Qué cambia con la Ley 21.719
La Ley 21.719 crea la Agencia de Protección de Datos Personales y reescribe buena parte de la Ley 19.628. Según su artículo primero transitorio, las modificaciones entran en vigencia el primer día del mes vigésimo cuarto posterior a su publicación (13 de diciembre de 2024): el 1 de diciembre de 2026. Hasta entonces rige el texto actual de la Ley 19.628.
Para efectos de la matriz, lo importante es que las obligaciones quedan en la Ley 19.628 modificada. Los artículos que se citan abajo son los de la versión con vigencia desde el 1 de diciembre de 2026 que publica LeyChile.
La ley alcanza a todo tratamiento de datos personales de personas naturales o jurídicas, incluidos los órganos públicos (artículo 1°). Municipios y servicios tienen reglas propias en el Título IV, pero también les aplican los principios, los deberes de seguridad y reporte, y el régimen de infracciones (artículo 21).
Por qué tratar la ley como filas y no como un documento
Una política de privacidad no prueba cumplimiento. La ley pide cosas verificables: que el responsable pueda acreditar la licitud del tratamiento (artículo 3°), que responda a los titulares en plazo y guarde respaldo de la respuesta (artículo 11), y que ante un incidente demuestre que sus medidas de seguridad existían y funcionaban (artículo 14 quinquies).
Cada una de esas exigencias tiene una unidad que responde y una evidencia que la sostiene. Separarlas en filas permite saber qué falta y quién debe resolverlo, en vez de tener una sola línea «Ley 21.719: en proceso».
Las obligaciones de la Ley 21.719 en la matriz
Ejemplo ilustrativo de cómo quedarían algunas filas. La unidad responsable depende de tu organización; aquí solo se sugiere una.
| Obligación | Artículo (Ley 19.628 modificada) | Responsable sugerido | Evidencia | Criticidad |
|---|---|---|---|---|
| Acreditar base de licitud de cada tratamiento | 12, 13 | Jurídica | Inventario de tratamientos con su base | Alta |
| Publicar política e información al titular | 14 ter | Jurídica / Comunicaciones | Política publicada con fecha y versión | Media |
| Responder solicitudes en 30 días corridos | 11 | Atención a usuarios | Registro de solicitudes y respaldo de respuestas | Media |
| Medidas de seguridad adecuadas al riesgo | 14 quinquies | Informática | Medidas documentadas y revisión periódica | Alta |
| Reportar vulneraciones a la Agencia y registrarlas | 14 sexies | Informática / Jurídica | Protocolo y registro de incidentes | Alta |
| Contratos con encargados de tratamiento | 15 bis | Abastecimiento | Contratos con las cláusulas exigidas | Media |
| Evaluación de impacto en tratamientos de alto riesgo | 15 ter | Delegado o Jurídica | Evaluación previa al tratamiento | Alta |
| Acciones de prevención de infracciones | 48 | Dirección / Compliance | Plan o modelo de prevención aprobado | Media |
La criticidad del ejemplo sigue la gravedad legal: infringir la seguridad u omitir el reporte de vulneraciones es infracción grave (artículo 34 ter), y no hacer la evaluación de impacto cuando corresponde es gravísima (artículo 34 quáter).
Qué arriesga quien no cumple
Las multas del artículo 35 son de hasta 5.000 UTM (leves, o amonestación escrita), 10.000 UTM (graves) y 20.000 UTM (gravísimas). En órganos públicos la multa recae en el jefe superior, entre 20% y 50% de su remuneración mensual, y se publica (artículo 44). Los sancionados quedan cinco años en el Registro Nacional de Sanciones y Cumplimiento, que es público (artículo 39).
El desglose completo de plazos, derechos y sanciones está en el artículo Ley 21.719: obligaciones y plazos antes de la entrada en vigencia.
Cómo lo hace Oblex
Oblex es un software web, en beta, para llevar la matriz de cumplimiento normativo de tu institución:
- Corpus legal desde LeyChile, con la estructura real de la norma (títulos, artículos, transitorios) y búsqueda semántica.
- Detección de obligaciones por artículo con IA: propone acción requerida, sanción aplicable, criticidad y evidencia sugerida, y antes de agregarlas las contrasta con tu matriz para no duplicar.
- Responsable por unidad: la estructura de tu institución en árbol, con permisos por rama, para que cada unidad vea lo suyo.
- Evidencias asociadas a cada obligación, y un asistente que revisa la evidencia cargada contra lo exigido y señala cumplimientos sin respaldo.
- Estado Sin evaluar, Cumple o No cumple, que siempre pone una persona con su justificación. La IA nunca marca «Cumple» por su cuenta.
- Porcentaje de cumplimiento por unidad, con las obligaciones críticas sin cumplir primero.
Oblex no reemplaza el criterio jurídico ni es asesoría legal. Si quieres partir por la estructura de la matriz, revisa la guía para armar una matriz de cumplimiento normativo.