Durante décadas, la privacidad en Chile fue un terreno de baja intensidad regulatoria. La Ley 19.628, vigente desde 1999, se volvió una pieza de museo frente al avance tecnológico, percibida como una normativa de bajo cumplimiento debido a la inexistencia de una autoridad fiscalizadora.
Sin embargo, el tablero ha cambiado radicalmente: el 1 de diciembre de 2026 entra en vigor de forma definitiva la Ley 21.719 , un estándar que eleva la privacidad a una prioridad con fiscalización activa y sanciones severas. El reloj ya corre, y las organizaciones tienen el tiempo justo para transformar sus procesos antes de que la nueva autoridad defina las reglas del juego que seguirán el rastro del GDPR europeo.
¿Qué es la Ley 21.719 y a quiénes aplica realmente?
La Ley 21.719 es la nueva normativa que regula el tratamiento y protección de datos personales de personas naturales en Chile. Aplica a toda persona natural o jurídica, pública o privada, que decida sobre los fines y medios del tratamiento de datos , incluyendo a empresas extranjeras que ofrezcan bienes o servicios a titulares en territorio chileno o monitoreen su comportamiento.
Mito 1: "Yo solo tengo clientes empresa, esto no me afecta"
Es el error más común en los directorios corporativos y modelos B2B. Muchos ejecutivos creen que, al no tratar con «consumidores finales», están fuera del radar regulatorio. La realidad técnica y jurídica es otra: detrás de cada RUT de empresa hay seres humanos.
La Ley 21.719 protege a toda persona natural identificada o identificable. Esto significa que los siguientes elementos se consideran legalmente datos personales:
- El nombre de un representante legal o apoderado.
- El correo electrónico corporativo directo de un ejecutivo (ej. jsepulveda@empresa.cl).
- El número de cédula de identidad o teléfono de un contacto comercial.
Pero el error va más allá del enfoque B2B. Al ser una ley de datos personales y no una ley «de clientes», el alcance es mucho más amplio de lo que la mayoría de las empresas asume. Están protegidos, entre otros:
- Clientes y prospectos.
- Trabajadores y ex trabajadores.
- Postulantes a procesos de selección.
- Hijos de trabajadores (por ejemplo, en beneficios, seguros complementarios o cargas familiares).
- Proveedores y contactos comerciales, en ciertos casos.
En otras palabras: si tu empresa tiene una nómina, un proceso de reclutamiento, un seguro complementario o un formulario de postulación, ya estás tratando datos personales, aunque nunca hayas vendido un producto a una persona natural.
La «identificabilidad» es hoy más sensible que nunca. Gracias al procesamiento automatizado y el cruce de bases de datos, casi cualquier dato puede ser rastreado de forma directa o indirecta hasta una persona natural, activando de inmediato las obligaciones legales para cualquier organización, sin importar su modelo de negocio o el tipo de titular cuyos datos trata.
La trampa del consentimiento: Por qué el "permiso" ya no es la solución mágica
Muchos creen que basta con poner un checkbox genérico en la web para solucionar el cumplimiento. Sin embargo, el estándar legal para que el consentimiento sea válido se eleva de forma drástica:
El consentimiento del titular debe ser libre, informado, específico e inequívoco, manifestado de forma previa mediante una declaración clara o un acto afirmativo.
En contextos de desequilibrio de poder —como la relación laboral—, la «libertad» de dicho permiso es altamente cuestionable ante los tribunales o la futura Agencia de Protección de Datos Personales. La especificidad exige granularidad; es decir, el usuario debe aceptar de forma separada propósito por propósito, terminando con los contratos de adhesión masivos.
Alternativas legales: Otras bases de licitud autorizadas por la Ley 21.719
Para evitar la fragilidad del consentimiento revocable , las empresas deben estructurar sus operaciones bajo otras fuentes de licitud que contempla la normativa:
- Cumplimiento de contrato: Esencial para ejecutar servicios contratados, incluyendo las gestiones precontractuales (como procesar y enviar una cotización solicitada por un prospecto).
- Obligación legal: Crucial en el ámbito de los recursos humanos, la seguridad social y normativas sectoriales obligatorias.
- Interés legítimo: Permite realizar tratamientos necesarios para la empresa o terceros (como la ciberseguridad o cámaras de vigilancia corporativa), siempre que no se afecten los derechos del titular y se documente un «test de balance» previo.
Nota de UX & Legal Design: Olvida las casillas pre-chequeadas en tus formularios. La autoridad interpretará el silencio o la inacción como una vulneración directa al principio de protección por defecto.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 en Chile?
La ley entra en plena vigencia el 1 de diciembre de 2026, tras un período de transición de 24 meses. Desde esa fecha, la Agencia de Protección de Datos Personales puede iniciar investigaciones y aplicar sanciones.
¿A qué tipo de empresas aplica la Ley 21.719?
Aplica a toda persona natural o jurídica, pública o privada, que decida sobre los fines y medios del tratamiento de datos personales en Chile, sin importar el tamaño de la empresa ni si su modelo de negocio es B2B o B2C. Basta con tratar datos de un representante legal, un contacto comercial o un colaborador para quedar bajo su alcance.
Mi empresa es pyme, ¿tengo el mismo riesgo de multa?
No exactamente. Durante los primeros 12 meses desde la entrada en vigencia (diciembre de 2026 a diciembre de 2027), las empresas que califiquen como de menor tamaño según la Ley 20.416 pueden recibir una amonestación por escrito en su primera infracción, en lugar de una multa. Aun así, la amonestación queda registrada y puede pesar en fiscalizaciones futuras, por lo que no reemplaza la necesidad de cumplir.
¿Cuáles son las multas por incumplir la Ley 21.719?
Las sanciones se clasifican en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM). En caso de reincidencia en faltas graves o gravísimas, las empresas que no califiquen como de menor tamaño pueden ser multadas con hasta el 2% o 4% de sus ingresos anuales por ventas y servicios.
¿Qué son los derechos ARCO y en cuánto tiempo debo responder?
ARCO corresponde a Acceso, Rectificación, Supresión (Cancelación) y Oposición, a los que se suman Portabilidad y Bloqueo. La empresa responsable del tratamiento tiene un plazo de 30 días corridos para pronunciarse y responder por escrito a la solicitud de un titular.
¿Es obligatorio notificar una brecha de seguridad de datos?
Sí. Cuando ocurre una vulneración que afecta datos personales —brecha, acceso no autorizado, pérdida o destrucción— la empresa debe notificar a la Agencia de Protección de Datos dentro de un plazo breve desde que toma conocimiento del incidente, y si el riesgo para los titulares es alto, también debe avisarles directamente a ellos.
¿Un checkbox genérico en mi sitio web es suficiente como consentimiento?
No. El consentimiento debe ser libre, informado, específico e inequívoco, y manifestado de forma previa mediante una declaración clara o un acto afirmativo. Esto implica pedir autorización por separado para cada finalidad de uso de los datos, no un único checkbox que cubra «todo».
¿Qué es la Agencia de Protección de Datos Personales (APDP)?
Es la nueva autoridad fiscalizadora creada por la Ley 21.719, con facultades para investigar de oficio, sancionar, ordenar suspensiones de tratamiento de datos y administrar un Registro Nacional de Sanciones. Reemplaza el vacío institucional que existía bajo la antigua Ley 19.628.
Mi empresa es B2B, ¿por qué me afecta si no trato datos de consumidores finales?
Porque detrás de cada RUT de empresa hay personas naturales identificables: el nombre de un representante legal, el correo corporativo de un ejecutivo o el teléfono de un contacto comercial ya son datos personales protegidos por la ley. El modelo B2B no exime del cumplimiento.
¿Necesitas ordenar tu Registro de Actividades de Tratamiento antes de diciembre de 2026? Conoce cómo CumpliAI automatiza tu cumplimiento con la Ley 21.719.
HABLEMOS
Cuéntanos tu desafío
¿Necesitas software a medida, soluciones con IA o consultoría en transformación digital?Un especialista te responde en menos de 24 horas.
hola@twgroup.cl
Teléfono
+56 9 7539 3038
Dirección
Edificio Reitz ll, Limache 3421, of. 703. Viña del Mar.
