Qué es la Ley 21.719 y por qué hay que leer la Ley 19.628
La Ley 21.719, publicada el 13 de diciembre de 2024, regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Pero casi todo lo hace por una vía indirecta: su artículo primero introduce modificaciones a la Ley 19.628, sobre protección de la vida privada. Las obligaciones, por tanto, quedan escritas en la Ley 19.628 modificada, y es ahí donde hay que citarlas.
En este artículo, salvo que se diga otra cosa, los números de artículo corresponden a la versión de la Ley 19.628 con vigencia desde el 1 de diciembre de 2026 que ya publica LeyChile. La versión vigente hoy (16 de octubre de 2026) es otra, con una numeración distinta en varios artículos.
Entrada en vigencia y disposiciones transitorias
El artículo primero transitorio dispone que las modificaciones a las leyes 19.628, 20.285 y 19.496 entran en vigencia «el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial». Con publicación en diciembre de 2024, el cómputo da 1 de diciembre de 2026, la misma fecha que LeyChile asigna a la nueva versión de la Ley 19.628. Hasta ese día rige el texto actual de la Ley 19.628.
Otras disposiciones transitorias que conviene tener a la vista:
| Transitorio | Qué dispone |
|---|---|
| Segundo | Los reglamentos de la ley debían dictarse dentro de seis meses desde su publicación; el del artículo 26 (comunicación de datos entre órganos públicos), dentro de seis meses desde la entrada en vigencia. |
| Tercero | Dentro de los 60 días anteriores a la entrada en vigencia, el Registro Civil debe eliminar el registro de bancos de datos del actual artículo 22 de la Ley 19.628. |
| Cuarto | El primer Consejo Directivo de la Agencia se designa seis meses antes de la entrada en vigencia; sus instrucciones solo obligan desde la entrada en vigencia. |
| Quinto | Los órganos públicos que nombren encargado de prevención o delegado deben designar a un funcionario de su dotación vigente. |
| Sexto | Durante los primeros doce meses, a las empresas de menor tamaño (Ley 20.416) la Agencia puede aplicarles amonestación escrita en vez de la sanción que corresponda. |
| Séptimo | Los organismos del artículo 54 (Congreso, Poder Judicial, Contraloría, Ministerio Público, entre otros) debían dictar sus políticas internas dentro de 18 meses desde la publicación. |
Que la ley haya fijado plazos para los reglamentos no significa que estén dictados. Antes de apoyarte en un reglamento, búscalo publicado en el Diario Oficial o en LeyChile.
A quién aplica
El artículo 1° es amplio: todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, queda sujeto a la ley. Quedan fuera el tratamiento hecho en ejercicio de las libertades de opinión e información y el de personas naturales en sus actividades personales.
Los órganos públicos tienen un régimen especial en el Título IV. Según el artículo 20, su tratamiento es lícito sin consentimiento cuando se hace para cumplir sus funciones legales dentro de su competencia. El artículo 21 les aplica igualmente los principios del artículo 3°, los deberes de los artículos 14 a 14 sexies y 15 bis, y los títulos de transferencia internacional y de infracciones. El artículo 23 fija cómo se ejercen los derechos ante ellos (ante el jefe superior del servicio) y cuándo pueden denegarlos. Si trabajas en un municipio o servicio, mira también cómo ordenar el cumplimiento en servicios públicos.
El Congreso, el Poder Judicial, la Contraloría, el Ministerio Público, el Tribunal Constitucional, el Banco Central, el Servel y los tribunales especiales tienen su propia regla en el artículo 54.
Principios y bases de licitud
El artículo 3° enumera los principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Dos detalles con efecto práctico: el responsable debe poder acreditar la licitud del tratamiento, y los datos solo se conservan mientras sean necesarios para sus fines, luego se suprimen o anonimizan.
La base general es el consentimiento libre, informado, específico, previo e inequívoco (artículo 12), revocable en cualquier momento. El artículo 13 admite el tratamiento sin consentimiento cuando:
- se trata de obligaciones económicas, financieras, bancarias o comerciales conforme al Título III;
- es necesario para cumplir una obligación legal o lo dispone la ley;
- es necesario para celebrar o ejecutar un contrato con el titular, o medidas precontractuales a su solicitud;
- es necesario para un interés legítimo del responsable o de un tercero, sin afectar los derechos del titular;
- es necesario para ejercer o defender un derecho ante tribunales u órganos públicos.
Derechos de los titulares
El artículo 4° reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. A eso se suma el derecho a oponerse y a no ser objeto de decisiones automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente al titular (artículo 8° bis). La portabilidad procede cuando el tratamiento es automatizado y se basa en el consentimiento (artículo 9°).
Los plazos están en el artículo 11:
- 30 días corridos para acusar recibo y pronunciarse, prorrogables una vez por otros 30.
- 2 días hábiles para responder una solicitud fundada de bloqueo temporal.
- Si deniegas, debes fundar la decisión e informar que el titular tiene 30 días hábiles para reclamar ante la Agencia.
- Debes guardar respaldo de la respuesta enviada, su fecha y su contenido íntegro.
Deberes del responsable
| Deber | Artículo | Qué hay que poder mostrar |
|---|---|---|
| Obligaciones generales (acreditar licitud, fuentes lícitas, información exacta) | 14 | Antecedentes de licitud por tratamiento |
| Información y transparencia | 14 ter | Política de tratamiento publicada con fecha y versión, canal de contacto, finalidades, bases, plazos de conservación |
| Medidas de seguridad | 14 quinquies | Medidas técnicas y organizativas, verificación periódica de su eficacia |
| Reporte de vulneraciones | 14 sexies | Registro de incidentes y comunicaciones a la Agencia |
| Encargo a terceros | 15 bis | Contratos con objeto, duración, finalidad, tipos de datos y obligaciones |
| Evaluación de impacto | 15 ter | Evaluación previa al inicio del tratamiento de alto riesgo |
Sobre seguridad, el artículo 14 quinquies pone la carga de la prueba en el responsable: ante un incidente y una controversia, le corresponde acreditar que las medidas existían y funcionaban.
Sobre vulneraciones, el artículo 14 sexies exige reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» cuando exista un riesgo razonable para los titulares. La ley no fija un número de horas. Si afectan datos sensibles, datos de niños menores de catorce años o datos económicos, financieros, bancarios o comerciales, también hay que comunicarlo a cada titular afectado.
La evaluación de impacto es obligatoria siempre en cuatro casos: perfilamiento con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público y tratamiento de datos sensibles sin consentimiento. Omitirla cuando corresponde es infracción gravísima (artículo 34 quáter, letra k).
Delegado y modelo de prevención de infracciones
El delegado de protección de datos es opcional: el artículo 50 dice que el responsable «podrá designar» uno. Si lo designas, lo nombra la máxima autoridad, debe tener autonomía en estas materias, medios suficientes, y funciones como asesorar, supervisar el cumplimiento, desarrollar un plan anual de trabajo y actuar como punto de contacto con la Agencia.
Lo que sí es obligatorio para todo responsable, público o privado, es adoptar acciones para prevenir las infracciones (artículo 48). Para eso existe el modelo de prevención de infracciones, voluntario, del artículo 49. Sus elementos mínimos son la designación de un delegado y sus medios, el inventario de datos y titulares, la identificación de procesos riesgosos, protocolos, reporte interno y a la Agencia, y sanciones internas. La Agencia certifica el modelo (artículo 51) y el certificado dura tres años (artículo 52). La lógica se parece a la de un modelo de prevención de delitos, aunque son regímenes distintos.
La Agencia de Protección de Datos Personales
El artículo 30 crea la Agencia como corporación autónoma de derecho público, de carácter técnico y descentralizado, relacionada con el Presidente de la República a través del Ministerio de Economía. Su objeto es velar por la protección de los datos personales y fiscalizar el cumplimiento de la ley. Ante ella se reclaman las respuestas denegadas o no dadas, y ella sanciona.
Infracciones y sanciones
Las infracciones se clasifican en leves, graves y gravísimas (artículo 34) y se detallan en los artículos 34 bis, 34 ter y 34 quáter. Las multas del artículo 35:
| Gravedad | Sanción | Ejemplos |
|---|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM | Incumplir el deber de información; responder fuera de plazo |
| Grave | Multa de hasta 10.000 UTM | Tratar datos sin base de licitud; infringir medidas de seguridad; omitir comunicaciones de vulneraciones |
| Gravísima | Multa de hasta 20.000 UTM | Tratamiento fraudulento; omitir deliberadamente la comunicación de una vulneración; no hacer la evaluación de impacto exigida |
Además, si no se adoptan las medidas correctivas en 60 días, la multa sube 50%. En reincidencia, puede llegar al triple, y una empresa que no sea de menor tamaño que reincida en infracción grave o gravísima puede enfrentar hasta el 2% o 4% de sus ingresos anuales del último año calendario. Con multas gravísimas reiteradas en 24 meses, la Agencia puede suspender el tratamiento hasta por 30 días (artículo 38). Las acciones prescriben en cuatro años (artículo 40).
En los órganos públicos, la multa es del 20% al 50% de la remuneración mensual del jefe superior del servicio; si persiste la infracción, el doble y suspensión de cinco días; con datos sensibles, 50% y suspensión de hasta treinta días. Las sanciones se publican en el sitio de la Agencia y del órgano dentro de cinco días hábiles (artículo 44).
Registro Nacional de Sanciones y Cumplimiento
El artículo 39 crea un registro público, gratuito y electrónico que administra la Agencia. Consigna a los sancionados, la conducta, las circunstancias y la sanción, y también a quienes tengan un modelo de prevención certificado vigente. Cada anotación queda pública por cinco años.
Checklist de preparación antes del 1 de diciembre de 2026
- Inventario de tratamientos: qué datos, de quién, para qué, con qué base del artículo 12, 13 o 20.
- Plazos de conservación definidos y procedimiento de supresión o anonimización.
- Política de tratamiento publicada con todo lo que pide el artículo 14 ter, con fecha y versión.
- Canal operativo para solicitudes y procedimiento con plazos de 30 días corridos y 2 días hábiles.
- Respaldo de cada respuesta a titulares.
- Medidas de seguridad documentadas y revisión periódica de su eficacia.
- Protocolo de vulneraciones: evaluación de riesgo, reporte a la Agencia, registro y aviso a titulares cuando corresponda.
- Contratos con encargados ajustados al artículo 15 bis.
- Evaluaciones de impacto para los tratamientos del artículo 15 ter.
- Decisión documentada sobre delegado y modelo de prevención de infracciones.
- En órganos públicos: jefe superior informado de su responsabilidad personal (artículo 44).
Cómo llevarlo a la matriz de cumplimiento
Cada fila del checklist es una obligación con una unidad responsable y una evidencia esperada. Si ya trabajas con una matriz de cumplimiento normativo, conviene cargar estos artículos como filas propias y no como una sola línea «Ley 21.719». En Oblex puedes tener el corpus de la Ley 19.628 desde LeyChile, detectar obligaciones por artículo con IA y asignarlas a cada unidad, con el estado Sin evaluar, Cumple o No cumple que siempre marca una persona. Más detalle en la página de protección de datos personales y en la guía para armar una matriz de cumplimiento.