La Ley 21.719 reescribió casi por completo la Ley 19.628 de protección de la vida privada. Y aunque el texto es extenso, lo que una empresa tiene que cumplir cabe en una lista.
Escribimos antes sobre qué tiene que poder hacer un ERP para que esa ley se pueda cumplir. Este artículo mira el otro lado: cuáles son las obligaciones concretas, cuánto cuesta cada incumplimiento, y en qué orden conviene abordarlas.
Una advertencia desde el principio, porque ordena todo lo demás: la ley no sanciona desconocer las obligaciones, sanciona no poder demostrar que se cumplen. Esa diferencia es la que convierte un problema legal en un problema de sistemas y de documentación.
Cuánto cuesta equivocarse
Partamos por el número, porque es el que ordena las prioridades. Las infracciones se clasifican en tres categorías, cada una con su tope.
| Categoría | Sanción | Tope en pesos |
|---|---|---|
| Leve | Amonestación o multa de hasta 5.000 UTM | $358.245.000 |
| Grave | Multa de hasta 10.000 UTM | $716.490.000 |
| Gravísima | Multa de hasta 20.000 UTM | $1.432.980.000 |
Son topes, no montos fijos: la Agencia determina cada multa considerando atenuantes y agravantes. Pero el orden de magnitud es el punto, y hay tres detalles que sorprenden a casi todos.
- «Leve» no significa barato. El tope de una infracción leve supera los 350 millones de pesos.
- Existe una categoría residual. Todo incumplimiento que no esté listado como grave o gravísimo es, por defecto, leve. No hay conductas sin sanción.
- La reincidencia triplica. Y por infracciones gravísimas reiteradas dentro de 24 meses, la Agencia puede suspender las operaciones de tratamiento de datos por hasta 30 días, prorrogables hasta que la empresa se ajuste.
Las sanciones quedan además anotadas cinco años en un registro público y gratuito. Aparecen en cualquier licitación y en cualquier revisión de proveedores.
Las doce obligaciones
Esta es la lista. Al lado de cada una, en qué categoría cae su incumplimiento.
1. Informar públicamente qué datos tratas y por qué
Es la obligación más concreta de toda la ley y la que más empresas incumplen sin saberlo. Hay que publicar —en el sitio web, de forma permanente y accesible— quién es el responsable, qué categorías de datos se tratan, con qué finalidad, con qué base legal, por cuánto tiempo se conservan, a quién se comunican, a qué países viajan, y cómo ejercer los derechos.
Por qué esta es la más urgente
Es la única infracción que se verifica entrando al sitio web, sin fiscalizar nada, sin pedir documentos y sin entrar a la empresa. Cualquiera puede comprobarla en treinta segundos: un competidor, un cliente molesto, un abogado buscando casos. Es, con diferencia, la más fácil de detectar — y también la más barata de resolver.
Incumplimiento: infracción leve.
2. Tener un medio de contacto vigente y publicado
Un correo electrónico, un domicilio postal u otro canal, actualizado, para que las personas puedan ejercer sus derechos. Suena trivial. Es una infracción autónoma, y es la más barata de evitar de toda la ley.
El detalle que se pasa por alto: tiene que estar vigente. Una casilla que nadie revisa es peor que no tenerla, porque además hace correr el plazo de respuesta sin que nadie se entere.
Incumplimiento: infracción leve.
3. Responder a las personas en 30 días corridos
Cuando alguien pide acceso a sus datos, su rectificación, su supresión, su portabilidad o se opone al tratamiento, hay 30 días corridos para responder. No hábiles.
Es una distinción que se equivoca seguido y que en la práctica significa casi dos semanas menos de las que uno cree tener. El plazo se puede prorrogar por 30 días más en casos calificados, informándolo antes de que venza el primero.
Y hay dos niveles de incumplimiento que conviene distinguir: responder tarde o de forma incompleta es leve; impedir el ejercicio del derecho es grave. En la práctica, la diferencia entre desorganización y obstrucción.
Incumplimiento: leve o grave, según el caso.
4. Tener una base de licitud para cada tratamiento
Todo tratamiento de datos personales necesita un fundamento legal. El consentimiento es solo uno de ellos, y no siempre el mejor: también está la ejecución de un contrato, el cumplimiento de una obligación legal, el interés legítimo y las medidas precontractuales.
El error típico es pedir consentimiento para todo. Si estás tratando datos de un trabajador para pagarle el sueldo, la base no es el consentimiento —no podría negarse— es la ejecución del contrato de trabajo. Usar la base equivocada deja el tratamiento sin fundamento válido.
Incumplimiento: infracción grave.
5. Saber qué datos tienes y por cuánto los conservas
No se puede informar lo que no se sabe. El inventario de tratamientos no es una obligación en sí misma —volvemos sobre esto más abajo— pero es la única forma de cumplir las obligaciones 1, 3, 4 y 6.
El principio de minimización exige además tratar solo lo necesario para la finalidad. Un formulario que pide el RUT cuando solo necesita el correo está tratando datos de más desde el primer día.
Incumplimiento: infracción grave, por tratamiento innecesario o por datos desactualizados.
6. Proteger los datos, y poder probarlo
La ley exige medidas de seguridad adecuadas al riesgo. Lo que la hace distinta de una recomendación genérica es dónde pone la carga de la prueba: es la empresa la que tiene que acreditar que las medidas existían, no la autoridad la que tiene que probar que faltaban.
En la práctica eso significa que las medidas tienen que estar documentadas y fechadas. Una política de accesos que existe en la cabeza del jefe de TI no se puede acreditar.
Incumplimiento: infracción grave.
7. Tener un procedimiento para las brechas de seguridad
Cuando ocurre una vulneración que implique riesgo para los derechos de las personas, hay que comunicarla a la Agencia. Y si afecta datos sensibles, también a los propios afectados.
No son 72 horas
Ese plazo es del reglamento europeo, no de la ley chilena. La ley chilena no fija ninguna cifra: el estándar es cualitativo, «por los medios más expeditos posibles y sin dilaciones indebidas». Cualquier documento que diga «en Chile tienes 72 horas» está importando una norma que no aplica.
Hay además una obligación que se pasa por alto: llevar un registro de las vulneraciones, incluidas las que se evaluaron y se descartaron. Omitir ese registro es una infracción por sí sola.
Y el punto más importante de todo este artículo: sufrir una brecha es infracción grave; ocultarla deliberadamente es gravísima, con el doble de tope. El día del incidente, «arreglémoslo antes de que se note» es la decisión más cara que se puede tomar.
Incumplimiento: grave. Ocultamiento deliberado: gravísimo.
8. Regular por escrito con cada proveedor que trate tus datos
El contador externo que procesa las remuneraciones, la plataforma de facturación, el proveedor de nube, la empresa que hace el soporte del sistema. Todos ellos tratan datos personales por encargo de la empresa, y esa relación tiene que estar regulada por escrito: qué datos, para qué, por cuánto tiempo, con qué medidas de seguridad, y qué pasa al terminar el contrato.
Dos consecuencias prácticas de esto, y son las que más movimiento están generando en el mercado:
- Si le vendes a empresas grandes o al Estado, te van a pedir firmar ese anexo. No por celo del área legal: es la única forma que ellos tienen de cumplir lo suyo. Y no se puede firmar declarando medidas de seguridad que no existen.
- La responsabilidad no se traspasa por haber contratado a alguien. Frente a la persona cuyos datos son, el responsable sigue siendo la empresa.
Un detalle donde Chile es más estricto que Europa: el subencargo requiere autorización específica y por escrito. No existe la autorización general. Si tu proveedor subcontrata a otro, eso tiene que estar autorizado expresamente.
Incumplimiento: infracción grave.
9. Declarar y resguardar las transferencias internacionales
Si los datos salen de Chile —y salen más seguido de lo que uno cree: el correo, la nube, la herramienta de marketing, el sistema de videollamadas— hay que informarlo y cumplir los requisitos de transferencia.
Incumplimiento: grave. Si se realiza en contravención a la ley: gravísimo.
10. Hacer la evaluación de impacto cuando corresponde
La evaluación de impacto no es un trámite recomendado ni una buena práctica: omitirla cuando corresponde es infracción gravísima, en el mismo tramo que el tratamiento fraudulento.
Corresponde cuando hay tratamiento masivo de datos, monitoreo sistemático de zonas de acceso público, decisiones automatizadas con efectos jurídicos para las personas, o tratamiento de datos sensibles bajo alguna excepción.
Si tu empresa hace alguna de esas cuatro cosas —y «tratamiento masivo» alcanza a más empresas de las que uno supone— esta es la obligación más cara de ignorar.
Incumplimiento: infracción gravísima.
11. Tratar los datos sensibles con el estándar reforzado
La ley define una categoría de datos sensibles con reglas más estrictas. Y acá hay una particularidad chilena que descoloca a todos los que vienen del modelo europeo: además de los datos de salud, el artículo 2 letra g) clasifica como sensible la situación socioeconómica.
No tiene equivalente en la ley europea. Significa que la tabla de remuneraciones y cualquier clasificación por nivel socioeconómico —segmentaciones de marketing, scoring de clientes, categorización de deudores— están en régimen reforzado.
Incumplimiento: infracción gravísima.
12. Lo mismo para los datos de quienes ya no trabajan contigo
No es una obligación distinta, pero merece punto propio porque es donde más empresas fallan. Los datos de extrabajadores siguen siendo datos personales, con las mismas obligaciones: plazo de conservación definido, acceso restringido, y derecho de la persona a pedirlos.
La prueba práctica: si mañana un extrabajador pide todo lo que la empresa tiene sobre él, ¿en cuántos sistemas habría que buscar? ¿Y alguien sabría con certeza que no quedó ninguno afuera?
Dos cosas que casi todos creen obligatorias y no lo son
Vale la pena decirlas, porque buena parte del material comercial que circula en Chile las presenta como obligaciones centrales — y si te están cobrando por ellas, te están cobrando por cumplir algo que no existe.
El Registro de Actividades de Tratamiento
No es obligatorio. Lo dice textualmente la guía oficial de la Secretaría de Gobierno Digital. Es una importación del reglamento europeo, donde sí existe.
Dicho eso, el consejo práctico no cambia demasiado: sin un inventario no hay forma de cumplir las obligaciones 1, 3, 4 y 6. El registro no es la obligación — es la forma de cumplirla. Pero conviene saber la diferencia cuando alguien lo cotiza como entregable principal.
El delegado de protección de datos
Tampoco es obligatorio en la ley chilena. Designarlo es uno de los siete elementos del modelo de prevención de infracciones del artículo 49, que es voluntario y funciona como atenuante si está certificado por la Agencia.
Para una empresa mediana puede ser una buena inversión; para una de diez personas, probablemente no. Pero es una decisión, no una exigencia.
¿Y si postergan la ley?
Hay que decirlo, porque está en las noticias. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto, con suma urgencia, para mover la entrada en vigencia al 1 de diciembre de 2027, extender a todos los obligados la facultad de la Agencia de amonestar en lugar de multar durante los primeros doce meses, y ampliar su consejo de tres a cinco miembros.
Tres precisiones. Es un proyecto, no una ley: mientras no se publique en el Diario Oficial, la fecha vigente es la actual. La amonestación es una facultad, no un derecho: la Agencia podrá amonestar; no está obligada a hacerlo. Y el estándar no cambia ni una coma: solo se corre la fecha.
Lo que de verdad importa: un año más de plazo para la Agencia no es un año más de plazo para tu cliente principal, que te va a mandar el anexo de datos cuando le toque revisar contratos, tenga la ley vigencia o no.
Por dónde partir
Si el tiempo es corto, este es el orden que recomendamos. No es el orden del articulado: es el orden del riesgo real.
Publicar la información del sitio web
Es la infracción más fácil de detectar y la más barata de resolver. Una página de política de privacidad bien hecha, con los datos del responsable y una casilla de contacto vigente, cierra las dos primeras obligaciones en una tarde.
Levantar el inventario
Qué datos personales tiene la empresa, en qué sistemas, quién accede y por cuánto tiempo se conservan. Incluye lo que no está en el sistema: planillas, correo, carpetas compartidas, cámaras, reloj control. Esta etapa siempre encuentra algo que nadie tenía presente.
Revisar los accesos
Dar de baja usuarios que ya no corresponden y limitar los perfiles a lo que cada función necesita. Cuesta poco y reduce bastante exposición.
Escribir el procedimiento de respuesta y el de incidentes
Dos documentos de una página cada uno, escritos en frío. Quién recibe, quién responde, en qué plazo, quién decide comunicar una brecha. Valen más que cualquier herramienta.
Ordenar los contratos con proveedores
Identificar quién trata datos por encargo tuyo y regularizar el anexo. Y prepararte para el que te va a llegar a ti.
Evaluar si corresponde la evaluación de impacto
Es la única obligación gravísima que se puede incumplir por omisión sin darse cuenta. Media hora de análisis evita el tramo de multa más alto.
Hay un ejercicio que vale más que los seis pasos juntos y no cuesta nada: tomar a una persona al azar —con su autorización— y reunir todo lo que la empresa tiene sobre ella. Medir cuánto demora. Ese número es el mejor diagnóstico disponible.
¿Esto aplica igual a todas las empresas?
La obligación es la misma para todas desde el primer día. Lo único que varía es la sanción: durante los primeros doce meses la Agencia puede optar por una amonestación escrita en lugar de una multa, para las empresas que califican como de menor tamaño según la Ley 20.416. Es una facultad suya, no un derecho, y la amonestación igual queda anotada en el registro público.
En todo caso, la exigencia rara vez va a llegar por ahí. Llega de los clientes grandes y del Estado, que para cumplir su propia obligación necesitan un anexo de tratamiento de datos firmado por cada proveedor.
¿Necesito un abogado para esto?
Para la parte jurídica —redacción de políticas, contratos, anexos y cláusulas— sí, y conviene que sea alguien que haya leído la ley chilena y no un resumen traducido del reglamento europeo.
Pero buena parte del trabajo no es jurídica. Saber qué datos hay, dónde están, quién accede y cómo se eliminan a su vencimiento es un problema de sistemas, y un abogado no lo puede resolver solo. En la práctica se trabaja con ambas manos.
¿Cuánto tiempo toma ponerse al día?
Depende del tamaño y del desorden previo, pero el factor que manda no es la complejidad: es que el trabajo se reparte entre gente que además tiene su pega. Levantar el inventario, revisar contratos y construir lo que falta en los sistemas toma meses de calendario aunque sume pocas horas de trabajo.
Por eso un plazo adicional no es tiempo de descanso: es la diferencia entre hacerlo bien y hacerlo a última hora.
¿Qué pasa si una persona demanda además de reclamar a la Agencia?
Son dos carriles separados. La multa administrativa la impone la Agencia; la indemnización de perjuicios la demanda la persona afectada ante un tribunal, en procedimiento sumario.
Hay un detalle relevante: la demanda civil requiere que antes exista la resolución administrativa que constató la infracción.
Somos proveedores de TI. ¿Nos aplica como responsables o como encargados?
Como encargados, mientras se traten los datos del cliente según sus instrucciones y dentro de lo convenido. Pero la ley chilena es más estricta que la europea en un punto: el encargado que trata los datos con un objeto distinto del convenido pasa a ser responsable para todos los efectos legales.
El caso más común en nuestro rubro: copiar la base de producción a un ambiente de pruebas sin autorización del cliente.
¿Quiere saber en qué está su empresa?
Nosotros hicimos este ejercicio primero con nuestra propia empresa antes de ofrecérselo a nadie, y aun siendo tres personas y cinco sistemas, apareció algo que no teníamos considerado. Lo invitamos a tomarnos un café y revisar su caso: qué datos personales hay, en qué sistemas, y qué convendría cerrar primero. Sin costo ni compromiso, y si vemos que están bien, se lo decimos. Conversemos.
Este artículo aborda el ángulo práctico y técnico del cumplimiento. Las materias propiamente jurídicas —redacción de políticas, contratos y cláusulas— corresponden a un abogado, y trabajamos junto a ellos en esa parte. No constituye asesoría legal.