Leyes de Privacidad de Datos de Chile: la Reforma de la Ley 21.719, la Nueva Agencia y la Entrada en Vigencia en Diciembre de 2026

Chile regula los datos personales mediante la Ley 21.719, una reforma integral sancionada en agosto de 2024 que reescribe y renombra la Ley 19.628 en lugar de derogarla. La nueva ley crea una autoridad de control específica, derechos alineados con el GDPR y sanciones de hasta 20.000 UTM, con plena vigencia a partir del 1 de diciembre de 2026.

Respuesta Rápida: La Transición de la Protección de Datos en Chile

Chile atraviesa la mitad de un cambio fundamental en la forma en que se regulan los datos personales. Durante casi 25 años, el país operó bajo la Ley 19.628 (1999), la primera ley integral de protección de datos de América Latina. Esa ley no contaba con una autoridad de protección de datos, ni con un marco para las transferencias internacionales, y sus mecanismos de aplicación eran mínimos, lo que dejaba a las personas mayormente dependientes de la litigación privada para hacer valer sus derechos.

La Ley 21.719, sancionada en agosto de 2024 y publicada en el Diario Oficial el 13 de diciembre de 2024, cambia todo esto. Técnicamente es una ley modificatoria. Su primer artículo permanente introduce modificaciones en la Ley 19.628 y renombra esa ley como Ley sobre Protección de los Datos Personales, de modo que a partir del 1 de diciembre de 2026 el texto operativo es la Ley 19.628 consolidada y los números de artículo citados a lo largo de esta guía corresponden a esa ley consolidada. La reescritura se inspira fuertemente en el Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Crea una nueva autoridad de control, amplía los derechos de los titulares de datos, introduce múltiples bases legales para el tratamiento, establece reglas para las transferencias transfronterizas e impone sanciones significativas.

La plena vigencia comienza el 1 de diciembre de 2026. Las organizaciones que traten datos personales de residentes chilenos, ya sea que estén ubicadas dentro o fuera de Chile, deberían estar preparándose activamente desde ahora.

Ley 19.628: El Fundamento (1999)

La ley original de protección de datos de Chile, la Ley 19.628 sobre Protección de la Vida Privada, entró en vigencia en agosto de 1999. En su momento, fue una norma pionera en América Latina y contribuyó a instalar el concepto de protección de datos personales en toda la región.

Sin embargo, con el tiempo las limitaciones de la ley se volvieron imposibles de ignorar. La brecha más evidente era la ausencia de una autoridad de control. No existía un organismo gubernamental dedicado con facultades para investigar denuncias, emitir lineamientos o imponer multas. La aplicación de la ley dependía casi por completo de que las personas iniciaran acciones civiles ante los tribunales, una vía costosa y poco práctica para la mayoría de los titulares de datos.

Otras deficiencias incluían un conjunto reducido de bases legales para el tratamiento (el consentimiento predominaba, con alternativas limitadas), la ausencia de disposiciones sobre transferencias internacionales de datos, la falta de un derecho a la portabilidad, y sanciones tan bajas que resultaban económicamente irrelevantes. Los esfuerzos legislativos para modernizar la ley comenzaron ya en 2017, pero el proceso se extendió durante ocho años hasta que el Congreso finalmente aprobó la reforma en agosto de 2024.

Derecho Fundamental Constitucional: El Artículo 19 N.° 4

La protección de datos en Chile goza de un estatus constitucional explícito. El artículo 19 N.° 4 de la Constitución Política de la República de Chile garantiza el derecho al respeto y protección de la vida privada y a la honra de la persona y su familia.

Una reforma constitucional sancionada en 2018 fortaleció este fundamento al agregar una garantía expresa de que el tratamiento y la protección de los datos personales se realizarán en la forma y condiciones que determine la ley. Esta reforma elevó la protección de datos al mismo nivel que los demás derechos fundamentales protegidos por el artículo 19, otorgándole un peso constitucional que limita tanto al Estado como a los actores privados.

Este fundamento constitucional es más que simbólico. Significa que los cuestionamientos a las prácticas de tratamiento de datos pueden plantearse ante los tribunales constitucionales, y que cualquier medida legislativa o regulatoria que restrinja los derechos de protección de datos debe satisfacer un estándar de justificación reforzado.

Ley 21.719: La Reforma en Detalle

Sanción y Cronograma

El Congreso de Chile aprobó la Ley 21.719 el 26 de agosto de 2024, poniendo fin a ocho años de debate legislativo. El Presidente promulgó la ley, que fue publicada en el Diario Oficial el 13 de diciembre de 2024.

La ley no entra en vigencia de inmediato. Prevé un período de transición de 24 meses, contado desde la fecha de publicación, que otorga a las organizaciones tiempo para adaptarse y al gobierno tiempo para constituir la nueva agencia regulatoria. La plena vigencia comienza el 1 de diciembre de 2026.

Durante la transición, la Ley 19.628 vigente continúa siendo la norma operativa. La nueva agencia se encuentra en proceso de constitución, y el Ministerio de Economía ha comenzado a dictar instrumentos de implementación, incluidas las Cláusulas Contractuales Tipo para las transferencias internacionales de datos.

Ámbito de Aplicación y Alcance Territorial

La ley se aplica al tratamiento de datos personales por parte de cualquier persona natural o jurídica, incluidos los organismos públicos, sea el tratamiento automatizado o no. El artículo 1 somete a la ley todo tratamiento de esa naturaleza, y el artículo 2 letra o) define el tratamiento como cualquier operación, conjunto de operaciones o procedimiento técnico, automatizado o no, que permita recolectar, procesar, almacenar, comunicar, transmitir o utilizar datos personales.

Chile no incorporó la condición del GDPR de que los datos formen parte de un sistema de archivo, por lo que el tratamiento no automatizado y no estructurado también queda dentro de la ley.

La Ley 21.719 tiene alcance extraterritorial. Se aplica a los responsables y encargados del tratamiento ubicados fuera de Chile cuando ofrecen bienes o servicios a titulares de datos en Chile, o cuando monitorean el comportamiento de personas en territorio chileno. Esta extensión territorial al estilo del GDPR implica que las empresas extranjeras que atienden a clientes chilenos no pueden eludir la ley por el simple hecho de no tener presencia física en el país.

El artículo 1 excluye solo dos cosas: el tratamiento realizado en el ejercicio de las libertades de emitir opinión y de informar reguladas por las leyes a que se refiere el artículo 19 N.° 12 de la Constitución, y el tratamiento que realizan las personas naturales en el marco de sus actividades personales. La excepción para los medios es estrecha. Cuando una organización de medios trata datos con cualquier finalidad distinta de opinar e informar, la ley se le aplica en su totalidad.

La seguridad nacional no es una exclusión. El artículo 24 somete a un régimen especial el tratamiento de datos sensibles que realizan los organismos públicos competentes para la persecución penal, la seguridad nacional, la defensa y la política exterior, las emergencias declaradas, y las materias amparadas por el secreto legal. Esos organismos siguen obligados por los principios del artículo 3 y por el artículo 19 N.° 4 de la Constitución, y la Agencia puede dictar instrucciones sobre cómo se aplican esas garantías a ellos.

Los Ocho Principios de Protección de Datos

La Ley 21.719 introduce ocho principios explícitos de protección de datos que rigen todas las operaciones de tratamiento:

Licitud y lealtad: los datos deben tratarse sobre una base legal legítima y de manera justa para los titulares.

Limitación de la finalidad: los datos solo pueden recopilarse para fines determinados, explícitos y legítimos, y no pueden tratarse de manera incompatible con esos fines.

Proporcionalidad: solo pueden recopilarse y tratarse los datos que sean adecuados, pertinentes y limitados a lo necesario para la finalidad declarada.

Calidad de los datos: los datos personales deben ser exactos, completos y mantenerse actualizados. Los responsables deben adoptar medidas razonables para garantizar que los datos inexactos sean suprimidos o rectificados.

Seguridad: los responsables deben implementar medidas técnicas y organizativas adecuadas para proteger los datos frente al acceso, alteración, pérdida o destrucción no autorizados, teniendo en cuenta el estado de la técnica, los costos y la naturaleza de los datos.

Transparencia e información: los titulares deben ser informados con claridad sobre la identidad del responsable, las finalidades del tratamiento, los destinatarios de los datos y los derechos que les asisten.

Confidencialidad: las personas que traten los datos deben mantenerlos confidenciales y no pueden utilizarlos para fines no autorizados.

Responsabilidad proactiva: los responsables deben poder demostrar el cumplimiento de la ley y estar en condiciones de documentar y justificar sus prácticas de tratamiento de datos.

Bases Legales para el Tratamiento

Uno de los cambios más trascendentes de la Ley 21.719 es el paso de un modelo centrado en el consentimiento a un marco de bases múltiples, similar al enfoque del GDPR. Las bases legales reconocidas son:

• Consentimiento del titular (libre, específico, informado e inequívoco)
• Ejecución de un contrato o medidas precontractuales a solicitud del titular
• Obligación legal impuesta al responsable
• Obligaciones económicas, financieras, bancarias o comerciales a favor o a cargo del titular
• Interés legítimo del responsable o de terceros, siempre que ese interés no sea desplazado por los derechos del titular
• Procedimientos judiciales o el ejercicio, establecimiento o defensa de reclamos legales

El consentimiento para los datos sensibles requiere un acto afirmativo explícito. Los responsables tienen la carga de probar que se obtuvo un consentimiento válido y deben facilitar la revocación en la misma medida en que se facilita su otorgamiento.

Categorías de Datos Sensibles

El artículo 2 letra g) designa una categoría de protección reforzada para los datos sensibles, que abarca los datos que revelan:

• Origen étnico o racial
• Afiliación política, sindical o gremial
• Situación socioeconómica
• Convicciones ideológicas o filosóficas
• Creencias religiosas
• Datos de salud
• Perfil biológico humano
• Datos biométricos
• Vida sexual, orientación sexual e identidad de género

La situación socioeconómica es la categoría chilena sin equivalente en el GDPR, y arrastra un gran volumen de tratamiento comercial, crediticio y de marketing corriente hacia el régimen de datos sensibles. Debe leerse junto con el artículo 13 letra a), que permite el tratamiento de datos sobre obligaciones económicas, financieras, bancarias o comerciales, incluidos los datos sobre la situación socioeconómica del titular, cuando el tratamiento se ajuste a las reglas del Título III.

El tratamiento de datos sensibles requiere, como regla general, el consentimiento explícito. Existen excepciones para los datos que el titular haya hecho públicos voluntariamente, las organizaciones sin fines de lucro que persigan intereses legítimos respecto de sus miembros, los intereses vitales (vida y salud), los procedimientos judiciales, y el tratamiento exigido por ley.

Derechos de los Titulares (Marco ARCO+)

La reforma conserva y amplía de manera significativa los derechos ARCO tradicionales (acceso, rectificación, cancelación/supresión y oposición) y agrega nuevos derechos alineados con el GDPR. Conforme a la Ley 21.719, los titulares de datos cuentan con:

Derecho de acceso: confirmar si se están tratando sus datos personales y obtener una copia, incluida información sobre la fuente de los datos, los destinatarios, la finalidad y el plazo de conservación.

Derecho de rectificación: solicitar la corrección de datos inexactos, desactualizados o incompletos. El responsable debe actuar dentro de un plazo determinado y notificar a los terceros a quienes se hubieran comunicado los datos.

Derecho de supresión: solicitar la eliminación de los datos cuando se haya cumplido la finalidad original, se haya revocado el consentimiento, el tratamiento sea ilícito, o una obligación legal exija su eliminación.

Derecho de oposición: oponerse al tratamiento en los tres casos que enumera el artículo 8: cuando la base legal es el interés legítimo del responsable, cuando el tratamiento tiene como finalidad exclusiva el marketing directo, incluida la elaboración de perfiles, y cuando los datos provienen de una fuente de acceso público y no existe otra base legal. El artículo 11 letra d) exige que la solicitud indique el fundamento invocado y, cuando ese fundamento es el interés legítimo, el titular debe justificar brevemente su solicitud y el responsable puede continuar el tratamiento si acredita motivos legítimos imperiosos que prevalezcan. La oposición no procede frente a la investigación científica, histórica o estadística necesaria para el cumplimiento de una función pública o de una actividad de interés público.

Derecho de bloqueo: obtener la suspensión temporal del tratamiento mientras se encuentra pendiente una solicitud de rectificación, supresión u oposición y, en los casos de supresión del artículo 7, como alternativa a la supresión misma (artículo 8 ter). Es el equivalente chileno del derecho a la limitación del tratamiento del GDPR, y no un derecho que el GDPR no contemple. Conforme al artículo 11, el responsable debe responder una solicitud de bloqueo dentro de dos días hábiles y no puede tratar los datos mientras tanto.

Derecho a la portabilidad de los datos: recibir los datos personales en un formato electrónico, estructurado, genérico y de uso común que permita su transferencia a otro responsable. El artículo 9 fija dos condiciones que deben cumplirse de manera conjunta: que el tratamiento se realice por medios automatizados y que se base en el consentimiento del titular. A diferencia del GDPR, en Chile el tratamiento basado en un contrato no habilita la portabilidad.

Derecho a no ser objeto de decisiones automatizadas: oponerse a decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o similarmente significativos.

Los responsables deben responder a las solicitudes de los titulares dentro de los plazos establecidos, y el incumplimiento constituye una infracción sancionable.

Reglas para los Datos de Niños, Niñas y Adolescentes

La Ley 21.719 crea un marco de tres niveles para el tratamiento de datos personales de menores de edad, distinguiendo según la edad:

• Menores de 14 años: se requiere el consentimiento de los padres o tutores para todo tratamiento de datos personales.
• Entre 14 y 15 años: se requiere el consentimiento de los padres o tutores específicamente para el tratamiento de datos sensibles; los datos personales generales pueden tratarse sobre la base de otras bases legales.
• 16 años y más: se aplican las reglas generales de la ley previstas para los adultos.

Este enfoque gradual refleja el reconocimiento de que los adolescentes desarrollan progresivamente su capacidad para tomar decisiones informadas, al tiempo que garantiza una protección reforzada para los titulares de datos más jóvenes.

Evaluaciones de Impacto en la Protección de Datos

Los responsables que realicen actividades de tratamiento que puedan suponer un alto riesgo para los derechos y libertades de los titulares deben efectuar una Evaluación de Impacto en la Protección de Datos (EIPD) antes de iniciar la actividad. El criterio general atiende a la naturaleza, el alcance, el contexto, la tecnología utilizada y las finalidades del tratamiento. Por separado, el artículo 15 ter exige siempre una evaluación en cuatro casos: la evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, incluida la elaboración de perfiles, que produzca efectos jurídicos significativos; el tratamiento masivo o a gran escala de datos de cualquier tipo, no solo de datos sensibles; el tratamiento que implique la observación o el monitoreo sistemático de una zona de acceso público; y el tratamiento de datos sensibles y de datos con protección especial al amparo de las excepciones al consentimiento.

La EIPD debe evaluar la necesidad y proporcionalidad del tratamiento, los riesgos para los titulares y las medidas previstas para abordar esos riesgos. Cuando la evaluación muestre que el tratamiento es de alto riesgo, el responsable puede consultar a la Agencia para obtener recomendaciones (artículo 15 ter, inciso final). La ley chilena no impone una consulta previa obligatoria ni prohíbe continuar sin ella, a diferencia del GDPR.

Protección de Datos desde el Diseño y por Defecto

Los responsables deben implementar medidas técnicas y organizativas tanto en el momento de diseñar los sistemas de tratamiento como en el momento del tratamiento efectivo, garantizando que los principios de protección de datos queden incorporados por defecto. Esto significa que, por defecto, solo se traten los datos personales necesarios para cada finalidad específica, minimizando el volumen de datos recopilados, el alcance del tratamiento, el plazo de conservación y el acceso a ellos.

Divulgaciones de Transparencia y el Registro de Brechas

Chile no incorporó un registro de actividades de tratamiento al estilo del GDPR. En su lugar se aplican dos deberes de documentación.

El artículo 14 ter exige al responsable mantener un conjunto definido de información permanentemente disponible al público en su sitio web o en un canal equivalente. Ese conjunto incluye la política de tratamiento de datos con su fecha y versión, la identidad del responsable y de su representante legal, el canal de contacto para las solicitudes de los titulares, las categorías de datos tratados, los destinatarios, las finalidades y la base legal de cada operación de tratamiento, las medidas de seguridad adoptadas, los derechos disponibles y la vía para reclamar ante la Agencia, toda transferencia a un tercer país y si ese país ofrece un nivel adecuado de protección, los plazos de conservación, la fuente de los datos, el derecho a revocar el consentimiento, y la existencia de decisiones automatizadas con información significativa sobre la lógica aplicada.

El artículo 14 sexies exige un registro interno separado de las comunicaciones de brechas de seguridad, que consigne la naturaleza de cada brecha, sus efectos, las categorías de datos y el número aproximado de titulares afectados, y las medidas adoptadas.

La Agencia de Protección de Datos Personales

Estructura y Supervisión

El artículo 30 crea la Agencia de Protección de Datos Personales (APDP) como una corporación autónoma de derecho público, de carácter técnico y descentralizada, con personalidad jurídica y patrimonio propios. No es independiente del Poder Ejecutivo. El mismo artículo dispone que la agencia se relaciona con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo, y que sus consejeros son propuestos por el Presidente y ratificados por el Senado, de modo que el Poder Legislativo también interviene estructuralmente.

La agencia está dirigida por un Consejo Directivo integrado por tres consejeros. El Presidente de la República propone a los candidatos, quienes deben ser ratificados por dos tercios del Senado antes de asumir el cargo. Los tres nominados (Joselyn Biermann, Roberto Godoy y Matías Larraguibel) fueron propuestos por el Ejecutivo para mandatos de 6, 4 y 2 años, respectivamente.

El 20 de mayo de 2026 la Sala del Senado rechazó esa propuesta. La nominación no alcanzó el quórum de dos tercios exigido para la ratificación, por lo que la Sala desestimó el mensaje presidencial. Al mes de septiembre de 2026, la agencia sigue sin Consejo Directivo.

El plazo legal ya venció. El artículo cuarto transitorio de la Ley 21.719, modificado por el artículo 54 de la Ley 21.806 (Diario Oficial del 5 de febrero de 2026), exige que la primera designación de los consejeros se realice seis meses antes de la entrada en vigencia de la ley, es decir, a más tardar el 1 de junio de 2026. La propuesta presidencial debe formularse en un solo acto dentro de la ventana que va de 80 a 60 días antes de ese plazo y, si el Senado no se pronuncia dentro del plazo, la propuesta se entiende aceptada sin más trámite. Los consejeros se consideran designados desde el acuerdo del Senado o desde el vencimiento de ese plazo. Mientras la ley no entre en vigencia, el Consejo solo puede ejercer las funciones de las letras a), b), g) y h) del artículo 30 bis y las del artículo 30 ter, y toda instrucción general que dicte obliga únicamente una vez que la ley entre en vigencia. Los integrantes de la comisión asesora ministerial de la SEGPRES creada por el decreto N.° 12 de 2025 no pueden integrar el primer Consejo.

Facultades de la Agencia

Una vez que esté operativa, la agencia contará con amplias facultades regulatorias, de investigación y de sanción:

• Regulatorias: dictar instrucciones vinculantes, aprobar códigos de conducta y mecanismos de certificación, publicar determinaciones de adecuación a efectos de las transferencias internacionales, y elaborar reglamentos de implementación.
• De investigación: recibir y tramitar denuncias de los titulares de datos, iniciar investigaciones de oficio, realizar auditorías e inspecciones a responsables y encargados del tratamiento, y exigir la presentación de información y documentos.
• De sanción: emitir advertencias, amonestaciones y órdenes de cese; imponer multas administrativas; ordenar la rectificación, supresión o bloqueo de datos; y ordenar la suspensión temporal de las actividades de tratamiento por hasta 24 meses, renovable (art. 38); no tiene facultad de suspensión permanente.
• De cooperación internacional: trabajar con autoridades extranjeras de protección de datos, facilitar la tramitación de denuncias transfronterizas y celebrar acuerdos de cooperación.

La agencia también mantiene el Registro Nacional de Sanciones y Cumplimiento, donde las sanciones quedan registradas durante cinco años. Este registro público genera consecuencias reputacionales para los infractores reincidentes, más allá de las sanciones económicas.

Revisión Judicial

Las sanciones impuestas por la agencia están sujetas a revisión judicial ante las Cortes de Apelaciones, lo que ofrece una garantía procesal para las partes afectadas.

Notificación de Brechas de Seguridad

Obligaciones de Notificación

Cuando ocurre un incidente de seguridad que afecta datos personales, la Ley 21.719 impone una obligación de notificación con dos vías.

En primer lugar, el responsable debe notificar a la Agencia de Protección de Datos Personales por el medio más expedito posible y sin dilaciones indebidas cuando el incidente genere un riesgo razonable para los derechos y libertades de los titulares.

En segundo lugar, el responsable también debe notificar directamente a los titulares afectados cuando la brecha involucre datos sensibles, datos de menores de 14 años, o datos relativos a obligaciones económicas, financieras, bancarias o comerciales. El artículo 14 sexies no somete ese segundo deber a un umbral separado de alto riesgo. La notificación debe emplear un lenguaje sencillo e identificar los datos afectados, las posibles consecuencias y las medidas correctivas adoptadas, y debe llegar a cada persona afectada de manera individual o, si la notificación individual resulta imposible, mediante publicación en un medio masivo de alcance nacional.

A diferencia de la regla de 72 horas del GDPR, la ley no establece un número fijo de horas dentro del cual deba producirse la notificación. Se espera que la agencia emita lineamientos específicos sobre los plazos aceptables durante el período de transición.

Coordinación con la Ley de Ciberseguridad

Las obligaciones de notificación de brechas de la Ley 21.719 operan junto con la Ley Marco de Ciberseguridad de Chile, Ley 21.663, que entró en plena vigencia en enero de 2025. La Ley 21.663 exige a los operadores de servicios esenciales e infraestructura de información crítica reportar incidentes de ciberseguridad significativos a la Agencia Nacional de Ciberseguridad (ANCI) a partir de marzo de 2025. Por lo tanto, las organizaciones de sectores como energía, salud y servicios financieros pueden enfrentar obligaciones paralelas de notificación de brechas, tanto ante la APDP como ante la ANCI.

Transferencias Internacionales de Datos

El Régimen Anterior

Bajo la Ley 19.628, no existían disposiciones que regularan las transferencias transfronterizas de datos personales. Las organizaciones transferían datos a nivel internacional sin un marco legal que abordara la adecuación o las garantías, lo que generaba una incertidumbre significativa.

El Nuevo Marco

La Ley 21.719 introduce un marco escalonado para las transferencias internacionales, inspirado en el modelo del GDPR.

Adecuación: las transferencias están permitidas libremente hacia países u organizaciones internacionales que la agencia determine que ofrecen un nivel adecuado de protección de datos personales. La agencia publicará y mantendrá una lista de jurisdicciones adecuadas.

Garantías adecuadas: en ausencia de una determinación de adecuación, las transferencias pueden realizarse cuando el responsable implemente garantías adecuadas, entre ellas:

• Cláusulas Contractuales Tipo aprobadas o emitidas por la agencia (el Ministerio de Economía emitió las Cláusulas Contractuales Tipo iniciales durante el período de transición)
• Normas corporativas vinculantes para las transferencias dentro de grupos multinacionales
• Mecanismos de certificación o programas de cumplimiento aprobados por la agencia

Excepciones: el artículo 27 permite una transferencia sin decisión de adecuación y sin garantías adecuadas solo cuando la transferencia es específica y no habitual, de modo que estos fundamentos no pueden sostener flujos rutinarios o recurrentes. Los fundamentos enumerados son el consentimiento expreso del titular para una transferencia específica y determinada; las transferencias bancarias, financieras o bursátiles específicas realizadas conforme a las leyes que las rigen; las obligaciones derivadas de tratados internacionales ratificados por Chile y vigentes; los acuerdos de cooperación, intercambio de información o supervisión suscritos por organismos públicos para el ejercicio de sus funciones; las transferencias expresamente autorizadas por ley para una finalidad determinada; la cooperación judicial internacional; la celebración o ejecución de un contrato entre el titular y el responsable, o las medidas precontractuales adoptadas a solicitud del titular; y las medidas médicas o sanitarias de urgencia. La ley chilena no contempla una excepción por razones de interés público como la del artículo 49 del GDPR.

Sanciones Según la Ley 21.719

Clasificación de las Infracciones

La Ley 21.719 establece una clasificación de infracciones en tres niveles, cada uno con sanciones graduadas. La UTM es una unidad indexada mensual que fija el Servicio de Impuestos Internos, por lo que las conversiones siguientes son una fotografía del momento: utilizan el valor de septiembre de 2026 de 1 UTM = CLP 71.721 y un tipo de cambio observado de cerca de CLP 927 por dólar estadounidense.

Infracciones leves: una amonestación escrita o una multa de hasta 5.000 UTM (cerca de CLP 359 millones, aproximadamente USD 387.000). Las infracciones leves incluyen incumplimientos técnicos, como avisos de privacidad incompletos.

Infracciones graves: multas de hasta 10.000 UTM (cerca de CLP 717 millones, aproximadamente USD 774.000). Las infracciones graves incluyen el incumplimiento de las solicitudes de derechos de los titulares, medidas de seguridad inadecuadas, y el tratamiento sin una base legal válida.

Infracciones gravísimas: multas de hasta 20.000 UTM (cerca de CLP 1.430 millones, aproximadamente USD 1,55 millones). Las infracciones gravísimas incluyen el tratamiento a gran escala de datos sensibles sin consentimiento, fallas de seguridad graves que deriven en brechas, e incumplimientos reiterados de las órdenes de la agencia.

Sanciones Agravadas para Infractores Reincidentes

La reincidencia se configura cuando el responsable ha sido sancionado en dos o más ocasiones dentro de los últimos 30 meses por infringir esta ley (artículo 36 letra a). Cuando se configura, el artículo 35 permite a la Agencia imponer una multa de hasta el triple del monto asignado a la infracción cometida. Ese multiplicador, por sí solo, eleva el tope a 30.000 UTM para una infracción grave reiterada y a 60.000 UTM para una gravísima reiterada.

Un segundo supuesto se aplica al responsable que no sea micro, pequeña o mediana empresa según la definición del artículo segundo de la Ley 20.416. Cuando una empresa de ese tipo reincide, la multa puede alcanzar el monto mayor entre ese triple y:

• Infracciones graves reiteradas: el 2% de los ingresos anuales por ventas, servicios y otras actividades del giro en el último año calendario
• Infracciones gravísimas reiteradas: el 4% de los ingresos anuales por ventas, servicios y otras actividades del giro en el último año calendario

Hay dos puntos fáciles de confundir. La comparación se hace contra el monto triplicado, no contra el tope base de 20.000 UTM. Y como la Ley 20.416 define en conjunto a las micro, pequeñas y medianas empresas, las empresas medianas también quedan fuera del supuesto basado en los ingresos.

Sanciones Adicionales

Además de las sanciones económicas, la agencia puede emitir advertencias formales y amonestaciones públicas (registradas en el Registro Nacional), ordenar el cese del tratamiento ilícito, exigir la supresión o corrección de los datos tratados ilícitamente, y suspender las actividades de tratamiento por hasta 30 días cuando haya impuesto multas por infracciones gravísimas reiteradas dentro de un período de 24 meses. Ese plazo de 24 meses no es el mismo que la ventana de 30 meses de reincidencia que activa el multiplicador de la multa. La suspensión no alcanza a los datos que el responsable ya tiene almacenados, puede ser parcial o total, no puede ordenarse cuando perjudicaría a los titulares, y puede renovarse indefinidamente en períodos sucesivos de hasta 30 días si el responsable no cumple la orden de suspensión.

Las entidades del sector público están sujetas a los mismos estándares sustantivos, aunque los mecanismos de sanción consideran su naturaleza pública.

Delegados de Protección de Datos

La Ley 21.719 no crea un DPO obligatorio para nadie. El artículo 50 dispone que el responsable de datos podrá designar un delegado de protección de datos personales, y el artículo 49 establece que el modelo de prevención de infracciones en el que se inserta ese cargo es expresamente voluntario. Chile no incorporó el criterio de tratamiento a gran escala del artículo 37 del GDPR, por lo que no existe un umbral a partir del cual la designación se vuelva obligatoria.

El incentivo es una rebaja de la sanción, no un deber. El delegado es el primer elemento exigido del modelo voluntario de prevención de infracciones, y contar con el certificado emitido conforme al artículo 51 es una circunstancia atenuante legal del artículo 36 numeral 5 que la Agencia pondera al fijar una multa.

Los organismos públicos tampoco están obligados a designar uno. El artículo quinto transitorio de la Ley 21.719 se limita a señalar que el organismo público que establezca un delegado debe proveer el cargo con un funcionario ya perteneciente a su dotación, lo que presupone la opción.

Cuando se designe un DPO, la persona debe poseer conocimientos especializados en derecho y práctica de protección de datos, actuar con independencia y sin conflictos de interés, contar con recursos suficientes y el respaldo de la alta dirección, y servir como principal punto de contacto ante la Agencia y ante los titulares que ejerzan sus derechos.

Las micro, pequeñas y medianas empresas pueden cumplir la función de DPO a través de sus propietarios o de la alta dirección, en lugar de a través de un puesto dedicado.

Período de Transición y Cronograma de Implementación

Fechas Clave

Qué Ocurre Durante la Transición

Durante la ventana de 24 meses, se están desarrollando varios procesos en paralelo.

La agencia no ha sido constituida. El gobierno propuso tres candidatos para el Consejo Directivo y el Senado los rechazó el 20 de mayo de 2026. Desde que la Ley 21.806 modificó el calendario, la ley exigía que la primera designación se realizara seis meses antes de la entrada en vigencia, es decir, a más tardar el 1 de junio de 2026, de modo que ese plazo venció sin que hubiera consejo en funciones.

La Ley 19.628 continúa siendo la ley operativa. Las denuncias y la aplicación de la ley durante el período de transición continúan bajo el marco existente, con sus mecanismos de aplicación limitados.

El Ministerio de Economía y otros organismos gubernamentales están desarrollando instrumentos de implementación. Las Cláusulas Contractuales Tipo para las transferencias internacionales se emitieron durante 2025. Una vez constituida, la agencia dictará instrucciones vinculantes, determinaciones de adecuación, lineamientos sobre las EIPD y otros materiales regulatorios.

Novedades Recientes (2025 a 2026)

Diciembre de 2024: se publica la Ley 21.719 en el Diario Oficial, dando inicio a la cuenta regresiva de 24 meses hacia su plena vigencia.

2025: el Ministerio de Economía emite las Cláusulas Contractuales Tipo para las transferencias internacionales de datos, brindando a las organizaciones una herramienta temprana de cumplimiento para las transferencias transfronterizas.

Enero de 2025: entra en plena vigencia la Ley Marco de Ciberseguridad de Chile, Ley 21.663. A partir de marzo de 2025, los operadores de servicios esenciales deben reportar incidentes de ciberseguridad significativos a la ANCI, creando un régimen de notificación paralelo que se cruza con las obligaciones de notificación de brechas de la Ley 21.719.

Febrero de 2026: el cambio del calendario de designación viaja en el proyecto general de reajuste del sector público ingresado en la Cámara de Diputados el 6 de enero de 2026 (Boletín 18.036-05), cuyos artículos 54 y 55 lo contienen. Ese proyecto se convierte en la Ley 21.806, publicada en el Diario Oficial el 5 de febrero. El artículo 54 reescribe el artículo cuarto transitorio de la Ley 21.719 y traslada la primera designación del Consejo Directivo desde los 60 días previos a la entrada en vigencia hasta seis meses antes de ella, y agrega una regla según la cual la propuesta sobre la que el Senado no se pronuncie dentro de ese plazo se entiende aceptada.

Mayo de 2026: el 20 de mayo la Sala del Senado rechaza la propuesta presidencial de Joselyn Biermann, Roberto Godoy y Matías Larraguibel. La nominación no alcanzó el quórum de dos tercios exigido para la ratificación, por lo que la Sala desestimó el mensaje.

Junio de 2026: el 1 de junio vence el plazo legal para designar al primer Consejo Directivo sin que se haya nombrado a ningún consejero.

Septiembre de 2026: un proyecto de ley del Gobierno, Boletín 18.623-07, ingresa al Senado el 1 de septiembre como mensaje presidencial en primer trámite constitucional, con suma urgencia, y el Ministerio de Economía lo anuncia ese mismo día. Postergaría la entrada en vigencia de la Ley 21.719 del 1 de diciembre de 2026 al 1 de diciembre de 2027, aumentaría el Consejo Directivo de tres a cinco integrantes con un quórum de tres, y adelantaría el primer nombramiento. El proyecto está pendiente. Mientras no se promulgue, el 1 de diciembre de 2026 sigue siendo la fecha operativa.

Guía de Cumplimiento para las Empresas

Las organizaciones que traten datos personales de residentes chilenos deberían aprovechar los meses restantes antes de diciembre de 2026 para adoptar las siguientes medidas:

Mapeo de datos: identificar todas las categorías de datos personales recopilados y tratados, documentar las finalidades, las bases legales, los plazos de conservación y los flujos de datos, incluidas las transferencias a encargados y terceros.

Divulgaciones de transparencia: publicar y mantener actualizado en su sitio web el conjunto de información del artículo 14 ter, y llevar el registro interno de comunicaciones de brechas de seguridad que exige el artículo 14 sexies. Chile no contempla un registro de actividades de tratamiento al estilo del GDPR, de modo que un ROPA es aquí una herramienta interna útil, no una exigencia legal.

Revisión de las bases legales: auditar los mecanismos de consentimiento existentes e identificar bases legales alternativas cuando el tratamiento se sustente en fundamentos inadecuados. Actualizar los avisos de privacidad para reflejar todas las divulgaciones exigidas.

Procedimientos para los derechos de los titulares: implementar flujos operativos para responder a las solicitudes de acceso, rectificación, supresión, portabilidad, oposición y toma de decisiones automatizada dentro de los plazos exigidos.

Transferencias internacionales: revisar todos los flujos transfronterizos de datos. Cuando no existan determinaciones de adecuación, implementar Cláusulas Contractuales Tipo u otras garantías aprobadas.

Medidas de seguridad: evaluar las medidas técnicas y organizativas de seguridad conforme a los requisitos de la ley. Implementar un procedimiento de detección y notificación de brechas capaz de responder a los incidentes sin dilaciones indebidas.

Proceso de EIPD: identificar las actividades de tratamiento que requieran una EIPD y realizar las evaluaciones antes de diciembre de 2026. Cuando una evaluación arroje un alto riesgo, puede pedir recomendaciones a la agencia, pero no se exige una consulta previa.

Consideración del DPO: ninguna organización está obligada a designar un delegado de protección de datos. Evalúe si designar uno dentro de un modelo voluntario de prevención de infracciones compensa la atenuante que otorga el artículo 36 numeral 5.

Contratos con encargados: revisar y actualizar los contratos con los encargados del tratamiento para incluir cláusulas obligatorias sobre confidencialidad, seguridad, limitación de la finalidad y notificación de incidentes, a fin de cumplir con los plazos regulatorios.

Datos de menores: verificar que cualquier tratamiento de datos de usuarios menores de 16 años cumpla con los requisitos escalonados de consentimiento según la edad previstos en la ley.

Para obtener información sobre cómo regula Chile la grabación de audio y video, consulte Leyes de Grabación en Chile.

Este artículo tiene fines exclusivamente informativos y no constituye asesoramiento legal. Las leyes de protección de datos están sujetas a cambios; consulte a un abogado calificado para obtener asesoramiento específico sobre su situación.

Preguntas frecuentes

¿Cuándo entra en vigencia la nueva ley de protección de datos de Chile?

La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. El período de transición de 24 meses permite a las organizaciones prepararse y otorga al gobierno tiempo para constituir la Agencia de Protección de Datos Personales. Un proyecto de ley del Gobierno ingresado al Senado el 1 de septiembre de 2026 (Boletín 18.623-07) trasladaría esa fecha al 1 de diciembre de 2027, pero es un proyecto pendiente, de modo que el 1 de diciembre de 2026 sigue siendo la fecha operativa.

¿La Ley 21.719 deroga la Ley 19.628?

No. La Ley 21.719 modifica la Ley 19.628 (1999) desde dentro, reescribe casi la totalidad de su texto y la renombra como Ley sobre Protección de los Datos Personales. La Ley 19.628 en su versión de 1999 sigue siendo la ley vigente hasta el 1 de diciembre de 2026, fecha en que entra en vigencia el texto consolidado.

¿Chile cuenta con una autoridad de protección de datos?

Sí, conforme a la nueva ley. La Ley 21.719 crea la Agencia de Protección de Datos Personales como una corporación autónoma y descentralizada de derecho público que se relaciona con el Presidente a través del Ministerio de Economía, con facultades de investigación, regulación y sanción. Su Consejo Directivo de tres integrantes aún no está constituido: el Senado rechazó la propuesta presidencial el 20 de mayo de 2026 por falta del quórum de dos tercios, y el plazo legal del 1 de junio de 2026 venció sin que se designara consejo alguno.

¿Cuáles son las sanciones máximas por infringir la ley de protección de datos de Chile?

Las infracciones gravísimas conllevan multas de hasta 20.000 UTM, cerca de CLP 1.430 millones o aproximadamente USD 1,55 millones según valores de septiembre de 2026. En caso de reincidencia, la Agencia puede imponer hasta el triple del monto asignado a la infracción, lo que eleva el tope a 30.000 UTM para una infracción grave reiterada y a 60.000 UTM para una gravísima reiterada. Para una empresa que no sea micro, pequeña o mediana empresa según la Ley 20.416, el artículo 35 permite que la multa alcance el monto mayor entre ese triple y un porcentaje de los ingresos anuales por ventas, servicios y otras actividades del giro en el último año calendario: 2% para una infracción grave reiterada y 4% para una gravísima reiterada. Qué porcentaje se aplica lo determina la gravedad de la infracción, no cuál de las dos cifras sea mayor. Conforme al artículo 38, la agencia también puede suspender las actividades de tratamiento por hasta 30 días cuando haya impuesto multas por infracciones gravísimas reiteradas dentro de un período de 24 meses, y puede renovar esa suspensión en períodos sucesivos de hasta 30 días hasta que el responsable cumpla.

¿Se requiere un Delegado de Protección de Datos según la Ley 21.719?

No. El artículo 50 señala que el responsable de datos podrá designar un delegado de protección de datos personales, y el artículo 49 establece que el modelo de prevención de infracciones al que pertenece es expresamente voluntario. Tampoco existe una designación obligatoria para los organismos públicos, y Chile no adoptó el criterio de tratamiento a gran escala del GDPR. Designar uno dentro de un modelo de prevención certificado es una circunstancia atenuante del artículo 36 numeral 5 que puede reducir una multa.

¿Pueden transferirse datos personales fuera de Chile?

Sí, conforme al nuevo marco. Las transferencias están permitidas hacia países que la Agencia determine que ofrecen protección adecuada, o mediante garantías adecuadas como las Cláusulas Contractuales Tipo (emitidas por el Ministerio de Economía durante el período de transición) o normas corporativas vinculantes. El artículo 27 también permite una transferencia específica y no habitual sobre la base de una lista cerrada de fundamentos, entre ellos el consentimiento expreso del titular para esa transferencia, la necesidad contractual o precontractual, las obligaciones derivadas de tratados, la cooperación judicial internacional, y las medidas médicas o sanitarias de urgencia.

¿La protección de datos es un derecho constitucional en Chile?

Sí. El artículo 19 N.° 4 de la Constitución de Chile garantiza el derecho al respeto y protección de la vida privada. Una reforma de 2018 agregó una garantía constitucional expresa de que el tratamiento y la protección de los datos personales se realizarán en la forma y condiciones que determine la ley.

¿Qué derechos otorga la Ley 21.719 a los titulares de datos?

La ley otorga los derechos de acceso, rectificación, supresión, oposición, bloqueo (suspensión temporal del tratamiento), portabilidad de los datos, y el derecho a oponerse a la toma de decisiones automatizada y a la elaboración de perfiles. Dos límites importan en la práctica: la portabilidad solo procede cuando el tratamiento es automatizado y se basa en el consentimiento, y la oposición solo está disponible en los tres casos que enumera el artículo 8. Estos derechos amplían los tradicionales derechos ARCO (acceso, rectificación, cancelación y oposición) que existían bajo la Ley 19.628.

¿Cómo se protegen los datos de los menores según la nueva ley?

La ley crea un marco de tres niveles. El tratamiento de datos de menores de 14 años siempre requiere el consentimiento de los padres o tutores. Entre los 14 y los 15 años, se requiere el consentimiento parental para los datos sensibles, pero no para los datos personales generales. A partir de los 16 años, se aplican las reglas generales de la ley previstas para los adultos.

¿Cómo se relaciona la ley de protección de datos de Chile con su ley de ciberseguridad?

La Ley Marco de Ciberseguridad de Chile, Ley 21.663, entró en plena vigencia en enero de 2025 y exige a los operadores de servicios esenciales reportar incidentes de ciberseguridad significativos a la Agencia Nacional de Ciberseguridad (ANCI). Esa obligación de reporte se aplica desde marzo de 2025. Cuando la Ley 21.719 entre en vigencia en diciembre de 2026, los operadores de sectores esenciales podrían enfrentar obligaciones de notificación paralelas ante la APDP (en virtud de la ley de protección de datos) y ante la ANCI (en virtud de la ley de ciberseguridad).