Resumen. La Ley 21.719 clasifica las infracciones a la protección de datos personales en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 unidades tributarias mensuales (UTM), respectivamente. En caso de reincidencia, la multa puede llegar al triple y, para empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, al 2 % o al 4 % de sus ingresos anuales si ese monto es más gravoso. La Agencia de Protección de Datos Personales fiscaliza, sanciona y publica las sanciones en el Registro Nacional de Sanciones y Cumplimiento. Estas reglas entran en vigencia el 1 de diciembre de 2026, salvo que prospere la postergación que discute el Senado.

Un régimen nuevo para la Ley 19.628

La Ley 21.719, publicada el 13 de diciembre de 2024, no reemplaza a la Ley 19.628: la modifica. Le agrega un Título VI, que crea la autoridad de control, y un Título VII, que tipifica las infracciones y regula las sanciones y los procedimientos. Los artículos que cita esta guía corresponden a la Ley 19.628 tal como queda tras la reforma, salvo que se indique otra cosa. Para el panorama completo, revise el resumen de la Ley 21.719.

Qué es la Agencia de Protección de Datos Personales

El artículo 30 crea la Agencia como una "corporación autónoma de derecho público, de carácter técnico, descentralizado, con personalidad jurídica y patrimonio propio", que se relaciona con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo. Su objeto es velar por la protección de los derechos de las personas sobre sus datos personales y fiscalizar el cumplimiento de la ley.

La dirige un Consejo Directivo de tres consejeros, que designa el Presidente de la República con acuerdo de dos tercios de los senadores en ejercicio, por seis años y sin reelección (artículos 30 ter y 30 quáter).

Qué facultades tiene

Para una empresa, las funciones más relevantes del artículo 30 bis son estas:

  • Dictar instrucciones y normas generales obligatorias, previa consulta pública (letra a).
  • Fiscalizar. Puede requerir "cualquier documento, libro o antecedente" necesario para su función (letra c).
  • Determinar infracciones, para lo cual puede citar a declarar a representantes legales, administradores, asesores y dependientes del responsable (letra d).
  • Sancionar a quienes traten datos con infracción a la ley (letra e) y resolver los reclamos de los titulares (letra f).
  • Certificar los modelos de prevención de infracciones y administrar el Registro Nacional de Sanciones y Cumplimiento (letra m).

Cuándo empieza a operar la Agencia

Las infracciones y las sanciones rigen desde el 1 de diciembre de 2026 (artículo primero transitorio de la Ley 21.719). El artículo cuarto transitorio, modificado por la Ley 21.806, ordena designar a los primeros consejeros seis meses antes, pero cualquier instrucción que dicten "sólo tendrá fuerza obligatoria a partir de la entrada en vigencia de la presente ley".

La instalación se ha retrasado. El 20 de mayo de 2026, el Senado rechazó la primera propuesta de consejeros porque no alcanzó el quórum de dos tercios. El 1 de septiembre de 2026, el Gobierno ingresó un proyecto (Boletín 18.623-07) que propone postergar la vigencia al 1 de diciembre de 2027 y ampliar el Consejo a cinco integrantes. Al 21 de octubre de 2026, sigue en primer trámite en el Senado. Mientras no se apruebe, la fecha legal es el 1 de diciembre de 2026.

Cómo se clasifican las infracciones

El artículo 34 califica las infracciones, "atendida su gravedad", en leves, graves y gravísimas. Los artículos 34 bis, 34 ter y 34 quáter las enumeran; entre otras, estas:

Infracciones leves (artículo 34 bis)

  • Incumplir total o parcialmente el deber de información y transparencia del artículo 14 ter.
  • Omitir la respuesta a una solicitud del titular, o responderla en forma incompleta o fuera de plazo.
  • Omitir el envío a la Agencia de las comunicaciones obligatorias.
  • Cualquier otra infracción que la ley no califique como grave o gravísima.

Infracciones graves (artículo 34 ter)

  • Tratar datos sin consentimiento ni otra base de licitud, o con una finalidad distinta de aquella para la que se recolectaron.
  • Impedir u obstaculizar el ejercicio de los derechos de acceso, rectificación, supresión, oposición o portabilidad.
  • Infringir las obligaciones de seguridad del artículo 14 quinquies, u omitir las comunicaciones o los registros de una vulneración de seguridad.
  • Transferir datos al extranjero en contra de la ley.
  • Incumplir una resolución o un requerimiento específico y directo de la Agencia.

Infracciones gravísimas (artículo 34 quáter)

  • Tratar datos en forma fraudulenta.
  • Tratar, comunicar o ceder, a sabiendas, datos sensibles o datos de niños, niñas y adolescentes en contra de la ley.
  • Omitir en forma deliberada la comunicación de una vulneración de seguridad.
  • Incumplir una resolución de la Agencia que resuelve el reclamo de un titular sobre sus derechos.
  • Incumplir la obligación de hacer una evaluación de impacto del artículo 15 ter, cuando corresponda.

La escala se ve en dos materias. Responder tarde una solicitud de acceso es leve; obstaculizarla, grave; desobedecer la resolución de la Agencia que ordena responder, gravísimo. En brechas, omitir el registro o el aviso es grave, y omitirlo en forma deliberada, gravísimo. Revise las guías sobre cómo responder una solicitud ARCO en 30 días y sobre el reporte de brechas del artículo 14 sexies.

¿Cuánto son las multas de la Ley 21.719?

El artículo 35 fija estos montos máximos:

Infracción Sanción
Leve Amonestación escrita o multa de hasta 5.000 UTM
Grave Multa de hasta 10.000 UTM
Gravísima Multa de hasta 20.000 UTM

La ley expresa las multas en UTM, cuyo valor en pesos cambia cada mes. En cada caso, la Agencia debe señalar las medidas para corregir lo que motivó la sanción. El responsable tiene un plazo no mayor a 60 días para adoptarlas; si no lo hace, se aplica un recargo de 50 % a la multa.

Reincidencia y el 2 % o 4 % de los ingresos

Hay reincidencia cuando el responsable ha sido sancionado dos o más veces por infracción a la ley en los últimos 30 meses, por resoluciones firmes o ejecutoriadas (artículo 36, letra a). En ese caso, la Agencia puede aplicar una multa de hasta tres veces el monto asignado a la infracción.

El tope porcentual es más acotado de lo que suele decirse. Solo procede si se cumplen tres condiciones:

  1. El infractor no es una empresa de menor tamaño según el artículo segundo de la Ley 20.416.
  2. Es reincidente en los términos del artículo 36.
  3. La nueva infracción es grave o gravísima.

Cumplidas esas condiciones, el artículo 35 dispone que "la multa podrá alcanzar a la más gravosa entre la señalada en el inciso anterior o hasta el monto correspondiente al 2% o 4% de los ingresos anuales por ventas y servicios y otras actividades del giro en el último año calendario, según se trate de infracciones graves o gravísimas, respectivamente". El máximo es, entonces, el mayor valor entre el triple de la multa y ese porcentaje. No es automático ni aplica a la primera infracción.

Cómo se determina el monto

El artículo 37 obliga a la Agencia a ponderar, entre otros criterios, la gravedad de la conducta, el número de titulares afectados, el beneficio económico obtenido, si hubo datos sensibles y la capacidad económica del infractor. Si hay varias conductas independientes, las multas se suman.

Suspensión del tratamiento

Si se imponen multas por infracciones gravísimas reiteradas en un período de 24 meses, la Agencia puede suspender, total o parcialmente, las operaciones de tratamiento de datos hasta por 30 días, prorrogables mientras el responsable no cumpla lo ordenado (artículo 38).

Atenuantes y agravantes

Atenuantes (artículo 36):

  1. Las acciones unilaterales de reparación y los acuerdos reparatorios con los titulares afectados.
  2. La colaboración en la investigación de la Agencia.
  3. La ausencia de sanciones previas.
  4. La autodenuncia ante la Agencia, acompañada de las medidas adoptadas para que cesen los hechos o para mitigarlos.
  5. Haber cumplido diligentemente los deberes de dirección y supervisión, lo que se verifica con el certificado del modelo de prevención de infracciones que expide la Agencia (artículo 51).

Agravantes:

  • La reincidencia.
  • El carácter continuado de la infracción.
  • Haber puesto en riesgo la seguridad de los derechos y libertades de los titulares.

La quinta atenuante conecta las sanciones con la prevención. El artículo 48 obliga a todo responsable a adoptar acciones para prevenir infracciones, y el artículo 49 le permite adoptar, en forma voluntaria, un modelo de prevención de infracciones, que exige designar un delegado de protección de datos. Revise la guía sobre el delegado de protección de datos y el modelo de prevención.

¿Qué trato reciben las Pymes?

Las empresas de menor tamaño son, según el artículo segundo de la Ley 20.416, las que no superan las 100.000 unidades de fomento de ingresos anuales por ventas y servicios en el último año calendario. La ley les da dos tratamientos.

El primero es transitorio. Durante los primeros 12 meses de vigencia, cuando proceda sancionarlas, "la Agencia podrá aplicar como sanción una amonestación por escrito" (artículo sexto transitorio de la Ley 21.719). Es una facultad de la Agencia, no una exención, y la amonestación queda en el registro de sanciones. El Boletín 18.623-07 propone extender esa facultad a todos los responsables.

El segundo es permanente: el tope del 2 % o 4 % de los ingresos no se les aplica (artículo 35). Sí rigen las multas en UTM y el triple por reincidencia. Si su empresa es una Pyme, revise la lista de cumplimiento de la Ley 21.719 para Pymes.

Cómo es el procedimiento sancionatorio

El artículo 42 regula el procedimiento por infracción de ley. Sus etapas son estas:

  1. Inicio. La Agencia puede iniciarlo de oficio o a petición de parte, como resultado de una fiscalización o del reclamo de un titular.
  2. Formulación de cargos. La Agencia describe los hechos y las normas infringidas, y notifica al responsable en el domicilio o correo electrónico que publica según el artículo 14 ter.
  3. Descargos. El responsable tiene 15 días hábiles para presentarlos y acompañar antecedentes.
  4. Prueba. Si hay hechos sustanciales, pertinentes y controvertidos, la Agencia puede abrir un término probatorio de 10 días.
  5. Resolución. Debe ser fundada, pronunciarse sobre cada defensa y ponderar las atenuantes y agravantes.

El procedimiento no puede superar los seis meses. La acción para perseguir una infracción prescribe en cuatro años desde el hecho, o desde que cesa si es continuada (artículo 40).

Cómo se reclama ante la Corte de Apelaciones

Quien estime ilegal una resolución final de la Agencia puede deducir un reclamo de ilegalidad ante la Corte de Apelaciones de Santiago o la de su domicilio, a su elección, dentro de 15 días hábiles desde la notificación (artículo 43). La Corte puede mantener, dejar sin efecto o modificar la sanción.

El Registro Nacional de Sanciones y Cumplimiento

El artículo 39 crea este registro, que administra la Agencia. Es público, gratuito y electrónico. Consigna a los responsables sancionados, la gravedad de la infracción, la conducta, las atenuantes y agravantes y la sanción impuesta. Las anotaciones son de acceso público por cinco años.

También consigna a quienes tienen un modelo de prevención de infracciones certificado y vigente (artículos 39 y 51).

Indemnización de perjuicios

La multa no es la única consecuencia. El artículo 34 aclara que la responsabilidad administrativa es "sin perjuicio de las demás responsabilidades legales, civiles o penales" que correspondan.

El artículo 47 obliga al responsable a indemnizar el daño patrimonial y extrapatrimonial que cause a los titulares al infringir la ley. La acción puede interponerse una vez ejecutoriada la resolución que acogió el reclamo ante la Agencia o, si hubo reclamo de ilegalidad, una vez firme la sentencia. Se tramita en procedimiento sumario y prescribe en cinco años desde que queda ejecutoriada la resolución o sentencia que impone la multa.

Cómo aporta Janus

Evitar sanciones depende de cumplir a tiempo y de poder demostrarlo ante la Agencia. Las herramientas de Janus para la Ley 21.719 (solicitudes ARCO, registro de tratamientos, consentimiento y registro de brechas) vienen con Janus Pro, disponible pronto.

Mientras tanto, revise la página sobre la ley de protección de datos personales o haga el autodiagnóstico de la Ley 21.719.

Preguntas frecuentes

¿Cuál es la multa máxima de la Ley 21.719? Hasta 20.000 UTM por infracción gravísima (artículo 35). Con reincidencia, hasta el triple. Si quien reincide en una infracción grave o gravísima no es una empresa de menor tamaño, la multa puede llegar al 2 % o 4 % de sus ingresos anuales, si ese monto es más gravoso que el triple.

¿Qué es la Agencia de Protección de Datos Personales? Es la autoridad de control que crea la Ley 21.719, una corporación autónoma de derecho público y de carácter técnico (artículo 30). Dicta instrucciones, fiscaliza, resuelve los reclamos de los titulares y aplica las sanciones (artículo 30 bis).

¿Desde cuándo se pueden aplicar estas multas? Las infracciones y sanciones forman parte de las modificaciones a la Ley 19.628, que entran en vigencia el 1 de diciembre de 2026 (artículo primero transitorio de la Ley 21.719). Un proyecto en tramitación en el Senado (Boletín 18.623-07) propone postergar esa fecha al 1 de diciembre de 2027.

¿Las Pymes pueden ser multadas? Sí. Durante los primeros 12 meses de vigencia, cuando proceda sancionar a una empresa de menor tamaño, la Agencia podrá aplicar en su lugar una amonestación por escrito, que también queda en el registro de sanciones (artículo sexto transitorio). Es una facultad de la Agencia, no una exención.

¿Qué es el Registro Nacional de Sanciones y Cumplimiento? Es un registro público y gratuito que administra la Agencia. Consigna a los responsables sancionados, la conducta y la sanción, y también a quienes tienen un modelo de prevención de infracciones certificado y vigente. Las anotaciones son públicas por cinco años (artículo 39).

¿Cómo se reclama contra una multa de la Agencia? Con un reclamo de ilegalidad ante la Corte de Apelaciones de Santiago o la del domicilio del reclamante, a elección de este, dentro de 15 días hábiles desde la notificación de la resolución. La Corte puede mantener, dejar sin efecto o modificar la sanción (artículo 43).

¿Además de la multa, un titular puede pedir indemnización? Sí. El responsable debe indemnizar el daño patrimonial y extrapatrimonial que cause al infringir la ley. La acción se tramita en procedimiento sumario (artículo 47).

Fuentes citadas

Este artículo, desarrollado junto a Anguita Osorio Abogados, es de orientación general y no constituye asesoría legal. La exposición de su organización a sanciones bajo la Ley 21.719 depende de sus tratamientos de datos y requiere evaluación profesional caso a caso. Para conversar sobre su organización, contáctenos o revise la página sobre la ley de protección de datos personales.

Última revisión: 21 de octubre de 2026 · Equipo Legal Anguita Osorio Abogados