Guía de Cumplimiento para la Ley N° 21.719 de Protección de Datos Personales en Chile
El desgobierno de los datos personales en Chile ha llegado a su fin. Durante décadas, el tratamiento de información privada en el país se rigió por una normativa de 1999 que, si bien pionera en su momento, carecía de autoridad de control y las sanciones eran tan bajas que muchas empresas preferían pagar la multa antes que invertir en seguridad. Con la entrada en vigencia plena de la Ley N° 21.719 en este 2026, el paradigma ha cambiado radicalmente, alineando a Chile con los estándares del Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Para las empresas, el cumplimiento ya no es un ejercicio de marcar casillas, sino una transformación cultural y operativa.
1. La Institucionalidad: Reconociendo a la Autoridad
El primer paso crítico para cualquier empresa es reconocer el poder de la nueva Agencia de Protección de Datos Personales. A diferencia del pasado, donde los conflictos se resolvían principalmente en tribunales civiles de lenta respuesta, hoy la Agencia tiene facultades de fiscalización, interpretación y sanción. Las empresas deben establecer canales de comunicación formales con este organismo y entender que sus resoluciones son vinculantes. El cumplimiento comienza por la transparencia ante el regulador; esconder incidentes de seguridad ya no es una opción viable, ya que la ley impone el deber de notificación inmediata tanto a la Agencia como a los titulares de los datos.
2. Bases de Licitud: Más allá del Consentimiento
Uno de los errores más comunes en la antigua cultura empresarial chilena era creer que un “clic” en un banner de cookies o un párrafo genérico al final de un contrato bastaba para procesar cualquier dato. La Ley N° 21.719 introduce bases de licitud mucho más estrictas. Si bien el consentimiento sigue siendo un pilar, este debe ser libre, específico, informado e inequívoco.
Sin embargo, la ley también abre puertas modernas como el interés legítimo, siempre que este no vulnere los derechos fundamentales del titular. Las empresas deben realizar ahora un “test de ponderación” para justificar por qué procesan datos sin consentimiento explícito, documentando cada decisión para demostrar que su interés comercial no atropella la privacidad del cliente. Es un ejercicio de equilibrio jurídico que requiere el apoyo constante de expertos legales y técnicos.
3. El Modelo de Responsabilidad Proactiva (Accountability)
El cambio más profundo para la gerencia es el principio de Responsabilidad Proactiva. Ya no basta con cumplir la ley; hay que ser capaz de probar que se cumple. Esto implica que las empresas deben implementar modelos de prevención de infracciones.
Para dar cumplimiento, las organizaciones deben realizar Evaluaciones de Impacto en la Protección de Datos (DPIA) antes de lanzar cualquier nuevo producto o servicio que implique tratamiento masivo de información. Este enfoque de “Privacidad desde el Diseño y por Defecto” asegura que la protección de datos no sea un parche de última hora, sino una pieza fundamental de la arquitectura de sistemas y procesos de negocio.
4. Derechos de los Titulares: ARCO-POL
Si antes hablábamos de los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), la nueva normativa chilena ha expandido este catálogo a lo que los expertos denominan ARCO-POL. Se suman la Portabilidad y el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de datos (incluyendo la elaboración de perfiles).
Para las empresas, esto significa que deben tener sistemas capaces de extraer la información de un cliente en formatos estructurados y legibles por máquina para que este se la lleve a un competidor si así lo desea. Además, deben ser capaces de explicar la lógica detrás de sus algoritmos de IA si estos afectan las condiciones comerciales o el acceso a servicios de un usuario. La implementación técnica de estos derechos es, quizás, el reto de ingeniería más grande de la ley.
5. El Delegado de Protección de Datos (DPO)
Aunque no es obligatorio para todas las pymes, la designación de un Delegado de Protección de Datos (DPD o DPO) es altamente recomendable y, en muchos casos de tratamiento a gran escala, imperativa. El DPO actúa como un puente entre la empresa, los titulares y la Agencia. Su rol es independiente y debe contar con recursos suficientes para auditar internamente el cumplimiento. En 2026, el DPO chileno se ha convertido en una figura tan esencial como el oficial de cumplimiento en materias de prevención de lavado de activos.
6. Transferencias Internacionales y Proveedores
Chile es una economía abierta y digitalizada. Gran parte de los datos de chilenos terminan en nubes ubicadas en EE.UU. o Europa. La Ley N° 21.719 establece que solo se pueden transferir datos a países que cuenten con niveles adecuados de protección. Si el destino no es considerado “seguro” por la Agencia, las empresas deben utilizar Cláusulas Contractuales Tipo o normas corporativas vinculantes. Esto obliga a las empresas a revisar sus contratos con proveedores de servicios en la nube (SaaS, PaaS) y asegurarse de que estos subencargados también cumplan con el estándar chileno.
7. El Régimen Sancionatorio: El Riesgo de la Inacción
Finalmente, lo que ha movilizado a los directorios es el nuevo sistema de multas. Las infracciones se categorizan en leves, graves y gravísimas. Estas últimas pueden alcanzar hasta las 20.000 UTM (o un porcentaje de las ventas anuales en casos específicos). Pero más allá de la multa pecuniaria, la ley faculta a la Agencia para ordenar la suspensión del tratamiento de datos. Para una empresa cuya operación depende de su base de datos de clientes, una suspensión de 30 días equivale a una sentencia de muerte comercial.
¿Entonces, qué hago?
Cumplir con la Ley N° 21.719 no es un destino, sino un proceso de mejora continua. En este 2026, las empresas líderes en Chile han entendido que la privacidad es un activo estratégico. Aquellas que han logrado transitar desde la opacidad hacia la transparencia no solo evitan sanciones, sino que ganan la confianza de un consumidor chileno que hoy, más que nunca, es consciente del valor de su huella digital. La protección de datos ha dejado de ser una molestia legal para convertirse en el nuevo estándar de ética empresarial en el siglo XXI. ¿Te gustaría asesorarte mejor sobre este tema? ¡Contáctanos, en V/C+ somos tu aliado estratégico!
Fuentes y Referencias Bibliográficas
- Agencia de Protección de Datos Personales de Chile. (2025). Guía de directrices para la evaluación de impacto en la protección de datos personales. Santiago: Gobierno de Chile.
- Biblioteca del Congreso Nacional de Chile. (2024). Ley N° 21.719: Modifica la Ley N° 19.628, sobre protección de la vida privada, y otras normas que indica. Recuperado de https://www.bcn.cl/leychile
- Corral, H. (2024). Curso de Derecho Civil: Los derechos de la personalidad y la protección de datos. Santiago: Editorial Jurídica de Chile.
- Díaz, A. (2025). El Delegado de Protección de Datos en la nueva normativa chilena: Desafíos y responsabilidades. Revista Chilena de Derecho y Tecnología, 14(1), 45-68.
- Magliona, C., e Ibarra, N. (2024). Nueva Ley de Protección de Datos Personales en Chile: Un análisis comparativo con el RGPD. Santiago: Thompson Reuters.
- Ministerio de Economía, Fomento y Turismo. (2024). Reglamento sobre las medidas de seguridad técnicas y organizativas para el tratamiento de datos personales. Santiago: Diario Oficial.
No responses yet