Ley 21.719 en Chile: plan práctico de 30 días para preparar datos, derechos, proveedores e incidentes

Este contenido es una guía operativa general y no reemplaza una evaluación jurídica aplicada a una organización, industria o tratamiento específico.

La guía describe el régimen que comenzará a regir el 1 de diciembre de 2026; el plan de 30 días no certifica ni garantiza cumplimiento integral.

La Ley 21.719 fue publicada el 13 de diciembre de 2024 y sus modificaciones principales entrarán en vigencia el 1 de diciembre de 2026. El cambio no se resuelve con una política de privacidad nueva: exige que cada responsable pueda explicar qué datos trata, con qué finalidad y base de licitud, durante cuánto tiempo, con quién los comparte, cómo atiende los derechos de las personas y qué controles realmente funcionan.

Hecho. La ley establece principios de licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. También incorpora derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal; obligaciones de transparencia, protección desde el diseño, seguridad basada en riesgo, gestión de vulneraciones, contratos con encargados y evaluaciones de impacto para tratamientos de alto riesgo.

Recomendación. Conviene usar los próximos 30 días para obtener una base operativa inicial, con evidencias verificables, para avanzar en la adecuación: inventario priorizado, responsables claros, canal de derechos, aviso de privacidad coherente, contratos críticos revisados, registro de incidentes, criterios de evaluación de impacto y una carpeta de evidencias.

Inferencia editorial. Para la mayoría de las organizaciones, el mayor riesgo no será carecer de documentos, sino no poder conectar un documento con un proceso, un control, un responsable y una evidencia vigente. Por eso esta guía ordena el trabajo por resultados verificables y no por cantidad de políticas.

Esta guía está pensada para:

• gerencias, dueños y responsables de pequeñas y medianas empresas;
• equipos jurídicos, de cumplimiento, privacidad, seguridad y riesgo;
• responsables de tecnología, producto, marketing, recursos humanos y atención al cliente;
• desarrolladores y equipos DevSecOps que diseñan formularios, integraciones, perfiles o automatizaciones;
• organizaciones que usan proveedores de nube, CRM, analítica, soporte, nómina, marketing o inteligencia artificial.

No todas las organizaciones tienen el mismo nivel de exposición. La propia ley considera el tipo y volumen de datos, las finalidades, el tamaño de la entidad y la actividad que desarrolla. El orden de prioridades debe reflejar ese riesgo.

1. Nombrar un responsable ejecutivo y un coordinador operativo. Deben tener autoridad para convocar a negocio, tecnología, seguridad y asesoría jurídica. Designar formalmente un delegado de protección de datos no es una obligación general; sí forma parte obligatoria del modelo voluntario de prevención regulado por la ley.
2. Identificar cinco tratamientos críticos. Partir por datos sensibles, datos de niños y niñas, información financiera, monitoreo sistemático, decisiones automatizadas, grandes volúmenes y procesos esenciales para el negocio.
3. Habilitar un canal único para solicitudes. Puede ser un correo, formulario u otro medio electrónico fácil de usar. Debe registrar ingreso, identidad, tratamiento consultado, responsable, vencimiento, respuesta y respaldo de envío.
4. Levantar los proveedores con acceso a datos. Priorizar nube, CRM, mesa de ayuda, marketing, nómina, respaldo, desarrollo y servicios de IA. Registrar qué reciben, para qué, dónde lo procesan y si usan subencargados.
5. Abrir una carpeta de evidencia. Guardar versiones aprobadas, inventario, decisiones sobre bases de licitud, pruebas de controles, contratos, solicitudes atendidas, simulacros y registros de incidentes.

El inventario debe describir tratamientos, no solo aplicaciones. “CRM” es un sistema; “gestionar oportunidades comerciales de empresas interesadas” es un tratamiento. Un mismo sistema puede sostener finalidades distintas y, por lo tanto, requerir bases, retenciones, destinatarios y controles diferentes.

• nombre del tratamiento y dueño de proceso;
• finalidad específica y categorías de titulares;
• categorías de datos, destacando datos sensibles o especialmente protegidos;
• fuente de los datos y modo de recolección;
• base de licitud y, si se invoca interés legítimo, su justificación y balance;
• sistemas, repositorios, categorías o clases de bases de datos, ámbito territorial y ambiente físico o cloud;
• destinatarios, encargados, subencargados y transferencias internacionales;
• periodo o condición de retención y método de supresión;
• decisiones automatizadas o perfiles, su lógica relevante y posibles consecuencias;
• controles de seguridad y evidencias disponibles;
• nivel de riesgo y necesidad de evaluación de impacto.

El Decreto 662, publicado el 9 de septiembre de 2026, exige una caracterización equivalente para los programas voluntarios de cumplimiento y permite materializarla mediante un registro de actividades de tratamiento. Aunque la certificación sea opcional, esa estructura es una referencia práctica y oficial para construir el inventario.

Hecho. La ley admite otras fuentes de licitud, entre ellas una obligación legal, la ejecución de un contrato o medidas precontractuales solicitadas por la persona, y el interés legítimo cuando no se afecten sus derechos y libertades. Cuando el tratamiento se basa en consentimiento, este debe ser libre, informado, específico, previo, inequívoco y afirmativo; además, su revocación debe ser expedita, gratuita y permanentemente disponible.

Recomendación. Documentar por qué aplica una base, no solamente seleccionarla en una columna. Si se usa consentimiento, conservar qué se informó, qué acción afirmativa se realizó, cuándo ocurrió y cómo se puede revocar. Si se usa interés legítimo, registrar la finalidad, la necesidad del tratamiento, el efecto sobre las personas, las salvaguardas y el canal de oposición.

La ley permite que una persona solicite acceso, rectificación, supresión, oposición y portabilidad. También contempla bloqueo temporal y reglas para decisiones automatizadas. El procedimiento debe funcionar de extremo a extremo, incluso cuando la información esté distribuida entre varias áreas o proveedores.

1. Recepción. Registrar la solicitud y acusar recibo.
2. Autenticación proporcional. Verificar identidad sin pedir datos excesivos. La exigencia debe crecer con el riesgo de suplantación y la sensibilidad de la respuesta.
3. Clasificación. Determinar derecho ejercido, tratamientos involucrados, sistemas y terceros que deben colaborar.
4. Búsqueda y decisión. Localizar datos, revisar límites legales y documentar la resolución.
5. Control de calidad. Evitar revelar datos de terceros, secretos protegidos o información que facilite abuso.
6. Respuesta. Comunicar en lenguaje claro y conservar respaldo de fecha, canal y contenido íntegro.
7. Ejecución y propagación. Aplicar la rectificación, supresión u oposición y comunicar cambios a quienes recibieron los datos cuando corresponda.

Hecho. El responsable debe pronunciarse, como regla general, dentro de 30 días corridos desde el ingreso de la solicitud. Puede prorrogar una sola vez por hasta otros 30 días corridos. Una solicitud fundada de bloqueo temporal asociada a rectificación, supresión u oposición tiene un plazo de respuesta de dos días hábiles. Mientras se resuelve la solicitud de bloqueo temporal, no se pueden tratar los datos comprendidos en ella, salvo su almacenamiento. Si se rechaza, corresponde fundamentar la respuesta y comunicar electrónicamente la decisión a la Agencia (artículo 11).

Recomendación. Fijar un objetivo interno de 20 días corridos para solicitudes ordinarias. El margen restante permite resolver búsquedas incompletas, validar la identidad y coordinar proveedores sin incumplir el plazo legal.

La información pública debería incluir, al menos:

• política de tratamiento, fecha y versión;
• identificación del responsable, de su representante legal y, si existe, del encargado de prevención; además del canal de contacto para solicitudes (artículo 14 ter);
• canal de solicitudes;
• categorías de datos y personas, finalidades, destinatarios y bases de licitud;
• interés legítimo cuando se utilice;
• política y medidas de seguridad descritas sin exponer configuraciones sensibles;
• derechos y vía de reclamación;
• transferencias internacionales y garantías aplicables;
• plazos de conservación;
• fuentes de los datos;
• retiro del consentimiento;
• decisiones automatizadas, lógica significativa y consecuencias previstas.

Una política genérica no corrige un tratamiento mal inventariado. Primero debe existir una versión razonable de la realidad; después se publica una explicación comprensible y coherente con ella.

Hecho. El contrato debe establecer objeto, duración, finalidad, tipos de datos, categorías de titulares y derechos y obligaciones de las partes. El encargado no puede delegar el tratamiento sin autorización específica y escrita. Al finalizar el servicio, debe suprimir o devolver los datos, según corresponda, y debe reportar al responsable las vulneraciones de seguridad.

Recomendación. Revisar primero a los proveedores que almacenan datos sensibles, administran identidades, operan respaldos, reciben grandes volúmenes o intervienen en procesos esenciales. Un anexo mínimo debería cubrir instrucciones documentadas, confidencialidad, seguridad, subencargados, ubicación y transferencias, cooperación con derechos, notificación de incidentes, auditoría y retorno o supresión.

La ley exige medidas adecuadas al riesgo y considera la técnica disponible, los costos, la naturaleza y finalidad del tratamiento y el posible efecto sobre las personas. Menciona expresamente confidencialidad, integridad, disponibilidad, resiliencia, restauración y evaluación periódica de la eficacia.

No basta con declarar que existe cifrado o respaldo. La evidencia puede incluir:

• configuración aprobada y fecha de revisión;
• pruebas de restauración y tiempos obtenidos;
• revisión de accesos privilegiados y cuentas inactivas;
• registros de cambios, alertas y respuesta;
• resultados de pruebas, hallazgos, responsables y cierres;
• excepciones vigentes con riesgo aceptado y fecha de caducidad.

La retención también debe convertirse en una operación. Para cada categoría de datos, definir el evento que inicia el plazo, el periodo, la excepción legal, el mecanismo de borrado o anonimización y la evidencia de ejecución.

Hecho. Cuando una vulneración produzca destrucción, filtración, pérdida, alteración o acceso o comunicación no autorizados, y exista un riesgo razonable para los derechos y libertades de las personas, el responsable debe reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. La ley exige mantener registro de estas comunicaciones. Si la vulneración involucra datos sensibles, datos de menores de catorce años o datos relativos a obligaciones de carácter económico, financiero, bancario o comercial, también corresponde comunicar a las personas afectadas en los términos de la ley. Esto no sustituye otros deberes de información previstos en leyes sectoriales (artículo 14 sexies).

Recomendación. No importar automáticamente el plazo europeo de 72 horas: el texto chileno citado establece otro estándar. El procedimiento interno sí debe usar hitos breves —por ejemplo, evaluación inicial en cuatro horas y decisión ejecutiva dentro de 24 horas— para evitar demoras injustificadas. Estos son objetivos operativos, no plazos legales.

El registro de incidentes debería conservar fecha de detección, sistemas y datos, número estimado de personas, causa conocida o hipótesis, consecuencias, medidas de contención, evaluación de riesgo, decisiones de notificación, comunicaciones emitidas y acciones para evitar recurrencia.

Hecho. Debe realizarse antes de iniciar un tratamiento probablemente de alto riesgo. La ley la exige siempre para la evaluación sistemática y exhaustiva de aspectos personales mediante tratamientos o decisiones automatizadas que produzcan efectos jurídicos significativos; tratamientos masivos o a gran escala; observación o monitoreo sistemático de zonas de acceso público; y tratamientos de datos sensibles y especialmente protegidos bajo excepciones al consentimiento (artículo 15 ter).

Recomendación. Incluir una pregunta de activación en la aprobación de nuevos productos, campañas, integraciones y herramientas de IA. La evaluación debe describir operaciones y finalidad, justificar necesidad y proporcionalidad, analizar riesgos para las personas, asignar controles y registrar el riesgo residual.

Todos los responsables deben adoptar acciones para prevenir infracciones y cumplir la ley. En cambio, el modelo de prevención certificable regulado por el Decreto 662 es voluntario. Dentro de ese modelo, la designación de un delegado de protección de datos es obligatoria.

Inferencia. Una organización puede usar los componentes del modelo oficial —inventario, matriz de riesgo, funciones, capacitación y evidencia— sin iniciar inmediatamente una certificación. Esa decisión debería tomarse después de estabilizar los procesos básicos y evaluar costo, exposición y valor de la certificación.

Este ejemplo es ficticio y neutral; no corresponde a una organización ni a un cliente identificable.

Este ejemplo no determina por sí solo la base de licitud ni el plazo correcto. La organización debe resolverlos según su contexto y documentar la decisión.

Después del día 30, el programa debe continuar. Las prioridades de los siguientes 90 días son ampliar el inventario, cerrar contratos, automatizar retención y derechos, completar evaluaciones de alto riesgo, capacitar equipos y medir el desempeño.

• Alcance, patrocinador y coordinador aprobados.
• Dueños de los tratamientos críticos identificados.
• Inventario con finalidad, base, categorías, fuentes, destinatarios y retención.
• Justificación de interés legítimo cuando corresponda.
• Prueba del consentimiento y mecanismo de revocación cuando corresponda.
• Política pública con fecha y versión.
• Canal de derechos publicado y monitoreado.
• Procedimiento con plazos, autenticación, plantillas y escalamiento.
• Simulación de una solicitud y respaldo de la respuesta.
• Proveedores y subencargados críticos identificados.
• Contratos priorizados con seguridad, incidentes, derechos y salida.
• Transferencias internacionales registradas y evaluadas.
• Retenciones definidas y supresión o anonimización probadas.
• Matriz de controles basada en riesgo y pruebas recientes.
• Restauración de respaldo probada.
• Registro de incidentes y criterio de notificación documentados.
• Ejercicio de mesa de una brecha completado.
• Criterios de evaluación de impacto integrados al ciclo de cambios.
• Tratamientos de alto riesgo evaluados antes de su puesta en producción.
• Riesgos residuales y excepciones con dueño y fecha de revisión.

1. Inventariar sistemas y no tratamientos. Impide conectar finalidad, base de licitud y retención.
2. Usar consentimiento para todo. Puede ser inválido o innecesario y dificulta gestionar su revocación.
3. Confundir el modelo certificable con la obligación general. El modelo es voluntario; las obligaciones sustantivas de la ley no lo son.
4. Nombrar un delegado sin independencia ni recursos. El cargo no reemplaza el trabajo operativo ni la responsabilidad del responsable de datos.
5. Publicar una política antes de validar la realidad. Genera contradicciones entre lo declarado y lo ejecutado.
6. No integrar a proveedores. Las solicitudes, incidentes y supresión suelen depender de terceros.
7. Copiar una regla de 72 horas. La ley chilena exige actuar sin dilaciones indebidas y evaluar el riesgo razonable; el procedimiento debe reflejar el texto aplicable.
8. Guardar controles sin pruebas. Ante una controversia, el responsable debe poder acreditar existencia y funcionamiento.
9. Dejar IA y perfiles fuera del inventario. Las decisiones automatizadas y sus consecuencias tienen deberes específicos de transparencia y pueden activar una evaluación de impacto.
10. Tratar el 1 de diciembre como cierre. Esa fecha marca el inicio del régimen, no el término de la mejora continua.

Usar pocos indicadores que muestren operación real:

• porcentaje de tratamientos críticos con registro completo;
• porcentaje con base de licitud revisada;
• solicitudes abiertas y días restantes para vencer;
• porcentaje de proveedores críticos con contrato adecuado;
• porcentaje de retenciones críticas con prueba de eliminación;
• controles críticos probados y fallidos durante el mes;
• tiempo desde detección de una brecha hasta evaluación y decisión;
• tratamientos de alto riesgo iniciados sin evaluación previa;
• excepciones vencidas.

• Ley 21.719 consolidada — Biblioteca del Congreso Nacional
• Ley 21.719 publicada el 13 de diciembre de 2024 — Diario Oficial
• Decreto 662: reglamento de modelos de prevención — Biblioteca del Congreso Nacional
• Decreto 662 publicado el 9 de septiembre de 2026 — Diario Oficial

Chile entra en la recta final para la Ley 21.719