Ley 21.719 — Guía Completa 2026

¿Qué es la Ley 21.719?

La Ley N° 21.719es la nueva regulación de protección de datos personales en Chile, publicada el 13 de diciembre de 2024. Su nombre formal es "modificación de la Ley N° 19.628 de Protección de la Vida Privada": no la deroga, la reescribe sustancialmente para alinear a Chile con los estándares internacionales (RGPD europeo, LGPD brasileña).

El texto introduce la Agencia de Protección de Datos Personales (APDP) como autoridad fiscalizadora, define 6 derechos para los titulares, impone obligaciones de información y seguridad a los responsables del tratamiento, y crea un régimen sancionatorio con multas de hasta 20.000 UTM (~$1.430M CLP a junio 2026).

¿Cuándo entra en vigencia?

Hasta el 30 de noviembre de 2026 sigue vigente la Ley 19.628 original: política de privacidad opcional, plazo de respuesta de 2 días hábiles para solicitudes ARCOP, sin APDP fiscalizadora.

Comparación: Ley 19.628 (1999) vs Ley 21.719 (2026)

La diferencia es brutal. Aquí lo esencial:

Los 6 derechos del titular

La Ley 21.719 reconoce seis derechos. Los primeros cinco forman el clásico acrónimo ARCOP usado en doctrina chilena; el sexto, el Bloqueo temporal, es nuevo de la Ley 21.719.

1. Acceso (Art. 5) — el titular puede pedir copia de sus datos, las finalidades del tratamiento y la lista de terceros a quienes se cedieron.
2. Rectificación (Art. 6) — el titular puede corregir datos inexactos o incompletos.
3. Supresión (Art. 7) — el titular puede pedir la eliminación de sus datos cuando ya no sean necesarios.
4. Oposición (Art. 8) — el titular puede oponerse al tratamiento de sus datos para fines específicos (marketing directo, perfilamiento).
5. Portabilidad (Art. 9) — el titular puede pedir sus datos en formato estructurado y legible por máquina (CSV, JSON, XML).
6. Bloqueo temporal (Art. 8 ter) — el titular puede suspender el tratamiento mientras se resuelve una disputa de exactitud o legalidad. Durante el bloqueo solo se permite conservar los datos.

Plazo máximo de respuesta: 30 días corridos (Art. 11), prorrogable una sola vez por 30 días corridos adicionales cuando la complejidad lo justifique. Genera tu protocolo gratis →

Multas y régimen sancionatorio

Los topes se calculan en UTM (Unidad Tributaria Mensual) publicada por el SII. Una infracción gravísima paradigmática: omisión deliberada de notificar una vulneración de datos sensibles (Art. 14 sexies + Art. 34 quáter f). Estima tu exposición con la calculadora →

Régimen especial para Pymes

El Art. sexto transitorio establece un régimen especial para empresas calificadas como pyme bajo la Ley N° 20.416 (microempresa, pequeña o mediana). Durante los primeros 12 meses de vigencia plena (1-dic-2026 al 1-dic-2027), la APDP podrá aplicar como sanción una amonestación por escrito en lugar de multa.

La gracia es sancionatoria, no normativa: las obligaciones son las mismas para pymes y grandes empresas. Lo que cambia es la severidad de la primera sanción durante el primer año. Desde diciembre de 2027, el régimen pleno aplica a todos por igual.

Obligaciones del responsable del tratamiento

• Informar al titular antes o al momento de recolectar sus datos (Art. 14 ter): identidad del responsable, finalidades, base legal, plazos de conservación, terceros a quienes se cederán, derechos del titular.
• Obtener consentimiento expreso, informado y específico cuando el tratamiento se funde en él (Art. 12).
• Atender solicitudes ARCOP + Bloqueo dentro de 30 días corridos (Art. 11).
• Adoptar medidas de seguridad técnicas y organizativas razonables (Art. 14 quinquies).
• Notificar vulneraciones de seguridad a la APDP sin dilaciones indebidas y, cuando aplique, a los titulares afectados (Art. 14 sexies).
• Mantener registros que permitan demostrar accountability ante una eventual fiscalización.
• Limitar transferencias internacionales a países con nivel adecuado o mediante garantías contractuales (Arts. 27-29).

Vulneraciones de seguridad (brechas de datos)

El Art. 14 sexies obliga al responsable a comunicar a la APDP "por los medios más expeditos posibles y sin dilaciones indebidas" cualquier vulneración significativa. La ley chilena NO establece el plazo de 72 horas del RGPD europeo —ese plazo aparece reproducido erróneamente en muchos blogs locales.

Cuando los datos comprometidos sean sensibles, de menores de 14 años o económicos/financieros/bancarios/comerciales, también se debe notificar directamente a los titulares afectados.

La omisión deliberada de comunicar es infracción gravísima (Art. 34 quáter letra f). Genera tu protocolo de respuesta →

Cómo cumplir gratis (paso a paso)

1. Hacer el diagnóstico de cumplimiento (10 min) — sabrás dónde estás y qué te falta.
2. Generar la Política de Privacidad y publicarla en tu sitio web.
3. Crear el Registro de Tratamiento como evidencia de accountability.
4. Revisar los formularios de consentimiento en tus checkouts y formularios web.
5. Implementar el banner de cookies si usas analytics o publicidad online.
6. Crear el protocolo ARCOP + Bloqueo para responder solicitudes en plazo.
7. Preparar el protocolo de brechas y nombrar a quién avisar si hay un incidente.
8. Agregar la cláusula laboral de datos a tus contratos de trabajo.

Todo esto se hace en una tarde con las herramientas gratuitas de PrivacidadWeb. No necesitas abogado para los documentos base; sí lo necesitas para casos complejos (datos sensibles, fusiones, transferencias internacionales a países sin nivel adecuado).

Preguntas frecuentes