Ley 21.719 de datos personales: qué tiene que hacer una pyme

Qué es la Ley 21.719

Se publicó en el Diario Oficial el 13 de diciembre de 2024. No es una ley aparte de la anterior: modifica la Ley 19.628 sobre protección de la vida privada. Su cambio más grande es que crea una agencia con poder para fiscalizar y sancionar.

Desde cuándo rige

Desde el 1 de diciembre de 2026. Lo fija el artículo primero transitorio de la ley y lo confirma el Decreto 662 de Hacienda, publicado el 9 de septiembre de 2026.

El boletín 18.623-07, que ingresó al Senado el 1 de septiembre de 2026, propone correr la fecha al 1 de diciembre de 2027. Al 20 de octubre de 2026 seguía en primer trámite. Si se aprueba, cambia la fecha, no lo que hay que hacer.

A quién aplica

A toda persona natural o jurídica que trate datos personales. Una pyme trata datos cuando guarda una planilla de clientes, la ficha de sus trabajadores, los currículos de postulantes, un CRM o las conversaciones de WhatsApp de ventas.

La ley no exime a nadie por tamaño, pero considera a las empresas de menor tamaño (las que vendieron hasta 100.000 UF el año anterior) en tres puntos. La Agencia fijará estándares distintos según el tamaño, no se les aplican las multas de hasta el 2% o 4% de los ingresos que arriesgan las empresas grandes que reinciden y, durante los primeros 12 meses, la Agencia puede amonestar por escrito en vez de multar.

Qué exige en la práctica

• Tener una base legal para cada uso de los datos, como el consentimiento o la ejecución de un contrato.
• Publicar una política de datos que diga quién es el responsable, qué datos trata, para qué, a quién los pasa, cuánto tiempo los guarda y cómo ejercer los derechos.
• Dar un canal para que las personas ejerzan sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
• Aplicar medidas de seguridad proporcionales al riesgo, como respaldos que se puedan restaurar y control de quién accede.
• Reportar a la Agencia las filtraciones con riesgo para las personas y llevar un registro de esas vulneraciones.
• Firmar contratos con los proveedores que tratan datos por cuenta de la empresa, como el software de gestión, la nube o el contador.
• Cuidar los envíos de datos fuera de Chile, que necesitan una de las bases que fija la ley.

Qué multas tiene

• Leves, como no informar bien o no tener un canal para solicitudes. Amonestación escrita o multa de hasta 5.000 UTM.
• Graves, como tratar datos sin base legal o no cumplir la seguridad. Multa de hasta 10.000 UTM.
• Gravísimas, como ocultar a propósito una filtración. Multa de hasta 20.000 UTM.

Para fijar el monto, la Agencia considera, entre otros criterios, la capacidad económica de la empresa.

Por dónde partir

Por una lista de los datos personales que tiene la empresa, de quién son, dónde están guardados y quién los ve. Con esa lista se escribe la política y se ve qué contratos y qué medidas de seguridad faltan.

En Synopta lo trabajamos entre el área legal y la de tecnología, porque la adecuación toca documentos y sistemas a la vez. Estamos armando un kit de adecuación para pymes con las políticas, los contratos y los protocolos que pide la ley.

Escribir sobre la Ley 21.719