Qué es la Ley 21.719 y por qué reemplaza a la Ley 19.628
Desde 1999, la protección de datos personales en Chile se regía por la Ley 19.628 sobre protección de la vida privada. Esa ley reconocía derechos —acceso, rectificación, cancelación y oposición, los llamados derechos ARCO— pero tenía un defecto estructural: no existía una autoridad administrativa que fiscalizara su cumplimiento. Si una empresa infringía la ley, la única vía era demandar directamente ante tribunales civiles, asumiendo el costo, el tiempo y la carga de la prueba de un juicio ordinario.
En 2018, la Ley 21.096 modificó el artículo 19 N°4 de la Constitución para elevar la protección de datos personales al catálogo de derechos fundamentales. La Ley 21.719 es la ley que finalmente desarrolla ese mandato: fue publicada en el Diario Oficial el 13 de diciembre de 2024, y tiene vigencia diferida al 1 de diciembre de 2026, un período de transición de dos años pensado para que empresas y organismos públicos se adapten.
El cambio central no es solo de contenido, sino de arquitectura institucional: se crea la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público con facultades para fiscalizar de oficio, investigar denuncias y sancionar directamente, sin que la persona afectada tenga que iniciar por sí sola un juicio para obtener una primera respuesta.
Los 8 principios que rigen el tratamiento de sus datos
El artículo 3° de la ley reformada establece un catálogo de principios que toda empresa u organismo que trate datos personales debe respetar. Conocerlos le permite identificar, en concreto, qué fue lo que una empresa hizo mal.
Licitud y lealtad
La empresa debe poder acreditar la licitud del tratamiento si se le requiere.
Finalidad
Solo se pueden usar los datos para el fin específico y explícito informado.
Proporcionalidad
Solo los datos necesarios, y solo por el tiempo necesario.
Calidad
Los datos deben ser exactos, completos, actuales y pertinentes.
Responsabilidad
Quien trata datos es legalmente responsable de cumplir la ley.
Seguridad
Estándares adecuados frente a pérdida, filtración o acceso no autorizado.
Transparencia
Información clara, permanente y gratuita para ejercer sus derechos.
Confidencialidad
Deber de secreto que no termina al concluir la relación con usted.
Sus derechos como titular de datos
La ley amplía el catálogo clásico de derechos ARCO a seis derechos, a veces resumidos como ARSOPB:
1. Acceso
Confirmar si tratan sus datos, su origen, finalidad y a quién se comunicaron.
2. Rectificación
Corregir datos inexactos, desactualizados o incompletos.
3. Supresión
Eliminar datos innecesarios, ilícitos, caducos o sin fundamento vigente.
4. Oposición
Oponerse a un tratamiento específico, como el marketing directo.
5. Oposición a decisiones automatizadas
Un derecho nuevo: exigir explicación, revisión humana y expresar su punto de vista frente a perfiles y decisiones automatizadas.
6. Portabilidad
Recibir sus datos en un formato electrónico de uso común para transferirlos.
Existe además el derecho de bloqueo: puede solicitar la suspensión temporal de cualquier tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición. Estos derechos son personales, intransferibles e irrenunciables, y sus herederos pueden ejercerlos si usted fallece, salvo que lo haya prohibido expresamente.
Cómo ejercer sus derechos: la ruta en tres pasos
Directamente ante la empresa
Debe implementar mecanismos para que usted ejerza sus derechos. Tiene 30 días corridos para responder, prorrogables por otros 30.
Reclamo ante la Agencia
Si la empresa rechaza su solicitud o no responde a tiempo, puede reclamar ante la Agencia de Protección de Datos Personales, con tramitación de hasta seis meses. Puede pedir, junto con el reclamo, la suspensión cautelar del tratamiento cuestionado.
Reclamo de ilegalidad ante la Corte de Apelaciones
Si no está de acuerdo con lo resuelto —o la Agencia declaró inadmisible su reclamo— puede impugnarlo dentro de 15 días hábiles ante la Corte de Apelaciones de Santiago o la de su domicilio. La Corte revisa tanto la legalidad como la proporcionalidad de lo resuelto, y puede confirmar, revocar o modificar la decisión de la Agencia.
El mito de las 72 horas
Si la vulneración afecta datos sensibles, datos de niños o niñas menores de 14 años, o datos económicos, financieros o comerciales, existe además el deber de notificar directamente a cada titular afectado, o a través de un medio de alcance nacional si eso no es posible.
Infracciones y multas: leves, graves y gravísimas
La ley clasifica las infracciones según su gravedad. Algunos ejemplos concretos que ilustran cada categoría:
No responder a tiempo
No responder oportunamente una solicitud de ejercicio de derechos.
Ceder datos sin consentimiento
Ceder datos sin consentimiento cuando es necesario, o tratar datos de niños, niñas o adolescentes sin cumplir las reglas especiales.
Datos sensibles de menores
Tratar datos sensibles de niños, niñas o adolescentes en contravención a la ley, u omitir deliberadamente reportar una vulneración.
Las sanciones van desde una amonestación escrita hasta multas que, en ejemplos aplicados de la ley, alcanzan entre 5.000 y 10.000 UTM para infracciones graves, con un tramo superior para las gravísimas.
¿Puede demandar por daños? La responsabilidad civil del artículo 47
Este es, probablemente, el punto menos conocido y más importante de toda la reforma. El artículo 47 establece que el responsable de datos debe indemnizar el daño patrimonial y extrapatrimonial —angustia, estigmatización, afectación moral, no solo pérdidas económicas— que cause a un titular cuando infrinja la ley y de ello resulte un perjuicio real.
- La carga de la prueba está invertida: si se acredita la infracción, se presume la culpa de la empresa, que debe probar que actuó con la diligencia debida.
- No se puede demandar de inmediato: la acción solo puede presentarse una vez que la resolución de la Agencia esté ejecutoriada, o firme la sentencia del reclamo de ilegalidad. El camino es: reclamo administrativo primero, indemnización civil después, en procedimiento sumario.
- Prescribe en 5 años, contados desde que quede ejecutoriada la resolución o sentencia que impuso la multa —no desde el hecho mismo.
Un matiz que suele pasar desapercibido: cuando una empresa contrata a un tercero —un proveedor de software, un call center, una agencia de marketing— para que trate datos por su cuenta, ese tercero (llamado "mandatario" o "encargado") normalmente no responde directamente frente al titular. Pero si trata los datos con un fin distinto al encargado, o los cede sin autorización, la ley lo convierte en responsable para todos los efectos legales, incluyendo responsabilidad solidaria con la empresa que lo contrató por los daños causados —sin perjuicio de lo que ese proveedor deba responder contractualmente a quien lo contrató.
La indemnización no siempre es solo dinero: junto con la reparación monetaria, la doctrina reconoce formas de reparación "en naturaleza" —como la publicación de la sentencia condenatoria o una disculpa pública— que pueden ser parte de lo que un tribunal ordene, especialmente cuando el daño afecta la reputación de la persona.
Casos prácticos: cómo se aplica esto en la vida real
Más allá de la teoría, esto es lo que la ley resuelve en situaciones que probablemente le resulten familiares.
Categorías de datos con protección reforzada
No todos los datos personales se tratan igual. La ley reserva un estándar más exigente para ciertas categorías, precisamente porque su uso indebido puede causar un daño mayor.
Datos de niños, niñas y adolescentes
Menores de 14 años
Por regla general, se requiere el consentimiento de sus padres, representantes legales o quien tenga su cuidado personal.
14 a 16 años
Pueden consentir directamente el tratamiento de sus datos generales, bajo las mismas reglas que un adulto.
Datos sensibles
Solo desde los 16 años pueden consentir ellos mismos el tratamiento de sus propios datos sensibles.
En todos los casos, el interés superior del niño, niña o adolescente y el respeto de su autonomía progresiva son el estándar que debe guiar cualquier tratamiento de sus datos.
Datos de salud y datos biométricos
Los datos relativos a la salud y al perfil biológico de una persona —incluidos los datos genéticos— tienen un régimen especial: solo pueden tratarse sin el consentimiento del titular en supuestos acotados por la ley, como una alerta sanitaria legalmente decretada o cuando resulte indispensable para salvaguardar la vida o integridad física o psíquica del propio titular o de un tercero. Los datos biométricos —huella digital, iris, rasgos faciales, voz— reciben el mismo tratamiento reforzado: quien los recolecta debe identificar el sistema usado, la finalidad específica, el período de uso y la forma de ejercer sus derechos, y en general solo puede tratarlos sin consentimiento cuando sea indispensable para proteger la vida o integridad del titular, o cuando este se encuentre física o jurídicamente impedido de consentir —caso en el que, una vez superado el impedimento, debe informársele en detalle qué se hizo con sus datos.
Otros grupos con protección reforzada
Más allá de los niños, niñas y adolescentes, el mismo razonamiento —mayor vulnerabilidad, menor capacidad real de negociar u oponerse— se extiende a otros titulares:
- Personas mayores: amparadas además por la Convención Interamericana sobre Protección de los Derechos Humanos de las Personas Mayores, ratificada por Chile, que refuerza su derecho a decidir sobre su propia información en igualdad de condiciones.
- Personas con discapacidad psíquica o intelectual: tanto la Convención de Derechos de las Personas con Discapacidad como la Ley 21.331 sobre salud mental les reconocen expresamente el derecho a que sus datos personales sean protegidos.
- Pacientes: quien recibe atención de salud suele estar en una posición débil para negociar: el temor a que negarse a ciertas condiciones afecte su atención puede hacer que confunda el consentimiento médico —para un tratamiento— con el consentimiento para que sus datos se usen con otros fines, como investigación o fines comerciales, sin que exista realmente libertad para decir que no.
- Usuarios de plataformas digitales: rara vez una persona sabe con precisión qué datos suyos se recolectan, cómo se combinan con otros para inferir información nueva, o a quién se venden. Esa opacidad, sumada a interfaces diseñadas deliberadamente para inducir a entregar más información de la necesaria, es reconocida hoy como una forma de desventaja estructural del usuario frente a la plataforma, no solo un problema de cada persona en particular.
Las obligaciones concretas de toda empresa que trata datos
Los principios del artículo 3° se traducen en deberes específicos y verificables para el responsable de datos. Estos son los que con mayor frecuencia generan reclamos e infracciones:
Deber de información y transparencia
Mantener disponible, en su sitio web o medio equivalente, su política de tratamiento, quién es el responsable, qué categorías de datos trata, con qué finalidad, con qué base de licitud, qué medidas de seguridad aplica y por cuánto tiempo conserva los datos.
Deber de adoptar medidas de seguridad
Medidas técnicas y organizativas —como seudonimización, cifrado, capacidad de restaurar el acceso tras un incidente, y pruebas periódicas de su eficacia— acordes al riesgo. Si hay controversia, es la empresa quien debe acreditar que esas medidas existían y funcionaban.
Protección desde el diseño y por defecto
Los sistemas deben construirse minimizando desde el inicio los datos que se recolectan y restringiendo por defecto el acceso, en vez de tratarlo como un ajuste posterior.
Deber de secreto o confidencialidad
Quienes acceden a los datos deben guardar reserva, incluso después de terminada su relación con la empresa o con el titular —un deber que se extiende a trabajadores, proveedores y subcontratistas.
Estos deberes no son meramente formales: en un reclamo o en un procedimiento sancionatorio, es la empresa —no el titular afectado— quien debe demostrar que los cumplió.
Qué deben hacer las empresas antes del 1 de diciembre de 2026
- Revisar y documentar la base de licitud de cada tratamiento de datos que realiza, porque la carga de acreditarla recae en la empresa.
- Actualizar las políticas de privacidad para que cumplan el estándar de transparencia: información clara, permanentemente accesible y gratuita.
- Diseñar y probar un protocolo de respuesta a incidentes, dado que no existe un plazo fijo en horas, sino el estándar más exigente de "sin dilaciones indebidas".
- Revisar contratos con proveedores que traten datos por su cuenta, porque la ley los hace responsables solidarios en ciertos casos.
- Verificar los mecanismos de consentimiento si trata datos de trabajadores, clientes o usuarios menores de edad.
- Evaluar su exposición bajo el artículo 47 y revisar si su cobertura de seguros actual la contempla.
Cómo se conecta con la Ley de Ciberseguridad y con los seguros
El deber de seguridad de la Ley 21.719 se articula con los estándares técnicos de la Ley 21.663, Marco de Ciberseguridad. Una empresa que cumple bien con una de estas leyes normalmente está construyendo, al mismo tiempo, la base de cumplimiento de la otra.
Desde el punto de vista asegurador, la combinación de sanción administrativa más responsabilidad civil bajo el artículo 47 es exactamente el tipo de riesgo de dos pisos que un ciberseguro está diseñado para transferir. Si su empresa tiene directorio, también vale la pena revisar si un eventual reclamo bajo esta ley podría alcanzar la responsabilidad personal de directores o ejecutivos, y si su póliza D&O lo contempla.
Glosario básico
Responsable de datos
Quien decide para qué y cómo se tratan los datos personales, sea que los trate directamente o a través de un tercero.
Tercero mandatario o encargado
Quien trata datos personales por cuenta del responsable, sin decidir por sí mismo los fines del tratamiento.
Dato personal
Cualquier información vinculada a una persona natural identificada o identificable, sin importar el soporte en que conste.
Dato sensible
Datos sobre origen étnico, afiliación política o sindical, convicciones religiosas, salud, biometría, vida sexual o identidad de género.
Elaboración de perfiles
Usar datos personales para evaluar o predecir aspectos como rendimiento, situación económica, salud o comportamiento de una persona.
Anonimización
Procedimiento irreversible tras el cual un dato ya no puede vincularse a una persona determinada; deja de ser un dato personal.
Culpa infraccional
El criterio bajo el cual, si se acredita la infracción a la ley, se presume la culpa del responsable, invirtiendo la carga de la prueba.
Fuente de acceso público
Bases de datos cuya consulta puede hacer lícitamente cualquier persona, como el Diario Oficial o registros públicos que establece la ley.
Preguntas frecuentes
¿Desde cuándo puedo ejercer mis derechos bajo la nueva ley?
Los derechos ARCO ya existen bajo la Ley 19.628 actual. Lo que cambia desde el 1 de diciembre de 2026 es que existirá la Agencia para tramitar sus reclamos administrativamente, y el nuevo régimen de responsabilidad civil e infracciones.
¿Una empresa puede negarse a eliminar mis datos si tengo una deuda pendiente?
Depende. La supresión no procede si el tratamiento es necesario para cumplir un contrato vigente. Pero si la deuda ya fue pagada o está prescrita, la mantención del dato pierde su fundamento legal.
¿Puedo demandar directamente por una filtración de mis datos?
No de inmediato. Primero debe obtener una resolución favorable de la Agencia, o una sentencia firme en el reclamo de ilegalidad; solo después puede iniciar la acción de indemnización civil.
¿Qué pasa si la empresa que filtró mis datos es extranjera?
La ley alcanza a responsables no establecidos en Chile cuando ofrecen bienes o servicios a personas en territorio nacional, o monitorean su comportamiento. Deben designar un representante en Chile ante la Agencia.
Mi empresa ya cumple GDPR, ¿basta para la Ley 21.719?
Ambas leyes comparten principios, pero no son idénticas —el ejemplo más claro es que la Ley 21.719 no fija 72 horas para reportar incidentes como sí lo hace el GDPR. Cumplir GDPR es un buen punto de partida, no un reemplazo.