El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, y ese mismo día Chile estrena su primera autoridad con poder real para sancionar a las empresas que gestionan mal los datos de sus clientes. No es un anuncio con reglamento pendiente que permita ganar tiempo. La Agencia de Protección de Datos Personales ya está en funcionamiento y, según la Biblioteca del Congreso Nacional, podrá iniciar investigaciones de oficio desde esa fecha, sin esperar una denuncia. La Agencia de Protección de Datos Personales es el organismo autónomo creado por esta misma ley, con potestad para investigar empresas de oficio sin necesidad de una denuncia previa.
La mayoría de las empresas todavía no ha mirado los datos que lleva años acumulando en sus formularios web y en su CRM. Ese es el problema real.
Equivale a cerca de USD 1,55 millones. En caso de reincidencia dentro de cinco años, la ley faculta a la Agencia para aplicar hasta el 4% de los ingresos anuales del infractor, el monto que resulte mayor.
El salto desde 1999
La Ley 19.628 reguló la protección de datos en Chile desde 1999. Durante 27 años, sus sanciones máximas no superaron las 50 UTM, menos de cuatro millones de pesos, y la fiscalización recayó en el Consejo para la Transparencia, un organismo cuya prioridad natural era el sector público. La Unidad Tributaria Mensual es el índice que el SII actualiza cada año; en 2026 equivale a cerca de $68.000 CLP.
En la práctica, recopilar y usar datos de clientes fue un ejercicio de bajo riesgo durante casi tres décadas. La Ley 21.719 cierra ese ciclo.
| Aspecto | Ley 19.628 (1999) | Ley 21.719 (desde dic. 2026) |
|---|---|---|
| Autoridad fiscalizadora | Consejo para la Transparencia (foco sector público) | Agencia de Protección de Datos Personales (APDP), autónoma e incluye al sector privado |
| Multa máxima | 50 UTM (~$3,4M CLP) | 20.000 UTM (~$1.360M CLP) |
| Lógica del consentimiento | Opt-out: válido si el titular no se opuso | Opt-in: explícito, libre, específico e inequívoco |
| Derechos del titular | Acceso, Rectificación, Cancelación, Oposición | ARCO+ agrega Portabilidad y Bloqueo temporal |
| Notificación de brechas | No obligatoria | Aviso a la APDP en un plazo acotado desde que se detecta |
| Alcance territorial | Interpretación ambigua para empresas extranjeras | Aplica a toda entidad que trate datos de personas en Chile |
Por qué diciembre no es una fecha ordinaria
Cuando hay un cambio normativo con plazo, el instinto habitual es esperar a ver si algún reglamento posterga la exigibilidad. Con la Ley 21.719 ese argumento no tiene asidero. La Agencia ya cuenta con atribuciones para investigar de oficio y llegar a una empresa sin que nadie presente una denuncia previa.
Lo que vemos en procesos regulatorios similares de otros países es que los primeros casos sancionados sirven para fijar criterio. Los sectores de salud y financiero concentran los datos más sensibles y suelen quedar primero bajo la lupa, porque los precedentes que generan le resultan más útiles a la autoridad. La ley, de todos modos, aplica a cualquier empresa que trate datos de personas en Chile, sin excepción por tamaño ni por rubro.
Lo que sus clientes pueden exigirle
La nueva ley amplía los derechos que las personas tienen sobre sus propios datos. El conjunto se conoce como ARCO+, y la ”+” suma dos derechos que la Ley 19.628 no contemplaba: portabilidad y bloqueo. El acrónimo refiere a los derechos que la ley reconoce a toda persona sobre sus datos: acceso, rectificación, cancelación, oposición, más dos derechos nuevos que la Ley 19.628 no contemplaba: portabilidad y bloqueo temporal.
El derecho de portabilidad permite al titular pedir sus datos en un formato estructurado y reutilizable, como CSV o JSON, para llevarlos a otro proveedor sin trabas. Para cualquier plataforma SaaS o sistema de fidelización, eso tiene consecuencias concretas en cómo se diseña la arquitectura de los datos.
El bloqueo temporal habilita al titular a suspender el tratamiento de sus datos mientras se resuelve una disputa o una solicitud pendiente.
Frente a cualquiera de estos derechos, la empresa dispone de 30 días para responder desde que recibe la solicitud, según las guías de cumplimiento de la ley. No tener un canal habilitado para recibirlas no exime de la obligación: es, por sí mismo, una infracción independiente.
Contados desde la recepción de la solicitud. No disponer de un canal de atención ya constituye incumplimiento, incluso antes de que llegue la primera solicitud.
El punto ciego del marketing digital
Aquí concentramos la mayor parte del riesgo no visible que vemos en empresas de todos los tamaños.
La lógica de la Ley 19.628 era opt-out: si alguien no se había opuesto, el uso de sus datos se daba por válido. La Ley 21.719 invierte esa lógica por completo. El consentimiento ahora debe ser libre, específico, informado e inequívoco. Una casilla premarcada en un formulario o una cláusula genérica enterrada en los términos y condiciones ya no constituyen consentimiento válido bajo la nueva norma.
El problema más frecuente que encontramos no es lo que las empresas harán a partir de diciembre. Es lo que llevan años haciendo sin documentación.
Las listas de contactos en el CRM, las audiencias personalizadas en Meta Ads construidas con píxel, los datos de comportamiento web recopilados con cookies de terceros y los números de WhatsApp almacenados sin constancia de consentimiento documentado ya presentan un problema de licitud potencial. No es que esos datos queden automáticamente prohibidos. El problema es que la APDP puede pedir evidencia de la base legal bajo la que fueron obtenidos, y la mayoría de las empresas no puede mostrarla. Una base legal es la justificación válida que la ley exige para guardar o usar un dato: puede ser el consentimiento del titular, un contrato, una obligación legal o el interés legítimo del responsable, entre otras.
Esto afecta directamente a las clínicas que llevan años acumulando fichas de pacientes sin política de privacidad actualizada y al e-commerce con audiencias de remarketing construidas desde píxeles sin registro de consentimiento explícito. El origen del dato importa tanto como el dato mismo.
El consentimiento tácito dejó de ser suficiente, y la evidencia de que el consentimiento fue válido debe poder presentarse en cualquier fiscalización.
La ventana para las empresas más pequeñas
Las empresas que califican como de menor tamaño según la Ley 20.416 cuentan con una excepción durante los primeros 12 meses de vigencia, entre el 1 de diciembre de 2026 y el 1 de diciembre de 2027. En una primera infracción pueden recibir una amonestación escrita en lugar de multa económica. Esa amonestación queda registrada en el Registro Nacional de Sanciones y puede considerarse como agravante en fiscalizaciones futuras. La excepción aplica una sola vez.
Esa ventana no significa que las empresas más pequeñas puedan esperar hasta diciembre para ordenar sus prácticas. El registro de infracciones empieza a correr desde el primer día. En una segunda infracción, los montos del cuadro de sanciones aplican sin excepción de tamaño.
Para las empresas que no califican como de menor tamaño no existe gracia. Las multas rigen desde el 1 de diciembre de 2026.
Las cifras del riesgo
La ley clasifica las infracciones en tres niveles de gravedad, cada uno con su propio tope.
| Gravedad | Multa máxima | Ejemplo de conducta infractora |
|---|---|---|
| Leve | 5.000 UTM (~$340M CLP) | No informar el correo de contacto del responsable de tratamiento |
| Grave | 10.000 UTM (~$680M CLP) | Tratar datos sin base legal válida ni consentimiento documentado |
| Gravísima | 20.000 UTM (~$1.360M CLP) | Tratamiento fraudulento u omisión deliberada de una brecha de seguridad |
| Reincidencia (dentro de 5 años) | Hasta 4% de ingresos anuales | Aplica si el monto por porcentaje supera el tope en UTM |
A esto se suma la publicación de las resoluciones sancionatorias en el Registro Nacional de Sanciones. El impacto reputacional de aparecer en ese registro puede superar el costo directo de la multa, sobre todo en sectores donde la confianza del cliente es el activo central del negocio.
El estado real de la mayoría de las empresas
En los diagnósticos que realizamos con pymes y negocios digitales, el patrón se repite. Existe una política de privacidad genérica o desactualizada, cuando no falta por completo. No hay inventario de qué datos se tratan ni bajo qué base legal se obtuvieron. Y los formularios web llevan años recopilando información sin cumplir lo que la nueva ley exige.
No es mala fe. La Ley 19.628 no generó urgencia real durante 27 años, y la Ley 21.719 sí la genera.
Registro de consentimientos con fecha y canal de obtención. Inventario de qué datos trata la empresa y bajo qué base legal. Política de privacidad con fecha de última revisión. Contratos actualizados con cada proveedor que procesa datos por cuenta de la empresa. Si alguno de esos cuatro documentos no existe o tiene más de dos años, la empresa no puede demostrar cumplimiento ante una fiscalización.
Lo que la Agencia puede pedir en una fiscalización no es un documento de Word. Es evidencia operativa: registros de consentimiento con fecha y canal, un inventario de los datos que la empresa trata y los contratos vigentes con los proveedores que procesan datos por su cuenta. Ese tipo de respaldo no se construye en una semana.
Recomendamos iniciar el diagnóstico antes de septiembre de 2026. Dos meses de margen entre el diagnóstico y la entrada en vigencia alcanzan para corregir los puntos críticos. Dejarlos para noviembre, no.
Si quieres saber en qué estado real está tu empresa frente a la Ley 21.719, hacemos un diagnóstico inicial sin costo para determinar tu nivel de exposición y qué requiere atención prioritaria.
Glosario: los términos que importan
Derechos ARCO+
Acceso, Rectificación, Cancelación y Oposición son los derechos clásicos. La Ley 21.719 agrega Portabilidad (recibir los datos en formato descargable) y Bloqueo temporal (pausar el uso mientras se resuelve una disputa). Toda persona puede ejercerlos ante cualquier empresa que tenga sus datos.
UTM (Unidad Tributaria Mensual)
Índice que actualiza el SII cada año. En 2026 equivale a cerca de $68.000 CLP. Las multas se expresan en UTM para que el monto escale con la inflación. 20.000 UTM son aproximadamente $1.360 millones de pesos.
APDP
Agencia de Protección de Datos Personales. Organismo autónomo creado por la Ley 21.719. Puede iniciar investigaciones por cuenta propia, aplicar multas, ordenar la suspensión del tratamiento de datos y publicar las sanciones en un registro público.
Base legal
La justificación válida que una empresa debe tener para guardar o usar datos personales. La ley reconoce seis: consentimiento, contrato, obligación legal, interés vital, interés público e interés legítimo. Sin base legal identificable y documentada, el tratamiento es ilícito.
Opt-in vs Opt-out
Opt-out era la lógica de la Ley 19.628: si la persona no dijo que no, el uso era válido. Opt-in es la lógica nueva: la persona debe decir que sí de forma explícita antes de que la empresa use sus datos. Un checkbox premarcado sigue siendo opt-out disfrazado.
Brecha de seguridad
Cualquier incidente que exponga, filtre o destruya datos personales sin autorización. Cuando ocurre y representa riesgo para los titulares, la empresa debe notificar a la APDP en un plazo breve desde que la detecta. No notificar es una infracción grave independiente del incidente.