing y manufactura: todos quedan alcanzados y regulados bajo esta ley.
¿Qué es un dato personal y qué significa su “tratamiento”?
Para entender qué regula la ley, primero hay que entender qué es un dato personal. Un dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable. Esto incluye su nombre, RUT, género, comportamiento digital, sus datos biométricos, datos de salud, información de menores de edad y la geolocalización, entre muchos otros datos de información.
La ley regula “tratamiento de datos personales”, prácticamente todo lo que una organización o empresa hace con ese dato: capturarlos, almacenarlos, analizarlos, compartirlos y eliminarlos. En la práctica, cualquier operación cotidiana que tu negocio haga con información de personas, cae bajo el alcance de la norma.
¿Cuáles son los pilares que exige la ley de protección de datos?
La adecuación no se resuelve con un único documento. La ley se sostiene sobre tres elementos fundamentales que toda organización debe cubrir para garantizar la seguridad de la información y la confianza del usuario:
Bases de licitud
Existen 6 bases que legitiman el tratamiento, partiendo por el consentimiento previo, expreso, libre, específico, informado e inequívoco, además del cumplimiento de una obligación legal y la ejecución de un contrato.
Derechos y obligaciones
Se consagran los derechos ARSOP (Acceso, Rectificación, Supresión, Oposición y Portabilidad), junto al deber de secreto y confidencialidad, la información y transparencia, y el deber de reportar vulnerabilidades.
Prevención de riesgos proactiva
Exigen mantener un Registro de Actividades de Tratamiento (RAT), designar un DPO, aplicar privacidad desde el diseño y por defecto, y realizar evaluaciones de riesgo.
Un enfoque en tres dimensiones integradas
El cumplimiento de esta ley cruza lo jurídico y lo tecnológico, la adecuación a la Ley 21.719 se aborda desde tres dimensiones que trabajan de forma integrada:
- Legal y documental: revisión normativa, definición de bases de licitud y redacción de políticas, contratos y consentimientos.
- Técnica: mapeo de sistemas, trazabilidad y anonimización, seguridad y generación de evidencia.
- Gestión del cambio: capacitaciones y formación para la adecuación cultural de los equipos a la nueva normativa.
Plazos para adecuarse a la Ley de Protección de datos
Desde Forma, hemos creado un acompañamiento para las marcas que requieren una atención y que están preparando su adecuación a esta ley. Este servicio se estructura en cuatro etapas, cada una con entregables concretos que le dan trazabilidad al proceso:
Descubrimiento y diagnóstico ( 3 a 6 semanas)
Se conocen tus datos, flujos, sistemas, accesos, terceros y nivel de riesgo, junto a un análisis documental de bases legales, consentimientos, contratos y políticas.
En esta primera etapa, entregamos un informe con todos los hallazgos y un Gap Analysis.
Diseño legal y operacional ( 2 a 3 semanas)
Se trabaja en las políticas de privacidad y cookies, plantilla RAT, definición de procesos, privacy by design, gestión de riesgos y protocolos de incidentes.
En esta segunda etapa, se realiza un entrega de un por etapas.
Implementación (2 a 4 semanas)
Se trata de la ejecución del roadmap con base en las prioridades establecidas anteriormente.
Se hace entrega de documentos, procesos y correcciones identificadas.
Capacitaciones (2 a 4 semanas)
Etapa formativa y de gestión del cambio para instalar una cultura de la privacidad y una adopción real.
Entregable con documentación y/o grabaciones e-learning.
¿Qué documentos y procesos tendrás al finalizar el proyecto?
Al cierre del proceso, tu organización queda con un set completo de documentos y procedimientos listos para operar y para responder ante la Agencia:
- Gap Analysis e informe de hallazgos: diagnóstico con las brechas priorizadas.
- Registro de Actividades de Tratamiento (RAT): inventario completo de datos y flujos.
- Política de Privacidad: clara, accesible y en lenguaje sencillo.
- Protocolo ARSOP+: canal y procedimiento formal para recibir y responder solicitudes.
- Protocolo de gestión de incidentes: procedimientos frente a vulneraciones.
- Material para la gestión del cambio: capacitaciones grabadas para e-learning.
¿Por qué elegir una alianza legal y técnica?
La adecuación no puede quedar solo en manos de abogados, de TI o de compliance por separado: debe instalarse como una capacidad de toda la organización. Ese es el corazón de una alianza que combina profundidad jurídica con implementación técnica y gestión del cambio. Sus ventajas son tres:
- Cumplimiento como capacidad: no se trata de un proyecto que termina, sino de instalar la capacidad de cumplir y sostenerla en el tiempo.
- Todas las dimensiones que exige la ley: lo legal, lo técnico y lo cultural cubiertos de forma integrada, no como piezas sueltas.
- Priorización según tu negocio: se avanza por nivel de riesgo, atacando primero lo que más te expone para que el cumplimiento genere valor desde el primer mes.
Este es el enfoque que impulsa Forma en MMG – Moov Media Group junto al estudio Marinovic & Alcalde, sumando metodología, tecnología y gestión del cambio a un respaldo jurídico con 8 áreas de práctica, 3 rankings internacionales y más de 30 profesionales.