Durante 25 años, la protección de datos personales en Chile se rigió por una ley sin capacidad real de fiscalización. Eso termina el 1 de diciembre de 2026, cuando entra en plena vigencia la Ley 21.719, que crea la Agencia de Protección de Datos Personales y transforma por completo las reglas del juego para cualquier organización que trate datos de clientes, trabajadores oproveedores.
Faltan menos de cinco meses. Y la experiencia con otras normativas — RSA, ISO 9001, DS 44 enseña lo mismo: cuando el plazo se acorta, las empresas que no empezaron a tiempo terminan implementando bajo presión, con errores, o simplemente no llegan.
¿Qué cambia realmente?
La Ley 21.719 no es un ajuste cosmético a la antigua Ley 19.628. Es un marco nuevo, con una autoridad que tiene dientes:
- Se crea la Agencia de Protección de Datos Personales, con facultad para fiscalizar, requerir documentación, tomar declaraciones y aplicar sanciones.
- Las empresas deben mantener registros de actividades de tratamiento: qué datos tratan, con qué finalidad, por cuánto tiempo, con qué medidas de seguridad, y a quién se los ceden.
- Se reconocen explícitamente los derechos de acceso, rectificación, supresión, oposición y portabilidad de datos este último es nuevo y obliga a estructurar los datos de forma exportable.
- Se exige protección desde el diseño y por defecto: la seguridad no puede ser un parche posterior, tiene que estar incorporada desde que se diseña el proceso o el sistema.
- Las empresas pueden designar un delegado de protección de datos. En micro, pequeñas y medianas empresas, el propio dueño o su máxima autoridad puede asumir esa función directamente.
- Existe un Registro Nacional de Sanciones y Cumplimiento, y la Agencia certifica y supervisa los modelos de prevención de infracciones algo muy similar en lógica a un sistema de gestión certificable.
Lo que esto realmente resuelve y lo que expone
- Bases de datos de clientes o trabajadores sin base legal clara para su tratamiento
- Ausencia de un registro documentado de qué datos se tratan y con qué fin
- Contratos con proveedores que no contemplan cláusulas de tratamiento de datos
- Falta de un procedimiento para responder solicitudes de acceso, rectificación o eliminación de datos
- Ningún responsable designado si la Agencia pide explicaciones
Por qué esto se parece más a un sistema de gestión que a un trámite legal
Aquí está el punto que la mayoría de las empresas subestima: cumplir la Ley 21.719 no se resuelve con una política de privacidad publicada en el sitio web. Se resuelve con procesos documentados, evidencia operativa y un responsable designado exactamente la misma lógica que sostiene una certificación ISO 27001 o cualquier sistema de gestión bien implementado.
Las empresas que ya tienen cultura de sistemas de gestión controles documentados, roles definidos, mejora continua parten con ventaja. Las que no, tienen que construir esa cultura y cumplir la ley al mismo tiempo, con el reloj corriendo.
¿Tu empresa ya tiene un responsable designado y un registro de tratamiento de datos? ¿O todavía es una tarea pendiente en la lista?
En Profile Empresarial acompañamos a organizaciones en la preparación para la Ley 21.719 desde el diagnóstico inicial hasta la implementación de los controles y la documentación que la Agencia va a exigir.
Tu Certificación, Nuestro Compromiso.