Resumen. La Ley 21.719 se publicó el 13 de diciembre de 2024 y modifica la Ley 19.628, de 1999, la antigua ley sobre protección de la vida privada. No la reemplaza: reescribe buena parte de su texto, crea la Agencia de Protección de Datos Personales y fija multas que, por regla general, llegan a 20.000 UTM. Sus cambios entran en vigencia el 1 de diciembre de 2026; un proyecto en el Senado (Boletín 18.623-07) propone postergarla un año. Se aplica a toda persona natural o jurídica, pública o privada, que trate datos personales, sin importar su tamaño. Esta guía resume qué exige y dónde profundizar.

Qué es la Ley 21.719

La Ley 21.719 regula la protección y el tratamiento de los datos personales en Chile y crea la Agencia de Protección de Datos Personales. Se promulgó el 25 de noviembre de 2024 y se publicó en el Diario Oficial el 13 de diciembre de ese año.

La reforma trae cuatro cambios centrales:

  1. Más derechos para el titular. La portabilidad y el derecho a oponerse a decisiones automatizadas son nuevos, y la oposición ya no se limita a la publicidad y las encuestas.
  2. Deberes explícitos para quien trata datos. Información y transparencia, seguridad, protección desde el diseño y reporte de vulneraciones, entre otros.
  3. Una autoridad de control. La Agencia fiscaliza, resuelve reclamos de los titulares y sanciona.
  4. Un régimen de infracciones y multas graduado según la gravedad de la falta.

Ley 19.628 y Ley 21.719: cómo se relacionan

La Ley 19.628 se publicó el 28 de agosto de 1999 con el nombre de ley sobre protección de la vida privada. La Ley 21.719 no la deroga: su artículo primero introduce modificaciones en ella y cambia su nombre a ley sobre protección de los datos personales.

Las obligaciones, entonces, se leen en la Ley 19.628 tal como queda tras la reforma. En esta guía, los artículos citados sin otra indicación corresponden a ese texto, que rige desde el 1 de diciembre de 2026. Hasta entonces sigue vigente el texto anterior.

El texto de 1999 ya reconocía los derechos de información, modificación, cancelación y bloqueo (artículo 12 del texto original). La diferencia de fondo está en la fiscalización: la Ley 19.628 no creó una autoridad de control. Si el responsable no respondía, el titular debía recurrir al juez de letras en lo civil, y las multas previstas no superaban las 50 UTM (artículo 16 del texto original). La reforma traslada ese control a una agencia especializada.

¿Cuándo entra en vigencia la Ley 21.719?

Las modificaciones a la Ley 19.628 entran en vigencia "el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial" (artículo primero transitorio de la Ley 21.719). Es decir, el 1 de diciembre de 2026.

Un proyecto de ley, el Boletín 18.623-07, propone fijar la entrada en vigencia el 1 de diciembre de 2027. Es un mensaje presidencial que ingresó al Senado el 1 de septiembre de 2026. A la fecha de esta revisión, el 21 de octubre de 2026, está en primer trámite constitucional, en la etapa de primer informe de la Comisión de Constitución, Legislación, Justicia y Reglamento, con urgencia "suma". Su última actuación registrada es del 6 de octubre de 2026, cuando el Ejecutivo renovó esa urgencia.

El proyecto también propone extender a todos los responsables la regla transitoria de amonestación que hoy alcanza solo a las empresas de menor tamaño. Mientras no se apruebe y publique, la fecha legal sigue siendo el 1 de diciembre de 2026.

¿A quién se aplica?

La ley se aplica a "todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos" (artículo 1°). No distingue por tamaño ni por rubro. La Agencia sí puede fijar estándares diferenciados de información y seguridad según el tamaño de la empresa, el tipo de dato y el volumen tratado (artículo 14 septies).

Quedan fuera dos casos: el tratamiento que se hace en ejercicio de las libertades de opinar e informar, y el que hacen las personas naturales en sus actividades personales (artículo 1°).

En cuanto al territorio, el artículo 1° bis aplica la ley cuando:

  • el responsable o el encargado están establecidos en Chile;
  • un encargado, esté donde esté, trata datos a nombre de un responsable establecido en Chile;
  • un responsable o encargado extranjero ofrece bienes o servicios a personas que se encuentran en Chile, o monitorea su comportamiento, incluido el perfilamiento.

Conceptos clave

El artículo 2° define los términos que ordenan toda la ley:

  • Dato personal: "cualquier información vinculada o referida a una persona natural identificada o identificable" (letra f). Incluye el nombre, el número de cédula de identidad y cualquier dato que permita identificar a alguien directa o indirectamente.
  • Dato personal sensible: el que revela, entre otros, el origen étnico, la afiliación política o sindical, la salud, los datos biométricos o la orientación sexual de una persona (letra g).
  • Titular: la persona natural "a quien conciernen o se refieren los datos personales" (letra ñ).
  • Responsable: la persona natural o jurídica, pública o privada, "que decide acerca de los fines y medios del tratamiento de datos personales", trate los datos directamente o a través de un tercero (letra n).
  • Encargado (o tercero mandatario): la persona natural o jurídica que trata datos personales "por cuenta del responsable de datos" (letra x). Un proveedor de nómina o de servicios en la nube suele cumplir este rol.

Un dato anonimizado deja de ser dato personal (letra k). Un dato seudonimizado, en cambio, sigue siéndolo (letra l).

Principios del tratamiento

El artículo 3° fija los principios que rigen todo tratamiento: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad.

En la práctica, los datos se recolectan para fines específicos y explícitos, y no se usan para otros, salvo las excepciones legales. Se tratan solo los necesarios y solo por el tiempo necesario; luego se suprimen o anonimizan. El responsable debe poder acreditar que el tratamiento es lícito.

¿Cuándo es lícito tratar datos personales?

La regla general es el consentimiento del titular (artículo 12). Ese consentimiento debe ser libre, informado, específico en cuanto a su finalidad, previo e inequívoco. El titular puede revocarlo en cualquier momento, y el responsable debe probar que lo obtuvo.

El artículo 13 permite tratar datos sin consentimiento en cinco casos:

  1. datos sobre obligaciones económicas, financieras, bancarias o comerciales, conforme al Título III;
  2. cumplimiento de una obligación legal;
  3. celebración o ejecución de un contrato con el titular, o medidas precontractuales que este pidió;
  4. interés legítimo del responsable o de un tercero, siempre que no afecte los derechos y libertades del titular;
  5. formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos.

Los datos sensibles requieren, por regla general, consentimiento expreso del titular (artículo 16). Los datos de niños, niñas y adolescentes solo pueden tratarse atendiendo a su interés superior y a su autonomía progresiva (artículo 16 quáter).

Derechos de los titulares

El artículo 4° reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Son personales, intransferibles e irrenunciables.

  • Acceso (artículo 5°): saber si el responsable trata sus datos, acceder a ellos y conocer su origen, finalidad y destinatarios.
  • Rectificación (artículo 6°): corregir datos inexactos, desactualizados o incompletos.
  • Supresión (artículo 7°): pedir la eliminación de los datos en las causales que fija la ley.
  • Oposición (artículos 8° y 8° bis): oponerse a un tratamiento determinado y a decisiones basadas solo en tratamiento automatizado que le afecten significativamente.
  • Portabilidad (artículo 9°): recibir sus datos en un formato electrónico de uso común y transferirlos a otro responsable.
  • Bloqueo (artículo 8° ter): suspender temporalmente el tratamiento mientras se resuelve otra solicitud.

El responsable debe pronunciarse dentro de 30 días corridos desde la fecha de ingreso de la solicitud, plazo prorrogable por una sola vez hasta por 30 días corridos (artículo 11). El detalle de cada derecho está en la guía de derechos ARCO bajo la Ley 21.719, y el paso a paso para responder, en cómo responder una solicitud ARCO en 30 días.

Deberes del responsable

Además de respetar los principios, el responsable debe cumplir deberes concretos:

  • Información y transparencia (artículo 14 ter): publicar en su sitio web, o un medio equivalente, su política de tratamiento, los datos que trata, sus finalidades y base de licitud, el plazo de conservación y el canal para ejercer derechos, entre otros.
  • Secreto o confidencialidad (artículo 14 bis).
  • Protección desde el diseño y por defecto (artículo 14 quáter): tratar solo los datos estrictamente necesarios.
  • Seguridad (artículo 14 quinquies): medidas técnicas y organizativas adecuadas al riesgo. Ante un incidente, el responsable debe acreditar que esas medidas existían y funcionaban.
  • Reporte de vulneraciones (artículo 14 sexies): informar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" y, en ciertos casos, a los titulares. La ley chilena no fija un plazo en horas. El detalle está en la guía sobre reporte de brechas bajo el artículo 14 sexies.
  • Contrato con los encargados (artículo 15 bis), con el contenido mínimo que fija la ley.
  • Evaluación de impacto (artículo 15 ter): previa a tratamientos de alto riesgo, como el tratamiento masivo o a gran escala.
  • Prevención de infracciones (artículo 48): adoptar acciones destinadas a prevenir las infracciones que tipifica la ley.

Las transferencias internacionales de datos tienen reglas propias (artículos 27 y 28). La ley no establece, para los responsables privados, un registro general de actividades de tratamiento como el del reglamento europeo. Aun así, conviene inventariar los tratamientos: sin ese inventario es difícil cumplir el deber de información y acreditar la licitud.

La Agencia de Protección de Datos Personales

La Agencia es una corporación autónoma de derecho público, de carácter técnico, que se relaciona con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo (artículo 30). La dirige un Consejo Directivo de tres consejeros (artículo 30 quáter).

Según el artículo 30 bis, la Agencia dicta instrucciones y normas generales obligatorias, previa consulta pública; fiscaliza y puede requerir documentos e información; resuelve los reclamos de los titulares; sanciona las infracciones, y certifica los modelos de prevención de infracciones. También administra el Registro Nacional de Sanciones y Cumplimiento.

Infracciones y sanciones

La ley clasifica las infracciones en leves, graves y gravísimas (artículos 34 a 34 quáter). Las multas llegan a 5.000, 10.000 y 20.000 UTM, respectivamente; las leves también admiten amonestación escrita (artículo 35). En caso de reincidencia, la Agencia puede aplicar hasta el triple del monto. Si una empresa que no es de menor tamaño reincide en infracciones graves o gravísimas, la multa puede alcanzar el 2 % o el 4 % de sus ingresos anuales por ventas y servicios. Las sanciones se anotan en el Registro Nacional de Sanciones y Cumplimiento (artículo 39), y el titular perjudicado puede demandar indemnización (artículo 47).

Durante los primeros 12 meses de vigencia, la Agencia podrá sancionar a las empresas de menor tamaño con una amonestación por escrito (artículo sexto transitorio de la Ley 21.719). Es una facultad, no una exención. El análisis completo está en multas y sanciones de la Ley 21.719.

Modelo de prevención de infracciones y delegado de protección de datos

Los responsables pueden adoptar voluntariamente un modelo de prevención de infracciones, que consiste en un programa de cumplimiento (artículo 49). Debe incluir, entre otros elementos, la designación de un delegado de protección de datos, la identificación de los datos y procesos de riesgo, protocolos, mecanismos de reporte interno y procedimientos de denuncia. La Agencia certifica estos modelos (artículo 51), y la certificación permite invocar una atenuante (artículo 36 N° 5).

El delegado es voluntario: el responsable "podrá" designarlo (artículo 50). Pasa a ser obligatorio solo dentro de un modelo de prevención de infracciones (artículo 49 y Decreto 662 de 2026, del Ministerio de Hacienda). Sus funciones y requisitos están en la guía sobre el delegado de protección de datos en Chile.

Qué hacer antes de la entrada en vigencia

Con la fecha legal fijada en el 1 de diciembre de 2026, conviene avanzar en este orden:

  1. Inventarie los tratamientos: qué datos trata, de quién, para qué, con qué base de licitud y con quién los comparte.
  2. Revise los consentimientos que usa y si cumplen el artículo 12.
  3. Publique la información que exige el artículo 14 ter.
  4. Prepare la respuesta a los titulares: canal de recepción, responsables y control del plazo de 30 días corridos.
  5. Defina el procedimiento de brechas: quién detecta, evalúa, reporta y registra.
  6. Revise los contratos con encargados según el artículo 15 bis.
  7. Evalúe si le conviene un modelo de prevención de infracciones y un delegado.

La lista detallada está en la guía para cumplir la Ley 21.719 en una pyme. Para medir su punto de partida, puede usar el autodiagnóstico gratuito de la Ley 21.719.

Cómo aporta Janus

Las herramientas de Janus para la Ley 21.719 (gestión de solicitudes ARCO, registro de tratamientos, consentimiento y registro de brechas) llegan con Janus Pro, disponible pronto. Puede conocer su alcance en la página sobre la ley de protección de datos personales.

Hoy, Janus Basic ofrece el canal de denuncias para la Ley Karin y para el modelo de prevención de delitos de la Ley 20.393. Si su organización adopta un modelo de prevención de infracciones, conviene evaluar si ese canal puede recibir también los reportes internos que el modelo exige. La asesoría jurídica sobre la adecuación a la ley la presta Anguita Osorio Abogados.

Preguntas frecuentes

¿Qué es la Ley 21.719? Es la ley que regula la protección y el tratamiento de los datos personales en Chile y crea la Agencia de Protección de Datos Personales. Se publicó el 13 de diciembre de 2024 y modifica la Ley 19.628, de 1999, que desde su entrada en vigencia pasa a llamarse ley sobre protección de los datos personales.

¿La Ley 21.719 reemplaza a la Ley 19.628? No. La Ley 21.719 introduce modificaciones en la Ley 19.628 (artículo primero de la Ley 21.719). La Ley 19.628 sigue siendo la norma que se aplica, pero con un texto reformado: nuevos principios, más derechos para los titulares, deberes para los responsables, una autoridad de control y un régimen de infracciones y multas.

¿Cuándo entra en vigencia la Ley 21.719? El 1 de diciembre de 2026, según el artículo primero transitorio de la Ley 21.719. Un proyecto de ley (Boletín 18.623-07) propone postergarla al 1 de diciembre de 2027. Al 21 de octubre de 2026 está en primer trámite constitucional en el Senado; mientras no se apruebe y publique, la fecha legal sigue siendo el 1 de diciembre de 2026.

¿A quién se aplica la Ley 21.719? A todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos (artículo 1° de la Ley 19.628 reformada). No hay un umbral de tamaño. También alcanza a responsables extranjeros que ofrezcan bienes o servicios a personas en Chile o monitoreen su comportamiento (artículo 1° bis).

¿Qué es un dato personal sensible? Es el dato que se refiere a las características físicas o morales de una persona o a hechos de su vida privada o intimidad, como su origen étnico, afiliación política o sindical, situación socioeconómica, creencias religiosas, salud, datos biométricos u orientación sexual (artículo 2°, letra g). Por regla general, solo puede tratarse con consentimiento expreso del titular (artículo 16).

¿Qué multas contempla la Ley 21.719? Hasta 5.000 UTM por infracción leve, 10.000 UTM por infracción grave y 20.000 UTM por infracción gravísima. En caso de reincidencia, la multa puede llegar al triple. Si una empresa que no es de menor tamaño reincide en infracciones graves o gravísimas, la multa puede llegar al 2 % o al 4 % de sus ingresos anuales, respectivamente (artículo 35).

Fuentes citadas

  • Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (BCN, idNorma 1209272): artículo primero permanente; artículos primero y sexto transitorios.
  • Ley N° 19.628, sobre protección de los datos personales, texto vigente desde el 1 de diciembre de 2026 (BCN, idNorma 141599): artículos 1°, 1° bis, 2°, 3°, 4° a 9°, 11, 12, 13, 14 bis a 14 septies, 15 bis, 15 ter, 16, 16 quáter, 27, 28, 30, 30 bis, 30 quáter, 34 a 34 quáter, 35, 36, 39, 47, 48, 49, 50 y 51.
  • Ley N° 19.628, texto original publicado el 28 de agosto de 1999 (BCN, idNorma 141599): artículos 3°, 12 y 16.
  • Decreto N° 662 de 2026, del Ministerio de Hacienda, reglamento de los modelos de prevención de infracciones (BCN, idNorma 1227971).
  • Boletín 18.623-07, mensaje que modifica la Ley 21.719, y su tramitación (Senado), consultados el 21 de octubre de 2026.

Este artículo, desarrollado junto a Anguita Osorio Abogados, es de orientación general y no constituye asesoría legal. La aplicación de la Ley 21.719 a su organización requiere un análisis caso a caso. Para conversar sobre su situación, contáctenos o revise nuestra página sobre la ley de protección de datos personales.

Última revisión: 21 de octubre de 2026 · Equipo Legal Anguita Osorio Abogados