Question 1

¿Qué es la Ley 21.719?

Accepted Answer

La Ley 21.719 es la nueva regulación chilena de protección de datos personales, publicada en diciembre de 2024 y con vigencia plena desde el 1 de diciembre de 2026. Reemplaza el modelo declarativo de la antigua Ley 19.628 por uno que exige demostrar el cumplimiento con registros, contratos y procedimientos. Toma como referencia el estándar europeo del Reglamento General de Protección de Datos, de modo que ordena a Chile dentro de las prácticas internacionales en la materia.

Question 2

¿Desde cuándo rige la Ley 21.719?

Accepted Answer

La ley fue publicada el 13 de diciembre de 2024 y su vigencia general comienza veinticuatro meses después, el 1 de diciembre de 2026. Ese plazo de transición existe para que las empresas adapten sus procesos y para que la nueva autoridad dicte los reglamentos y lineamientos que precisan su aplicación. Conviene no dejar la preparación para el final, porque ordenar el tratamiento de datos de una organización toma meses, no semanas.

Question 3

¿A qué empresas se aplica la Ley 21.719?

Accepted Answer

Se aplica a toda persona natural o jurídica, pública o privada, que trate datos personales. En la práctica, si tu empresa tiene trabajadores, clientes, proveedores o visitantes en su sitio web, ya está dentro del ámbito de la ley. También alcanza a empresas extranjeras que ofrecen bienes o servicios a personas en Chile, aunque no tengan presencia física en el país. No existe un umbral de tamaño que exima, una pyme y una gran empresa están igualmente sujetas, lo que cambia es la proporción de las medidas exigibles.

Question 4

¿Qué se considera un dato personal?

Accepted Answer

Un dato personal es cualquier información que identifica o permite identificar a una persona, como el nombre, el RUT, el correo, el teléfono, la dirección o los identificadores en línea. La ley distingue además una categoría especial, los datos sensibles, que reciben una protección reforzada. Entre ellos están los datos de salud, los biométricos como la huella o el rostro, el origen étnico, la afiliación sindical o política, las convicciones religiosas y la vida sexual. Tratar datos sensibles activa obligaciones más estrictas.

Question 5

¿Qué son los datos sensibles y por qué importan?

Accepted Answer

Los datos sensibles son una categoría que la ley protege con especial rigor porque su filtración o mal uso puede afectar gravemente a las personas. Incluyen datos de salud, datos biométricos, origen racial o étnico, afiliación política o sindical, convicciones religiosas o filosóficas y datos sobre la vida sexual. Para una empresa esto es relevante porque los exámenes ocupacionales, las pruebas de alcohol y drogas, el control de asistencia por huella o el reconocimiento facial recaen sobre datos sensibles, y por tanto exigen una base de licitud clara y resguardos mayores.

Question 6

¿Necesito el consentimiento de las personas para tratar sus datos?

Accepted Answer

No siempre. El consentimiento es solo una de las bases que la ley reconoce para tratar datos de forma lícita, y suele ser la más frágil porque la persona puede retirarlo en cualquier momento. Existen otras bases igualmente válidas, como la ejecución de un contrato con el titular, el cumplimiento de una obligación legal o el interés legítimo del responsable. La clave es que cada tratamiento de datos en la empresa pueda apoyarse en alguna base, y que cuando el consentimiento sea la vía, este sea libre, informado, específico y demostrable.

Question 7

¿Cuáles son los derechos de las personas sobre sus datos?

Accepted Answer

La ley reconoce a los titulares un conjunto de derechos que en Chile se conocen como ARCO ampliados. Son el acceso, que permite saber qué datos se tratan y con qué fin, la rectificación de datos inexactos, la cancelación o supresión cuando ya no son necesarios, la oposición a ciertos tratamientos, la portabilidad para llevarse los datos en un formato reutilizable y el bloqueo temporal mientras se resuelve una solicitud. La empresa debe tener un canal para recibir estas solicitudes y resolverlas dentro del plazo legal.

Question 8

¿En qué plazo debe responder mi empresa una solicitud de un titular?

Accepted Answer

La empresa debe responder dentro del plazo legal, que en general es de treinta días contados desde recibida la solicitud, prorrogable por un período adicional en casos justificados por su complejidad. Incumplir ese plazo es en sí una infracción sancionable. Por eso conviene tener definido de antemano quién recibe las solicitudes, cómo se tramitan internamente y con qué capacidad técnica se puede acceder, corregir o eliminar datos en todos los sistemas donde residen, incluidos los servicios de terceros.

Question 9

¿Cuáles son las multas de la Ley 21.719?

Accepted Answer

La ley establece un régimen de sanciones graduado según la gravedad de la infracción. Las infracciones leves pueden llegar hasta 5.000 UTM, las graves hasta 10.000 UTM y las gravísimas hasta 20.000 UTM, esta última cifra cercana a los 1.400 millones de pesos. Para empresas que no son pyme y reinciden, la multa puede alcanzar un porcentaje de los ingresos anuales, hasta un 2 por ciento en infracciones graves y un 4 por ciento en gravísimas, o la multa triplicada, lo que resulte mayor. El primer año hay una ventana de gracia para las pymes, que pueden recibir una amonestación en lugar de multa.

Question 10

¿Qué es la Agencia de Protección de Datos Personales?

Accepted Answer

Es la nueva autoridad creada por la Ley 21.719, una corporación autónoma de derecho público con facultades para fiscalizar, investigar, interpretar la ley y sancionar. Puede iniciar investigaciones de oficio o a partir de los reclamos de los titulares, y lleva un registro de sanciones y cumplimiento. Su existencia marca el cambio de fondo de la nueva ley, porque por primera vez hay un organismo dedicado a hacerla cumplir, que evaluará evidencia concreta de cumplimiento y no meras declaraciones de buena voluntad.

Question 11

¿Qué es el Registro de Actividades de Tratamiento?

Accepted Answer

El Registro de Actividades de Tratamiento, conocido como RAT, es un inventario detallado de todos los tratamientos de datos que realiza la empresa, donde se documenta qué datos se tratan, con qué finalidad, sobre qué base de licitud, por cuánto tiempo y con qué terceros se comparten. Es una de las obligaciones centrales de la ley y la base sobre la que se construye todo lo demás, porque no es posible cumplir ni demostrar cumplimiento sin saber primero qué datos se manejan y dónde están.

Question 12

¿Qué es una Evaluación de Impacto en Protección de Datos?

Accepted Answer

Es un análisis previo que la ley exige cuando un tratamiento puede generar un alto riesgo para las personas. Aplica, entre otros casos, al tratamiento a gran escala de datos sensibles, a la evaluación sistemática de personas mediante perfilamiento automatizado y a la vigilancia de espacios de acceso público. La evaluación obliga a documentar los riesgos y las medidas para mitigarlos antes de iniciar el tratamiento, de modo que la empresa pueda demostrar que actuó con la diligencia que la ley espera.

Question 13

¿Qué debo hacer si ocurre una filtración de datos?

Accepted Answer

La ley obliga a notificar las brechas de seguridad. Cuando la vulneración implica un riesgo para los derechos de las personas, la notificación a la Agencia debe hacerse sin dilación indebida, idealmente dentro de las setenta y dos horas de detectada, y si los datos comprometidos son sensibles, también hay que avisar a las personas afectadas. Tener definido de antemano un procedimiento de respuesta ante incidentes no solo reduce el daño, también mejora la posición de la empresa frente a la autoridad, que evaluará si se habían adoptado medidas razonables.

Question 14

¿Es obligatorio nombrar un Delegado de Protección de Datos?

Accepted Answer

No en todos los casos. La ley no obliga a designar un Delegado de Protección de Datos por el solo hecho de tratar datos, a diferencia de lo que muchos suponen. Se vuelve exigible cuando la empresa adopta de forma voluntaria un Modelo de Prevención de Infracciones, y en la práctica las organizaciones que tratan datos sensibles o a gran escala suelen designar a un responsable formal de todos modos. El Delegado puede ser una persona interna o un profesional externo especializado.

Question 15

¿Qué es el Modelo de Prevención de Infracciones?

Accepted Answer

El Modelo de Prevención de Infracciones es un programa interno que una empresa puede adoptar de forma voluntaria para ordenar cómo previene los incumplimientos de la ley de datos. No es obligatorio, pero certificado ante la Agencia opera como un atenuante frente a una eventual sanción. Adoptarlo implica designar un Delegado de Protección de Datos y estructurar políticas, controles y registros. Es una decisión que conviene evaluar según el tamaño de la empresa, su rubro y el tipo de datos que maneja.

Question 16

¿Qué relación tiene la ley con el uso de inteligencia artificial?

Accepted Answer

La ley es directamente relevante para el uso de inteligencia artificial por dos vías. La primera es que muchas herramientas de IA y servicios en la nube están alojados fuera de Chile, lo que activa las reglas sobre transferencias internacionales de datos. La segunda es que la ley reconoce el derecho de las personas a no quedar sujetas a decisiones automatizadas que las afecten significativamente sin intervención humana, lo que alcanza a sistemas de scoring, preselección de candidatos o asignación de precios. Una empresa que usa IA debe revisar qué datos pasan por esas herramientas y con qué base lo hace.

Question 17

¿La ley afecta el control de los trabajadores?

Accepted Answer

Sí, y es uno de los puntos donde se cruzan la protección de datos y el derecho del trabajo. El control de asistencia por huella o reconocimiento facial, el seguimiento por GPS de vehículos y las cámaras de vigilancia recaen sobre datos personales de los trabajadores, y la huella o el rostro son además datos sensibles. La ley exige que cada forma de control tenga una base que la justifique y que sea proporcional a su finalidad. Un control excesivo o no informado puede generar tanto una infracción a la ley de datos como un conflicto laboral.

Question 18

¿Qué diferencia hay entre la Ley 21.719 y la antigua Ley 19.628?

Accepted Answer

La diferencia de fondo es el paso de declarar a demostrar. La Ley 19.628, de 1999, fue una regulación temprana que reconocía algunos derechos pero carecía de una autoridad que la hiciera cumplir y de obligaciones precisas. La Ley 21.719 no la deroga por completo, la moderniza, e incorpora una agencia fiscalizadora, un régimen de sanciones con multas significativas, derechos ampliados para las personas y obligaciones concretas como el registro de tratamientos y la notificación de brechas. En términos simples, donde antes bastaba una declaración, ahora se exigen registros, contratos firmados y procedimientos que funcionen.

Question 19

¿Por dónde debe empezar mi empresa a cumplir la ley?

Accepted Answer

El punto de partida natural es saber qué datos personales trata la empresa, de quiénes, con qué finalidad, dónde están almacenados y con qué terceros se comparten. Ese inventario es la base de todo lo demás, porque sin él no es posible definir las bases de licitud, responder a las solicitudes de las personas ni demostrar cumplimiento ante la autoridad. A partir de ahí se ordenan los consentimientos, las medidas de seguridad, los contratos con proveedores y, si corresponde, el Modelo de Prevención. Un diagnóstico de exposición ayuda a identificar dónde está parada hoy tu empresa.

Question 20

¿Cómo sé qué tan expuesta está mi empresa frente a la ley?

Accepted Answer

La forma más simple de tener una primera lectura es revisar las prácticas de la empresa frente a los puntos que la ley fiscaliza con más atención, como el tratamiento de datos sensibles, el inventario de datos, el control de trabajadores, las medidas de seguridad y el consentimiento. Un diagnóstico de exposición ordena estos frentes y muestra cuáles conviene revisar primero, sin necesidad de una auditoría completa. Es un buen primer paso para decidir con información antes de comprometer recursos.

Preguntas frecuentes sobre la Ley 21.719