El 1 de diciembre de 2026 entra en vigencia plena la Ley 21.719 en Chile. A partir de esa fecha, la nueva Agencia de Protección de Datos Personales (APDP) puede fiscalizar y aplicar multas de hasta 20.000 UTM (~$1.480M CLP) por infracciones gravísimas. Este artículo entrega el checklist concreto de qué hacer entre hoy y esa fecha, con los documentos que debes tener listos y las decisiones que no puedes seguir postergando.
Si tienes una pyme, un e-commerce o eres un profesional independiente en Chile, este cronograma está pensado para ti. Todo se puede resolver gratis y sin abogado para los documentos base — los casos complejos (datos sensibles a gran escala, transferencias internacionales masivas, decisiones automatizadas) sí requieren asesoría específica.
Por qué el 1 de diciembre de 2026 es la fecha crítica
La Ley 21.719 fue publicada el 13 de diciembre de 2024. La ley estableció un plazo de dos años de vacancia para que las empresas se adapten: durante ese período, la Ley 19.628 (1999) siguió rigiendo. Ese plazo termina el 1 de diciembre de 2026.
Desde esa fecha:
- Rige el articulado completo de la Ley 21.719, incluyendo el régimen sancionatorio.
- Se constituye formalmente la APDP como autoridad fiscalizadora independiente.
- Comienzan a correr los plazos de respuesta a solicitudes ARCOP (30 días corridos, prorrogables 30 más).
- Aplica el deber de notificar vulneraciones de seguridad "sin dilaciones indebidas" (Art. 14 sexies).
La Ley 21.806 (5 de febrero de 2026) modificó aspectos institucionales (designación del Consejo Directivo de la APDP antes del 1 de junio de 2026) pero no postergó la entrada en vigencia. La fecha sigue firme.
El "régimen pyme" no es una prórroga
El Art. sexto transitorio de la Ley 21.719 establece que durante los primeros 12 meses (del 1-dic-2026 al 1-dic-2027), la APDP podrá aplicar amonestación por escrito en lugar de multa a empresas calificadas como pyme bajo la Ley N° 20.416. Esto se malinterpreta con frecuencia:
- La obligación existe desde el día 1. Tienes que tener publicada tu Política de Privacidad, tu RAT documentado, tu protocolo ARCOP funcionando y tu protocolo de brechas listo desde el 1-dic-2026.
- La gracia es sancionatoria, no normativa. Solo cambia la severidad de la primera sanción durante el primer año.
- Es facultativa para la APDP, no automática. Si el incumplimiento fue negligente o afectó datos sensibles, la agencia puede aplicar multa directamente incluso a una pyme.
Ver la guía completa de la Ley 21.719 para el detalle del régimen sancionatorio.
Checklist mes a mes (julio a diciembre 2026)
Julio 2026 — Diagnóstico y política base
Objetivo del mes: saber dónde estás parado y cerrar el documento raíz.
- [ ] Hacer el diagnóstico de cumplimiento gratuito (10 minutos). Te devuelve el nivel de exposición y las herramientas que necesitas.
- [ ] Generar y publicar la Política de Privacidad en el footer del sitio web y en cada formulario que recolecte datos.
- [ ] Identificar todas las herramientas que procesan datos por ti: CRM, plataforma de email marketing, procesador de pagos, analytics, hosting, servicios en la nube. Esta lista es la base para el RAT del mes siguiente.
Agosto 2026 — Registro de Actividades de Tratamiento
Objetivo del mes: documentar accountability.
- [ ] Crear el Registro de Actividades de Tratamiento (RAT) con todos los flujos de datos identificados en julio.
- [ ] Para cada flujo: finalidad, base legal (Art. 12 o Art. 13), categorías de datos, plazo de conservación, destinatarios (incluidos encargados y transferencias internacionales), medidas de seguridad aplicadas.
- [ ] Revisar los contratos con encargados del tratamiento (proveedores que procesan datos por ti). Si no tienen cláusula de protección de datos, hay que agregarla en el próximo ciclo de renovación.
Septiembre 2026 — Consentimiento, cookies y contratos
Objetivo del mes: cerrar los flujos de captura.
- [ ] Revisar los formularios de consentimiento en checkouts, formularios web, landing pages. El consentimiento debe ser expreso, informado y específico (Art. 12) — no basta con un checkbox pre-marcado.
- [ ] Implementar un banner de cookies conforme a la Ley 21.719 si usas Google Analytics, Meta Pixel o cualquier tag de tracking.
- [ ] Agregar la cláusula de protección de datos a los contratos de trabajo (Art. 154 bis Código del Trabajo).
- [ ] Nombrar a la persona responsable de recibir solicitudes ARCOP dentro de la organización (no es un DPO obligatorio, pero necesitas alguien identificable).
Octubre 2026 — ARCOP y protocolo de brechas
Objetivo del mes: prepararte para responder solicitudes de titulares y para reaccionar a incidentes.
- [ ] Generar el Protocolo ARCOP + Bloqueo temporal. Define quién recibe la solicitud, cómo se verifica la identidad del titular, quién ejecuta la respuesta, en cuánto tiempo (30 días corridos, prorrogables 30 más una sola vez).
- [ ] Crear el Protocolo de Brechas de Seguridad. Define el equipo de respuesta, cómo se detecta y contiene un incidente, cuándo y cómo se notifica a la APDP, cuándo se notifica a titulares afectados.
- [ ] Publicar en el sitio web un canal claro para ejercer derechos: email dedicado (
privacidad@tuempresa.cl) o formulario web.
Noviembre 2026 — Capacitación y ensayo
Objetivo del mes: que el equipo sepa qué hacer.
- [ ] Capacitar al equipo interno: qué es un dato personal, qué está prohibido compartir (por WhatsApp, por email personal), cómo responder si alguien pide sus datos o su eliminación.
- [ ] Ensayar el protocolo de brechas: simular un incidente (por ejemplo, un email enviado por error a la lista completa) y verificar que el equipo activa el protocolo correctamente.
- [ ] Ensayar una solicitud ARCOP: pedir a un colega que envíe una solicitud de acceso y medir en cuánto tiempo la organización responde con la información completa.
- [ ] Revisar que todos los documentos generados en meses anteriores estén actualizados, firmados internamente y accesibles para el equipo relevante.
Diciembre 2026 — Go-live
Objetivo del mes: operar bajo el régimen nuevo desde el día 1.
- [ ] 1 de diciembre: verificar que la Política de Privacidad publicada es la versión actualizada y que menciona la Ley 21.719 vigente (no solo la Ley 19.628 antigua).
- [ ] Activar el monitoreo formal de solicitudes ARCOP: cualquier solicitud recibida a partir del 1-dic-2026 corre bajo los plazos de la nueva ley.
- [ ] Documentar la fecha de puesta en producción del protocolo de brechas — para poder demostrar accountability si ocurre un incidente en las primeras semanas de vigencia.
Los 3 errores más comunes que veremos en las primeras multas
Con la experiencia del GDPR europeo, las primeras multas chilenas van a concentrarse en estos tres patrones:
1. Política de Privacidad copiada de plantillas genéricas o de la Ley 19.628 antigua. Es lo más visible desde afuera: la APDP puede inspeccionar el sitio web sin denuncia previa y ver si la política menciona los 6 derechos, la base legal, los plazos de conservación. Un documento que dice "conforme a Ley 19.628" en diciembre de 2027 es una infracción declarada.
2. Solicitudes ARCOP sin respuesta. Un titular pide acceso a sus datos, la empresa no responde en 30 días, y el titular denuncia a la APDP. La denuncia es gratuita, se hace online, y activa el procedimiento sancionatorio. Este va a ser el vector principal de fiscalización durante 2027.
3. Brechas de seguridad sin notificación. Cualquier incidente que se filtre a prensa o redes sociales sin una notificación previa a la APDP configura la infracción gravísima del Art. 34 quáter letra f (omisión deliberada de comunicar). Ha sido el patrón más caro internacionalmente (Yahoo, Equifax, Marriott).
Tener los 7 documentos base publicados y funcionando antes del 1-dic-2026 te aísla de los tres.
Guía por industria: encuentra tu sector
La Ley 21.719 aplica igual a toda empresa, pero cada industria tiene puntos de riesgo específicos. Estas son las guías sectoriales de PrivacidadWeb:
- Clínicas y centros médicos — datos de salud, categoría sensible reforzada
- E-commerce — datos de pago, cookies, tracking
- ONGs y fundaciones — beneficiarios vulnerables, menores, donantes
- Inmobiliarias y agencias de compraventa — F22, Dicom, escrituración
- Corredores de propiedades — carpetas de postulación, arriendo
- Colegios y establecimientos educacionales — datos de menores
- Estudios contables — datos tributarios y financieros
- Startups — configuración cloud, escala rápida
- Ver todas las industrias →
Preguntas frecuentes
¿Qué pasa si el 1 de diciembre de 2026 no tengo nada listo?
Si no tienes ni Política de Privacidad publicada, la primera fiscalización visible te alcanza. Para pymes hay un período de gracia de 12 meses donde la APDP puede aplicar amonestación por escrito en lugar de multa (Art. sexto transitorio), pero esto es facultativo — no es un pase libre. Recomendamos partir por el diagnóstico y la política base ahora, no en noviembre.
¿Puedo esperar a que salga el reglamento de la APDP para hacer todo esto?
No. Los reglamentos complementarios podrán ajustar detalles operacionales, pero el articulado sustantivo de la Ley 21.719 ya está publicado y no cambia. La Política de Privacidad, el RAT, el protocolo ARCOP y el protocolo de brechas se pueden preparar hoy con el texto vigente.
¿Necesito contratar un DPO (Delegado de Protección de Datos)?
No es obligatorio para todas las empresas en Chile. La figura del DPO es obligatoria solo en ciertos tratamientos (organismos públicos, procesamiento a gran escala de datos sensibles, algunos casos regulados por la APDP). Para una pyme típica basta con tener una persona identificable como responsable interno del cumplimiento — no requiere certificación ni dedicación exclusiva.
¿Cuánto cuesta cumplir la Ley 21.719?
Los documentos base son gratis usando las herramientas de PrivacidadWeb (Política, RAT, banner, protocolos, cláusula laboral). El costo real está en el tiempo interno: mapear tus flujos de datos, capacitar al equipo, ensayar los protocolos. Estimamos que una pyme típica invierte entre 15 y 30 horas totales del equipo a lo largo de los 5 meses previos a la vigencia.
¿La ley aplica también a empresas que solo tratan datos de empleados?
Sí. La Ley 21.719 no distingue entre datos de clientes y datos de trabajadores. Si tienes empleados con contrato en Chile, tratas sus datos personales (RUT, cuenta bancaria, evaluaciones de desempeño, cámaras de seguridad) y debes cumplir la ley. Debes tener publicada una Política de Privacidad interna dirigida a trabajadores, incluir la cláusula de protección de datos en los contratos y documentar el tratamiento en el RAT.
¿Qué pasa con las multinacionales que operan en Chile?
Aplica la Ley 21.719 a cualquier tratamiento de datos de personas ubicadas en Chile, sin importar dónde esté la casa matriz. Si operas también bajo GDPR europeo, muchos controles son compatibles pero no son intercambiables: el articulado chileno tiene diferencias específicas (definición de datos sensibles, plazos, terminología de derechos) que hay que respetar en la documentación local.