¿Cómo cumplir la Ley 21.719?

En 30 segundos

• La Ley 21.719 tiene su entrada en vigor fijada para el 1 de diciembre de 2026, y prepararse lleva tiempo: cada paso depende del anterior.
• Empieza por saber qué datos tratas y con qué base; después ordénalo y prepárate para responder.
• Hay dos plazos que conviene tener claros: 30 días corridos (prorrogables una vez) para la mayoría de las solicitudes y solo 2 días hábiles para el bloqueo temporal.

Cumplir no es un evento, es una lista de tareas

La Ley 21.719 tiene su entrada en vigor fijada para el 1 de diciembre de 2026. Hay un proyecto de ley en el Congreso que podría postergarla a 2027, pero todavía no es ley, y en cualquier escenario la obligación de fondo llega.

Prepararse lleva tiempo, y la mayoría de los pasos depende de que el anterior ya exista. Este checklist convierte la ley en siete acciones prácticas para empezar, en el orden en que conviene abordarlas:

No es la lista completa de lo que exige la ley, sino el punto de partida más útil para una pyme.

1. Mapea qué datos tratas

Antes de escribir ninguna política, necesitas saber qué datos personales recoge tu empresa, de quién, para qué y dónde se guardan: formularios web, base de clientes, nóminas, herramientas de marketing.

La ley no exige un registro de actividades de tratamiento como el del GDPR. Pero sí te obliga a tener publicada información sobre qué datos tratas y para qué, y a poder demostrar que cumples. Sin este inventario, ninguna de las dos cosas es posible.

2. Identifica la base de licitud de cada tratamiento

Cada tratamiento necesita una base que lo justifique. El consentimiento es una, pero no la única: también lo son cumplir un contrato o una obligación legal, entre otras.

Lo importante es que tengas identificada y documentada la base de cada uno. Si es el consentimiento, que sea claro y que la persona pueda negarse de verdad.

3. Publica una política de privacidad clara

Debe explicar en lenguaje sencillo qué datos recoges, para qué los usas y qué derechos tienen las personas. Tiene que estar visible en tu web, no enterrada en un PDF que nadie encuentra. Y ponle fecha y versión: la ley pide que se vea cuál está vigente.

4. Aplica medidas de seguridad y protección desde el diseño

La ley te pide proteger los datos con medidas proporcionales a lo que tratas, y pensar en la privacidad desde que diseñas un formulario, una herramienta o un proceso: recoger solo lo que necesitas.

5. Firma contratos con los proveedores que tratan datos por ti

Si una empresa trata datos por tu cuenta (tu proveedor de correo, de nóminas o de alojamiento), necesitas un contrato que fije qué puede hacer con ellos y que, al terminar el servicio, los borre o te los devuelva. Y si esos datos salen de Chile, revisa que la transferencia tenga cobertura legal.

6. Abre un canal para que las personas ejerzan sus derechos

Cualquier persona puede pedir acceder a sus datos, rectificarlos, suprimirlos, oponerse a su tratamiento, llevárselos a otro proveedor o bloquearlos temporalmente. Necesitas un canal claro (un correo o un formulario) y un proceso para responder a tiempo:

El bloqueo es el plazo que más sorprende: con solo dos días hábiles, una solicitud que se queda en un buzón compartido ya llega tarde. Mientras no respondas, además, no puedes usar esos datos.

7. Escribe un protocolo de brechas

Si un incidente supone un riesgo razonable para las personas cuyos datos tratas, tienes que notificarlo a la Agencia sin dilaciones indebidas y por el medio más rápido posible. No hay un plazo fijo en horas, así que no hay margen para improvisar.

Además, si la brecha afecta a datos sensibles, a datos de menores de 14 años o a datos sobre deudas u obligaciones económicas, financieras o comerciales, también tienes que avisar a cada persona afectada. El protocolo (quién decide, quién notifica, qué se documenta) tiene que estar escrito antes de que pase.

Y lleva un registro de cada incidente que notifiques (qué pasó, qué datos, a cuántas personas afectó y qué hiciste): la ley lo exige.

De la lista al sistema

Estas siete acciones son el punto de partida. Mantenerlas vivas (evidencias al día, revisiones periódicas, un inventario que no se quede viejo en seis meses) es donde la mayoría de las pymes pierde el hilo cuando lo lleva en documentos sueltos.

Para el detalle de la ley (vigencia, sanciones, delegado y modelo de prevención) lee la guía de la Ley 21.719. Y si tu empresa ya cumple el GDPR, mira qué te falta para la ley chilena.

¿Quieres ordenar esto sobre un sistema en vez de una carpeta de documentos? Habla con nosotros y lo vemos juntos.

Preguntas frecuentes

01¿Por dónde empiezo a cumplir la Ley 21.719?

Por saber qué datos personales tratas: de quién, para qué, con qué base y dónde se guardan. Sin ese inventario no puedes ordenar ni demostrar nada de lo demás.

02¿Es obligatorio llevar un Registro de Actividades de Tratamiento (RAT)?

No como obligación general. Inventariar los datos que tratas es uno de los elementos del modelo de prevención de infracciones, que es voluntario. Aun así, sin ese inventario no puedes cumplir el deber de transparencia ni demostrar que cumples.

03¿Necesito un delegado de protección de datos?

No es obligatorio para todas las organizaciones. El delegado forma parte del modelo de prevención de infracciones, que es voluntario y, si está certificado, atenúa las sanciones. En una pyme, el propio dueño o la dirección pueden asumir esas funciones. Si dudas de tu caso, confírmalo con asesoría legal.