¿Cumplir el GDPR basta para la Ley 21.719?

En 30 segundos

• Si ya cumples el GDPR no empiezas de cero con la ley chilena, pero tampoco cumples en automático.
• Lo que más cambia: el bloqueo en 2 días hábiles, el aviso a los afectados según el tipo de dato y las transferencias que salen de Chile.
• La entrada en vigor está fijada para el 1 de diciembre de 2026; un proyecto en el Congreso podría moverla a 2027.

Cumplir GDPR no es cumplir la Ley 21.719, pero ayuda

Si tu empresa opera en Europa y ya tiene un programa de GDPR en marcha, llegar a la Ley 21.719 chilena no es empezar de cero. Los principios de fondo —minimización de datos, transparencia, derechos del titular, notificación de brechas— son casi los mismos. Pero "casi los mismos" no es "los mismos", y la Agencia de Protección de Datos Personales no reconoce automáticamente tu cumplimiento GDPR como válido en Chile.

La Ley 21.719 tiene su entrada en vigor fijada para el 1 de diciembre de 2026. Hay un proyecto de ley en el Congreso que podría postergarla a 2027, pero todavía no es ley, y en cualquier escenario la obligación de fondo llega.

Esto es lo que cambia en la práctica.

Las diferencias, de un vistazo

	GDPR	Ley 21.719
Plazo para responder a los derechos del titular	1 mes, prorrogable otros 2 meses	30 días corridos, prorrogables una vez por otros 30 días
Bloqueo temporal de datos	Dentro del plazo general	2 días hábiles
Multa máxima	20 M€ o 4% de la facturación global, lo que sea mayor	20.000 UTM; si una empresa que no es de menor tamaño reincide, hasta el 2% o 4% de sus ingresos anuales
Aviso de brecha a la autoridad	En 72 horas, salvo que no haya riesgo para las personas	Sin dilaciones indebidas, si hay un riesgo razonable para las personas
Aviso de brecha a los afectados	Si hay riesgo alto para ellos	Si la brecha se notifica y afecta a datos sensibles, de menores de 14 años o sobre deudas u obligaciones económicas, financieras o comerciales
Programa de cumplimiento	Forma parte de la responsabilidad proactiva	Modelo de prevención certificable, que cuenta como atenuante

Plazos: el bloqueo temporal es la excepción que más cuesta

El GDPR da un mes para responder a una solicitud de acceso, rectificación o supresión, prorrogable otros dos meses. La Ley 21.719 da 30 días corridos, prorrogables una sola vez por otros 30.

Pero hay una excepción que conviene tener muy presente. Cuando alguien pide rectificar, suprimir u oponerse al tratamiento de sus datos, puede pedir además que los bloquees mientras resuelves. Esa solicitud de bloqueo temporal tiene que ser fundada, y tienes 2 días hábiles para responderla. El bloqueo no te obliga a borrar nada: solo a dejar de tratar esos datos mientras tanto.

Si tu proceso interno está calibrado en semanas de GDPR, ajústalo para Chile. Y trata el bloqueo como una solicitud aparte, con su propio circuito, porque dos días hábiles no dan margen para que se pierda en una bandeja compartida.

Multas: UTM, pero no solo UTM

El GDPR calcula sus multas máximas como un porcentaje de la facturación global: hasta el 4% o 20 millones de euros, lo que sea mayor. La Ley 21.719 las expresa en UTM (Unidad Tributaria Mensual): hasta 5.000 UTM las leves, 10.000 las graves y 20.000 las gravísimas. Con la UTM de septiembre de 2026, 20.000 UTM son más de 1.400 millones de pesos chilenos, una fracción del tope europeo.

La diferencia se acorta con la reincidencia. Si una empresa que no es de menor tamaño vuelve a cometer una infracción grave o gravísima, la multa puede llegar al 2% o al 4% de sus ingresos anuales del último año, según la gravedad, si esa cifra es mayor que la multa en UTM. Y si acumula infracciones gravísimas en un periodo de 24 meses, la Agencia puede suspender sus operaciones de tratamiento de datos hasta 30 días.

Brechas de seguridad: el protocolo sirve, el criterio de aviso no

Ambas normativas exigen notificar a la autoridad las brechas que suponen un riesgo para las personas. El GDPR fija un plazo de 72 horas; la Ley 21.719 no fija horas, pero exige hacerlo sin dilaciones indebidas y por los medios más rápidos posibles.

La diferencia importante está en cuándo hay que avisar también a las personas afectadas. El GDPR lo exige cuando la brecha supone un riesgo alto para ellas. La ley chilena, una vez que la brecha se tiene que notificar a la Agencia, no mira si el riesgo es alto, sino el tipo de dato: hay que avisar a cada afectado cuando toca datos sensibles, datos de menores de 14 años o datos sobre deudas u obligaciones económicas, financieras, bancarias o comerciales. Si no puedes avisar a cada persona, tienes que publicar un aviso en un medio de comunicación de alcance nacional.

En la práctica: puedes reutilizar tu protocolo de respuesta a incidentes, pero no la regla que decide cuándo avisar a los afectados. Una fuga de datos sobre deudas de clientes que en Europa quizá no pase del aviso a la autoridad, en Chile obliga a avisar a cada cliente afectado.

Transferencias internacionales: revisa tus flujos hacia y desde Chile

Una empresa que ya cumple GDPR suele tener resueltos sus flujos de datos dentro de Europa. La Ley 21.719 introduce en Chile un régimen propio de transferencias internacionales, y se aplica a los datos que salen de Chile: hacia tu matriz europea, hacia tus proveedores en la nube o hacia cualquier otro país. Lo que viaja en sentido contrario, de Europa a Chile, lo sigue rigiendo el GDPR. Y no depende solo de hacia dónde viajan los datos: cuenta también quién los trata y desde dónde.

Una transferencia es lícita si el país de destino tiene un nivel de protección adecuado según la Agencia, o si está amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas. La Agencia debe publicar en su web la lista de países adecuados y los modelos de cláusulas. Hasta entonces, haz inventario de qué datos salen de Chile, hacia dónde y con qué contrato.

Identificación del titular: la define la Agencia

La Ley 21.719 encarga a la Agencia definir cómo se autentica al titular que ejerce sus derechos. Hasta que publique ese criterio, diseña tu canal de solicitudes para que pueda adaptarse. El GDPR, en cambio, deja la identificación a criterio de cada responsable.

El modelo de prevención de infracciones: lo que el GDPR no tiene

El GDPR te exige demostrar que cumples (la llamada responsabilidad proactiva), pero no tiene una figura equivalente a esta. La ley chilena permite adoptar, de forma voluntaria, un modelo de prevención de infracciones: un programa de cumplimiento con unos elementos mínimos definidos, que incluye designar un delegado de protección de datos. El reglamento que regula cómo se implementa, certifica y supervisa se publicó en septiembre de 2026.

Si el modelo está certificado y la Agencia te sanciona, cuenta como atenuante. No te exime de responsabilidad, pero reduce la exposición. Y aquí tu programa de GDPR sí es un buen punto de partida: el inventario de datos, el Registro de Actividades de Tratamiento (RAT) y las políticas que ya tienes son la base de ese programa.

Qué hacer si ya cumples GDPR

No repitas el trabajo desde cero: usa tu inventario de datos, tu RAT y tu protocolo de brechas como base. Después ajusta lo específico de Chile:

El error más común es asumir que el cumplimiento europeo se traduce en automático. El más caro es tratar la Ley 21.719 como un proyecto aislado sin aprovechar lo que ya tienes construido.

Para el panorama completo de la Ley 21.719 —vigencia, sanciones y qué significa para una pyme— lee Ley 21.719 de Chile: guía de cumplimiento.

¿Operas entre Europa y Chile y quieres un solo sistema para ambas jurisdicciones? Habla con nosotros y lo vemos juntos.

Preguntas frecuentes

01Si mi empresa cumple GDPR, ¿ya cumple la Ley 21.719?

No automáticamente. Comparten principios y derechos parecidos, pero la Ley 21.719 tiene su propia autoridad, sus propios plazos, su propio régimen de multas y reglas distintas para avisar a los afectados por una brecha y para transferir datos fuera de Chile.

02¿Qué plazos de respuesta fija la Ley 21.719?

30 días corridos para responder a las solicitudes de acceso, rectificación, supresión, oposición y portabilidad, prorrogables una sola vez por otros 30. La excepción es el bloqueo temporal de los datos: hay que responder en 2 días hábiles.

03¿Las multas de la Ley 21.719 dependen de la facturación?

En general se expresan en UTM, con un máximo de 20.000 UTM para las infracciones gravísimas. Pero si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, la multa puede llegar al 2% o al 4% de sus ingresos anuales, si esa cifra es mayor.

04¿Tengo que avisar a los afectados por una brecha igual que con el GDPR?

No con el mismo criterio. El GDPR obliga a avisar a los afectados cuando hay un riesgo alto para ellos. La Ley 21.719, cuando la brecha se tiene que notificar a la Agencia por suponer un riesgo razonable, obliga a avisar a los afectados si toca datos sensibles, datos de menores de 14 años o datos sobre deudas u obligaciones económicas, financieras, bancarias o comerciales, aunque el riesgo no sea alto.

05¿Qué es el modelo de prevención de infracciones?

Un programa de cumplimiento voluntario que la ley chilena permite certificar ante la Agencia. Si está certificado, cuenta como atenuante si la Agencia te sanciona. No te exime de responsabilidad.