Resumen. La Ley 21.719 reforma la Ley 19.628 y, desde el 1 de diciembre de 2026, se aplica a todo tratamiento de datos personales, también al de las pymes. Para cumplirla, una pyme debe saber qué datos trata y con qué base de licitud, publicar una política de privacidad con el contenido del artículo 14 ter, responder las solicitudes de los titulares dentro de 30 días corridos, exigir un contrato a los proveedores que tratan datos por ella, adoptar medidas de seguridad y reportar las vulneraciones que pongan en riesgo a los titulares. Designar un delegado y adoptar un modelo de prevención de infracciones son decisiones voluntarias. Esta lista ordena esos pasos y cita el artículo que respalda cada uno.

Para una visión general de la reforma, revise el resumen de la Ley 21.719. Los artículos citados son de la Ley 19.628 reformada, salvo que se indique otra norma.

¿La Ley 21.719 se aplica a las pymes?

Sí. El artículo 1° dispone que "todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, debe respetar los derechos y libertades de las personas y quedará sujeto a las disposiciones de esta ley". Una pyme trata datos personales cuando paga remuneraciones, lleva una cartera de clientes o graba con cámaras de seguridad.

La ley sí contiene reglas que consideran el tamaño de la empresa:

  • Estándares diferenciados. La Agencia de Protección de Datos Personales fijará, mediante instrucción general, los estándares mínimos de los deberes de información y de seguridad considerando, entre otros factores, el tamaño de la empresa según la Ley 20.416 (artículo 14 septies).
  • Delegado. En las micro, pequeñas y medianas empresas, el dueño puede asumir las tareas de delegado (artículo 50).
  • Amonestación en el primer año. Durante los primeros 12 meses de vigencia, si procede sancionar a una empresa de menor tamaño, la Agencia "podrá aplicar como sanción una amonestación por escrito" (artículo sexto transitorio de la Ley 21.719). Es una facultad de la Agencia, no una exención.
  • Multas. La multa del 2 % o el 4 % de los ingresos anuales no se aplica a empresas de menor tamaño (artículo 35), y la Agencia debe considerar la capacidad económica del infractor (artículo 37).

El detalle del régimen sancionatorio está en nuestra guía de multas y sanciones de la Ley 21.719.

La lista de verificación en una tabla

N° Qué hacer Deber que responde
1 Medir el punto de partida Organización interna
2 Inventariar qué datos trata y para qué Artículos 3°, 12 y 14 ter
3 Identificar la base de licitud de cada tratamiento Artículos 12, 13 y 16
4 Publicar una política de privacidad completa Artículo 14 ter
5 Habilitar la recepción y respuesta de solicitudes Artículos 4° y 11
6 Firmar contratos con los proveedores que tratan datos Artículo 15 bis
7 Revisar seguridad y preparar el reporte de vulneraciones Artículos 14 quinquies y 14 sexies
8 Revisar datos sensibles, de niños y de alto riesgo Artículos 15 ter, 16 y 16 quáter
9 Identificar transferencias internacionales Artículos 27 y 28
10 Decidir sobre delegado y modelo de prevención Artículos 48, 49 y 50
11 Capacitar al equipo Artículo 14 bis

1. Mida su punto de partida

Antes de redactar documentos, conviene saber dónde está su empresa. Una evaluación rápida muestra qué falta y en qué orden abordarlo. El autodiagnóstico gratuito de la Ley 21.719 plantea 10 preguntas, toma unos tres minutos y entrega un resultado inmediato con las brechas detectadas.

2. Inventaríe qué datos trata y para qué

La ley no impone a todos los responsables un registro formal de actividades de tratamiento. Pero varios deberes suponen conocer esa información:

  • El artículo 14 ter exige publicar las categorías de datos que trata, el universo de personas de sus bases de datos, los destinatarios, las finalidades y la base de licitud de cada tratamiento.
  • El artículo 3°, letra a, dispone que el responsable "deberá ser capaz de acreditar la licitud del tratamiento", y el artículo 12 le impone probar que contó con el consentimiento cuando este es la base.

El inventario es el paso práctico que sostiene el resto. Para cada proceso (remuneraciones, ventas, marketing, selección de personal, cámaras), anote qué datos recoge, de quiénes, para qué, a quién los entrega y cuánto tiempo los conserva. Los datos solo pueden conservarse por el tiempo necesario para sus fines (artículo 3°, letra c).

Si su empresa adopta un modelo de prevención de infracciones, esta identificación pasa a ser un elemento obligatorio del programa (artículo 49, letra c).

3. Identifique la base de licitud de cada tratamiento

Cada tratamiento necesita una base legal. El consentimiento es la regla general y debe ser "libre, informado y específico en cuanto a su finalidad o finalidades", además de previo e inequívoco (artículo 12). El titular puede revocarlo en cualquier momento.

El artículo 13 permite tratar datos sin consentimiento en ciertos casos. Para una pyme, los más frecuentes son tres: cuando el tratamiento es necesario para celebrar o ejecutar un contrato con el titular, cuando lo exige una obligación legal y cuando es necesario para satisfacer un interés legítimo del responsable o de un tercero, siempre que no afecte los derechos y libertades del titular.

Evite un error habitual: la ley presume que el consentimiento no fue libre cuando se pide al ejecutar un contrato en que esa recolección no es necesaria (artículo 12).

4. Publique una política de privacidad completa

El artículo 14 ter obliga a mantener permanentemente a disposición del público, en el sitio web o en un medio equivalente, al menos esta información:

  • la política de tratamiento, con su fecha y versión;
  • la individualización del responsable y de su representante legal;
  • el canal para recibir las solicitudes de los titulares;
  • las categorías de datos, los titulares, los destinatarios, las finalidades y la base de licitud;
  • la política y las medidas de seguridad;
  • los derechos del titular y su derecho a reclamar ante la Agencia;
  • las transferencias internacionales, si existen;
  • el plazo de conservación y la fuente de los datos;
  • el derecho a retirar el consentimiento, cuando sea la base;
  • la existencia de decisiones automatizadas, incluida la elaboración de perfiles.

Use el inventario del paso 2 como insumo directo.

5. Defina cómo recibir y responder solicitudes de derechos

Los titulares tienen derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (artículo 4°). El artículo 11 fija el procedimiento: el responsable debe acusar recibo y pronunciarse "a más tardar dentro de los treinta días corridos siguientes a la fecha de ingreso de la solicitud", plazo prorrogable una sola vez hasta por 30 días corridos.

Decida por qué canal llegan las solicitudes, quién las responde y dónde se guarda el respaldo: la ley exige conservar la prueba del envío, su fecha y su contenido íntegro. Si rechaza una solicitud, debe fundar la decisión e informar al titular que tiene 30 días hábiles para reclamar ante la Agencia.

El paso a paso está en la guía del procedimiento para responder solicitudes de derechos en 30 días.

6. Firme contratos con los proveedores que tratan datos por usted

El contador externo, el proveedor de remuneraciones o el servicio en la nube tratan datos por cuenta de su empresa. La ley los llama "tercero mandatario o encargado", y el artículo 15 bis exige un contrato con ellos.

Ese contrato debe establecer el objeto del encargo, su duración, la finalidad del tratamiento, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes. Además, el encargado:

  • no puede usar los datos para otro fin ni cederlos sin autorización expresa;
  • no puede delegar el encargo sin autorización específica y por escrito;
  • debe cumplir los deberes de confidencialidad y seguridad (artículos 14 bis y 14 quinquies);
  • debe reportarle a usted las vulneraciones de seguridad;
  • al terminar, debe suprimir o devolver los datos.

La Agencia debe publicar modelos tipo de estos contratos en su sitio web (artículo 15 bis).

7. Revise su seguridad y prepare el reporte de vulneraciones

El artículo 14 quinquies obliga a adoptar medidas de seguridad adecuadas al riesgo, como el cifrado, la capacidad de restaurar los datos tras un incidente y la verificación periódica de las medidas. Si hay un incidente y surge una controversia, su empresa debe acreditar que las medidas existían y funcionaban.

El artículo 14 sexies agrega el deber de reportar a la Agencia, "por los medios más expeditos posibles y sin dilaciones indebidas", las vulneraciones que generen un riesgo razonable para los titulares, y de registrar esas comunicaciones. Si la vulneración afecta datos sensibles, datos de niños y niñas menores de 14 años o datos sobre obligaciones económicas, financieras, bancarias o comerciales, también debe avisar a los titulares. La ley chilena no fija un plazo en horas.

Defina quién evalúa un incidente y quién decide si se reporta. El detalle está en la guía sobre el reporte de brechas del artículo 14 sexies.

8. Revise si trata datos sensibles, de niños o de alto riesgo

Algunos datos exigen más cuidado:

  • Datos sensibles. Incluyen, entre otros, los de salud, los biométricos, la afiliación sindical y la situación socioeconómica (artículo 2°, letra g). Por regla general requieren consentimiento expreso, con excepciones como las obligaciones laborales o de seguridad social (artículo 16).
  • Niños, niñas y adolescentes. Sus datos se tratan atendiendo a su interés superior. Para los menores de 14 años se requiere el consentimiento de sus padres o representantes legales, salvo que la ley lo autorice (artículo 16 quáter).
  • Tratamientos de alto riesgo. Antes de iniciarlos, la ley exige siempre una evaluación de impacto en casos como el tratamiento masivo o a gran escala y el monitoreo sistemático de una zona de acceso público (artículo 15 ter). Un control biométrico de asistencia o cámaras que graban la vía pública conviene revisarlos con asesoría.

9. Identifique sus transferencias internacionales

Si su empresa envía datos a otro país, por ejemplo mediante un servicio con servidores en el extranjero, puede estar realizando una transferencia internacional. El artículo 27 la permite, entre otros casos, cuando el país de destino tiene un nivel adecuado de protección o cuando hay cláusulas contractuales con garantías adecuadas. La Agencia publicará el listado de países adecuados y modelos de cláusulas (artículo 28). Revise dónde alojan los datos sus proveedores e informe estas transferencias en su política de privacidad (artículo 14 ter, letra h).

10. Decida sobre el delegado y el modelo de prevención

Todo responsable debe "adoptar acciones destinadas a prevenir la comisión de las infracciones" que la ley tipifica (artículo 48). Los pasos anteriores cumplen esa función. Además, hay dos decisiones voluntarias:

  • Delegado de protección de datos. El responsable "podrá designar" uno (artículo 50).
  • Modelo de prevención de infracciones. El artículo 49 permite adoptarlo en forma voluntaria, y el Decreto 662 de 2026, del Ministerio de Hacienda, lo reglamenta. Si lo adopta, la designación de un delegado pasa a ser obligatoria. A cambio, la certificación del modelo por la Agencia acredita una atenuante de responsabilidad (artículos 36 N° 5 y 51).

La guía sobre el delegado de protección de datos explica los requisitos y las funciones del cargo.

11. Capacite a su equipo

La ley no impone un programa de capacitación a todos los responsables. Pero el artículo 14 bis obliga a adoptar las medidas necesarias para que los dependientes y los proveedores cumplan el deber de secreto. Una instrucción periódica a quienes manejan datos personales es la forma más directa de hacerlo: qué datos pueden usar, cómo derivar una solicitud y a quién avisar ante un incidente.

¿Qué pasa si la vigencia se posterga?

Según el artículo primero transitorio de la Ley 21.719, la reforma rige desde el 1 de diciembre de 2026. El 1 de septiembre de 2026, el Gobierno ingresó un proyecto que propone postergarla al 1 de diciembre de 2027 (Boletín 18.623-07). Al 21 de octubre de 2026, según el Senado, sigue en primer trámite constitucional, en la etapa de primer informe de la Comisión de Constitución, con urgencia "suma".

Mientras no se publique una ley que cambie la fecha, rige el 1 de diciembre de 2026. Recomendamos prepararse para esa fecha: estos pasos toman tiempo y sirven aunque el plazo cambie.

Cómo aporta Janus

Las herramientas de Janus para la Ley 21.719 (solicitudes de derechos con control de plazos, registro de tratamientos, consentimiento y registro de brechas) llegan con Janus Pro, disponible pronto. Hoy puede comenzar con el autodiagnóstico gratuito y revisar nuestra página sobre la ley de protección de datos personales.

Janus no reemplaza la revisión legal de sus tratamientos, contratos y políticas. Esa evaluación la realiza Anguita Osorio Abogados.

Preguntas frecuentes

¿La Ley 21.719 se aplica a las pymes? Sí. El artículo 1° de la Ley 19.628, reformada por la Ley 21.719, somete a la ley todo tratamiento de datos personales que realice una persona natural o jurídica, sin distinguir por tamaño. Las pymes tienen reglas propias, como estándares diferenciados y, durante los primeros 12 meses, la facultad de la Agencia de sancionarlas con una amonestación por escrito.

¿Por dónde empiezo a cumplir la Ley 21.719? Por saber qué datos personales trata su empresa, de quiénes, para qué y con qué base de licitud. Con esa información puede redactar la política de privacidad del artículo 14 ter, revisar sus contratos con proveedores y definir medidas de seguridad.

¿Es obligatorio tener un registro de actividades de tratamiento? La ley no impone a todos los responsables un registro formal de actividades de tratamiento. Sí exige publicar las categorías de datos, los titulares, los destinatarios, las finalidades y la base de licitud (artículo 14 ter) y poder acreditar la licitud de cada tratamiento (artículos 3° y 12). Un inventario es la forma práctica de cumplir esos deberes. Solo dentro de un modelo de prevención de infracciones es un elemento obligatorio (artículo 49).

¿Necesito consentimiento para tratar los datos de mis clientes y trabajadores? No siempre. El consentimiento es la regla general (artículo 12), pero el artículo 13 permite tratar datos sin él cuando el tratamiento es necesario para celebrar o ejecutar un contrato con el titular, para cumplir una obligación legal o para satisfacer un interés legítimo que no afecte los derechos del titular, entre otros casos. Los datos sensibles exigen, por regla general, consentimiento expreso (artículo 16).

¿Una pyme debe designar un delegado de protección de datos? No. La designación es voluntaria (artículo 50), salvo que la empresa adopte un modelo de prevención de infracciones, caso en el que es obligatoria (artículo 49 y Decreto 662 de 2026, del Ministerio de Hacienda). En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente esas tareas.

¿Qué pasa si se posterga la entrada en vigencia? Al 21 de octubre de 2026, el proyecto que propone postergarla al 1 de diciembre de 2027 (Boletín 18.623-07) sigue en primer trámite constitucional en el Senado. Mientras no se publique una ley que la cambie, la fecha vigente es el 1 de diciembre de 2026, y conviene prepararse para ella.

Fuentes citadas

Este artículo, desarrollado junto a Anguita Osorio Abogados, es de orientación general y no constituye asesoría legal. La adecuación de una empresa a la Ley 21.719 depende de los datos que trata, de sus proveedores y de su operación, y requiere evaluación profesional caso a caso. Para conversar sobre su empresa, contáctenos o revise nuestra página sobre la ley de protección de datos personales.

Última revisión: 21 de octubre de 2026 · Equipo Legal Anguita Osorio Abogados