Ley 21.719: qué cambia para las PYMEs en Chile

Actualizado al 13 de agosto de 2026.

Chile ya tiene una nueva ley de protección de datos personales. No es un proyecto, no está esperando una votación y tampoco es una idea para un futuro lejano. La Ley N.º 21.719 fue publicada el 13 de diciembre de 2024 y entrará en vigencia el 1 de diciembre de 2026.

Eso produce una situación que puede parecer extraña: la nueva ley existe, pero su parte principal todavía no se aplica. Hasta el 30 de noviembre de 2026 continúa vigente el régimen actual de la Ley N.º 19.628. Desde el día siguiente comenzará a operar un sistema mucho más exigente, con una Agencia de Protección de Datos Personales, nuevos derechos para las personas y sanciones que antes no existían de esta forma.

Para las PYMEs, la pregunta no es si la ley viene. La pregunta es si llegarán a diciembre sabiendo qué datos tienen, para qué los usan y quién puede acceder a ellos.

1. Esto también es un problema de una PYME

Cuando se habla de datos personales, muchas empresas imaginan grandes plataformas, bancos o redes sociales. Sin embargo, una planilla con nombres, RUT y teléfonos ya contiene datos personales. También los contienen un currículum, una ficha de cliente, una lista de correos, una cámara de seguridad, un registro de asistencia, una base de proveedores o el historial de compras de una tienda en línea.

No importa si la información está en un servidor sofisticado, en un servicio en la nube o en un Excel que alguien envía por correo. Si una empresa recopila, consulta, ordena, comunica, almacena o elimina información que permite identificar a una persona, está tratando datos personales.

La Ley 21.719 no reserva esta responsabilidad para las grandes empresas. Se aplica a personas y organizaciones públicas o privadas que traten datos dentro de su ámbito. La diferencia es que los estándares deben considerar el tamaño de la empresa, su actividad, el tipo y volumen de datos que utiliza y el riesgo que ese tratamiento genera. Una peluquería que guarda horas de clientes no enfrenta el mismo escenario que una clínica o una empresa financiera. Pero pequeño no significa invisible ni exento.

2. El consentimiento no es una casilla mágica

Durante años se instaló la idea de que bastaba con agregar una casilla que dijera “achepto”. El problema es que una autorización genérica no explica qué se hará con los datos, durante cuánto tiempo se conservarán ni con quién se compartirán.

La nueva ley exige que el consentimiento, cuando sea la base utilizada, sea libre, específico, inequívoco e informado. Además, debe expresarse mediante una declaración o una acción afirmativa clara. El silencio, una casilla marcada de antemano o un texto escondido difícilmente cumplen ese objetivo.

Esto no significa que toda operación requiera pedir permiso. La ley reconoce otras bases que pueden justificar el tratamiento, por ejemplo, la ejecución de un contrato, el cumplimiento de una obligación legal u otros supuestos autorizados. Lo importante es que la empresa sepa cuál utiliza y pueda explicarlo. Pedir consentimiento para todo, sin entender por qué, puede ser tan desordenado como no pedirlo nunca.

3. Las personas dejan de ser espectadoras

La Ley 21.719 fortalece los derechos de quienes son titulares de los datos. Una persona podrá solicitar acceso a su información, pedir que se corrija, exigir su supresión cuando corresponda, oponerse a determinados usos, solicitar portabilidad y pedir el bloqueo temporal del tratamiento en los casos establecidos por la ley.

Para una PYME esto se traduce en algo concreto: debe existir un canal real para recibir solicitudes y alguien debe saber cómo responderlas. Publicar un correo que nadie revisa no resuelve el problema. Tampoco sirve buscar durante semanas una ficha porque cada trabajador guardó una copia distinta.

La transparencia deja de ser una frase decorativa en la política de privacidad. La empresa deberá poder informar quién es responsable, qué datos trata, para qué los utiliza, a quién puede comunicarlos, cuánto tiempo pretende conservarlos y cómo se pueden ejercer los derechos. Si usa proveedores fuera de Chile, también tendrá que revisar las reglas aplicables a esas transferencias.

4. Seguridad razonable, no tecnología imposible

La ley no obliga a todas las PYMEs a comprar la herramienta más cara del mercado. Exige medidas técnicas y organizativas adecuadas al riesgo, considerando el estado de la tecnología, los costos, la naturaleza de los datos y las consecuencias que tendría una filtración, pérdida o acceso indebido.

En una empresa pequeña, muchas mejoras importantes son bastante menos glamorosas que una plataforma de ciberseguridad. Saber quién tiene acceso, retirar permisos cuando alguien deja la empresa, usar autenticación de dos factores, mantener equipos actualizados, respaldar información, separar cuentas personales de cuentas corporativas y evitar que una misma planilla circule sin control ya reduce una parte importante del riesgo.

El cifrado aparece entre las medidas que la ley considera, pero no funciona como una obligación idéntica para todos los tratamientos. Su necesidad dependerá del contexto y del riesgo. Lo que sí cambia es la carga de responsabilidad: frente a un incidente, la empresa deberá poder demostrar que sus medidas existían y funcionaban. Decir “pensé que el proveedor se encargaba” no es una política de seguridad.

5. Una filtración ya no puede esconderse debajo de la alfombra

Cuando una vulneración de seguridad produzca destrucción, filtración, pérdida, alteración o acceso no autorizado y exista un riesgo razonable para los derechos y libertades de las personas, el responsable deberá reportarla a la Agencia por medios expeditos y sin dilaciones indebidas.

La empresa también deberá mantener un registro del incidente, sus efectos, los datos comprometidos, el número aproximado de personas afectadas y las medidas adoptadas. Si la vulneración involucra datos sensibles, información de niños y niñas menores de catorce años o datos económicos, financieros, bancarios o comerciales, la ley contempla además la comunicación a las personas afectadas en lenguaje claro y sencillo.

Esto vuelve indispensable tener un plan antes del incidente. Si nadie sabe quién decide, dónde están los respaldos o cómo contactar a los afectados, las primeras horas se perderán discutiendo responsabilidades mientras el problema sigue creciendo.

6. La nube no se lleva la responsabilidad

Muchas PYMEs dependen de servicios externos para vender, facturar, enviar correos, administrar clientes, procesar pagos o guardar documentos. Usar esos servicios no es necesariamente un problema. El problema aparece cuando nadie sabe qué información recibe el proveedor, dónde la procesa, cuánto tiempo la conserva o qué ocurre cuando termina el contrato.

La nueva normativa distingue entre quien decide para qué se utilizan los datos y quien los trata siguiendo instrucciones. Esa relación debe ordenarse. Al terminar el servicio, los datos deberán devolverse o eliminarse según corresponda. Si el proveedor sufre una vulneración, debe reportarla al responsable para que éste pueda cumplir sus propias obligaciones.

No se trata de abandonar la nube. Se trata de dejar de contratarla a ciegas.

7. Inteligencia artificial: automatizar no elimina la responsabilidad

Una empresa puede usar inteligencia artificial para ordenar consultas, priorizar solicitudes, analizar postulaciones o estimar riesgos. Pero si una decisión automatizada produce efectos jurídicos o afecta significativamente a una persona, la nueva ley reconoce protecciones específicas.

En esos casos adquieren importancia el derecho a recibir información y una explicación, solicitar intervención humana, expresar un punto de vista y pedir la revisión de la decisión. La ley contempla excepciones, pero incluso entonces exige salvaguardas.

No toda planilla con una fórmula ni todo chatbot requiere una evaluación de impacto. Esa evaluación se exige cuando el tratamiento probablemente genere un alto riesgo, por ejemplo, ante ciertas decisiones automatizadas con efectos significativos, tratamientos masivos, vigilancia sistemática de espacios públicos o determinados usos de datos sensibles. Un formulario básico de contacto no entra automáticamente en esa categoría. La clave vuelve a ser la misma: contexto, escala y riesgo real.

8. Las multas existen, pero no cuentan toda la historia

La nueva Agencia podrá fiscalizar, resolver reclamaciones, dictar instrucciones y sancionar infracciones. La ley contempla amonestaciones y multas de hasta 5.000 UTM para infracciones leves, 10.000 UTM para las graves y 20.000 UTM para las gravísimas. También considera la gravedad de la conducta, el perjuicio, la cantidad de personas afectadas, el tipo de datos y la capacidad económica del infractor al determinar la sanción.

Para las empresas de menor tamaño existe una regla transitoria relevante. Durante los primeros doce meses de vigencia, cuando corresponda una sanción, la Agencia podrá aplicar una amonestación por escrito. La palabra importante es “podrá”. No es una amnistía, no elimina la obligación de cumplir y la amonestación quedará registrada.

Reducir toda la conversación a las multas sería un error. Una base de clientes filtrada, una denuncia pública o la pérdida de confianza pueden dañar a una empresa mucho antes de que termine un procedimiento sancionatorio.

9. Qué debería hacer una PYME antes de diciembre

El primer paso es saber qué información existe. No se puede proteger una base de datos que nadie recuerda haber creado. Conviene identificar qué datos se recopilan, dónde se guardan, quién accede, por qué se necesitan, con quién se comparten y cuándo deberían eliminarse.

El segundo paso es reducir. Guardar información “por si acaso” aumenta el riesgo sin crear necesariamente valor. Si un dato no tiene una finalidad clara, probablemente tampoco tenga una buena razón para permanecer indefinidamente.

El tercer paso es ordenar la relación con clientes, trabajadores y proveedores. Esto incluye revisar formularios, avisos de privacidad, contratos, permisos internos, servicios en la nube, plazos de conservación y canales para ejercer derechos.

El cuarto paso es preparar la respuesta. Una empresa debe saber a quién llamar, cómo contener una filtración, cómo recuperar información y cómo documentar lo ocurrido. Esperar al ataque para escribir el procedimiento es como buscar el extintor cuando la oficina ya está ardiendo.

10. La nueva ley no exige perfección, exige responsabilidad

La Ley 21.719 cambia el eje de la protección de datos en Chile. Ya no basta con publicar una política genérica y asumir que nadie preguntará. Las empresas tendrán que demostrar que conocen sus tratamientos, respetan los derechos de las personas y adoptan medidas coherentes con sus riesgos.

Para una PYME esto puede parecer una carga adicional, pero también es una oportunidad de ordenar información que muchas veces está duplicada, desactualizada o repartida entre correos, planillas y cuentas personales. Cumplir no consiste en llenar documentos para una carpeta. Consiste en saber qué se está haciendo y poder defender por qué se hace de esa manera.

El 1 de diciembre de 2026 no debería sorprender a nadie. La ley fue publicada con tiempo. Ahora corresponde usarlo.

Fuentes oficiales y alcance de este artículo

La fecha de publicación, entrada en vigencia, derechos, deberes, sanciones y disposiciones transitorias pueden consultarse en el texto oficial de la Ley N.º 21.719 publicado por la Biblioteca del Congreso Nacional. La comparación con el régimen aplicable hasta el 30 de noviembre de 2026 puede revisarse en la versión vigente de la Ley N.º 19.628.

Este artículo fue actualizado el 13 de agosto de 2026 y tiene fines informativos generales. La aplicación de la ley depende de los datos, finalidades, contratos, proveedores y riesgos de cada organización, por lo que este texto no reemplaza una evaluación jurídica o técnica del caso concreto.