Ley 21.719 de Protección de Datos Personales en Chile: guía completa para empresas

La Ley 21.719 de Protección de Datos Personales (también escrita Ley 21719) regula cómo las empresas chilenas recolectan, usan, transfieren y almacenan datos personales. Reemplaza a la derogada Ley 19.628, crea la Agencia de Protección de Datos Personales con potestad fiscalizadora y sancionadora, reconoce seis derechos del titular (ARSOPB) y exige notificar brechas de seguridad dentro de 72 horas. Contempla multas de hasta 20.000 UTM. Rige desde el 1 de diciembre de 2026.

Cumplir no es saber la ley. Es operarla todos los días.

Qué cambia respecto de la Ley 19.628

Aspecto	Ley 19.628 (derogada)	Ley 21.719
Derechos del titular	ARCOP: Acceso, Rectificación, Cancelación, Oposición, Portabilidad	ARSOPB: Acceso, Rectificación, Supresión, Oposición, Portabilidad, Bloqueo
Fiscalización	Sin agencia reguladora dedicada	Agencia de Protección de Datos Personales, con potestad fiscalizadora y sancionadora
Sanciones	Sin régimen de multas de aplicación efectiva	Multas de hasta 20.000 UTM en las infracciones más graves, con agravantes en caso de reincidencia
Notificación de brechas	Sin plazo legal expreso	Notificación obligatoria dentro de 72 horas desde la detección
Registro de tratamientos	No exigido formalmente	Registro de actividades de tratamiento (RAT), con bases de licitud y transferencias documentadas
Encargado de protección de datos (DPO)	No exigido	Exigido para ciertos responsables
Entrada en vigencia	Ya vigente, sin régimen sancionatorio pleno	1 de diciembre de 2026

Las cifras que debes conocer

Cifra	Qué significa
20.000 UTM	Multa máxima en las infracciones más graves (~US$1,4 millones). El monto exacto lo determina la Agencia caso a caso.
72 horas	Plazo para notificar una brecha de seguridad que afecta datos personales.
1 de diciembre de 2026	Fecha en que la ley entra en vigencia y la Agencia puede empezar a fiscalizar.

¿Sabes qué tan expuesta está tu empresa a estas cifras hoy?

Medir mi exposición a la Ley 21.719

Los roles: titular, responsable y encargado

Titular de los datos: la persona natural a quien pertenecen los datos personales tratados — un cliente, un trabajador, un paciente, un usuario.
Responsable del tratamiento: la organización que decide para qué y cómo se tratan los datos. Es quien responde ante la Agencia y ante los titulares.
Encargado del tratamiento: quien trata datos por cuenta del responsable —un proveedor, un servicio externo— bajo instrucciones y un acuerdo que documente esa relación.

Los derechos ARSOPB del titular

La ley reconoce seis derechos ARSOPB (Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo) que cualquier titular puede ejercer ante tu organización. Tu empresa necesita un canal para recibirlas, un proceso para verificarlas y responderlas, y evidencia de cada respuesta.

Ruta de adecuación en 30, 60 y 90 días

Días 1–30 — Diagnóstico y bases

Mide en qué nivel de cumplimiento está tu organización hoy, por área.
Define bases de licitud y arma el primer registro de actividades de tratamiento (RAT).
Designa quién responde por esto dentro de la organización.

Días 31–60 — Procesos

Habilita un canal y un proceso para responder derechos ARSOPB.
Define el proceso de gestión de incidentes y quién lo activa.
Revisa los consentimientos vigentes y su base legal.

Días 61–90 — Evidencia y sostenimiento

Deja evidencia auditable de cada proceso — no basta el documento, hay que poder probar la ejecución.
Revisa los contratos con proveedores que tratan datos por tu cuenta (encargados).
Programa una revisión periódica: esto no se cierra una vez, se opera todos los días.

Módulo relacionado en Suite Passus

Diagnóstico (Radar)

Mide el nivel de cumplimiento de tu organización frente a la Ley 21.719, por área.

Ver módulo

Preguntas frecuentes

¿Qué es la Ley 21.719 de Protección de Datos?

Es la Ley de Protección de Datos Personales de Chile. Regula cómo las organizaciones recolectan, usan, almacenan y comparten datos de personas naturales, y reemplaza a la derogada Ley 19.628.

¿Cuándo entra en vigencia la Ley 21.719 (o Ley 21719)?

La Ley 21.719 —también escrita Ley 21719— entra en vigencia el 1 de diciembre de 2026. Desde esa fecha, la Agencia de Protección de Datos Personales puede fiscalizar y sancionar a las organizaciones que incumplan.

¿Cuál es la multa máxima que contempla la Ley 21.719?

La multa máxima es de hasta 20.000 UTM, equivalente a aproximadamente US$1,4 millones, aplicable a las infracciones más graves. El monto exacto en cada caso lo determina la Agencia de Protección de Datos.

¿Qué evidencia debo guardar para demostrar cumplimiento?

Debes poder demostrar, no solo declarar: registro de tratamientos actualizado, respuestas a derechos ARSOPB dentro de plazo, gestión de incidentes documentada y consentimientos con su base legal. Un documento firmado una vez no basta.

¿Qué son los derechos ARSOPB?

ARSOPB son los seis derechos del titular de datos personales: Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo. Reemplazan a la antigua sigla ARCOP de la Ley 19.628, que no incluía el derecho de Bloqueo.

¿En qué se diferencia la Ley 21.719 de la antigua Ley 19.628?

La Ley 21.719 agrega una Agencia de Protección de Datos Personales con potestad fiscalizadora, un régimen de multas de hasta 20.000 UTM y nuevos derechos del titular (ARSOPB en vez de ARCOP). También exige notificar brechas de seguridad dentro de 72 horas, algo que la ley anterior no exigía con ese nivel de precisión.

¿Qué es el responsable del tratamiento de datos?

Es la organización que decide para qué y cómo se usan los datos personales que trata. Es quien responde ante la Agencia de Protección de Datos y ante los titulares por el cumplimiento de la ley.

¿Por dónde debería empezar mi empresa a adecuarse a la Ley 21.719?

Primero diagnostica en qué nivel de cumplimiento está tu organización hoy, por área. Desde ahí se prioriza: bases de licitud y registro de tratamientos, procesos de derechos ARSOPB y de incidentes, y evidencia de cada uno.