¿A quién aplica la Ley 21.719? Qué empresas deben cumplir la ley de protección de datos
Aplica a toda persona natural o jurídica que trate datos personales, incluidas las pymes (artículo 1 de la Ley 19.628, actualizada por la Ley 21.719), y es exigible desde el 1 de diciembre de 2026. El tamaño de tu empresa no te exime: solo modula algunos estándares de información y seguridad (artículo 14 septies) y ciertas sanciones.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿La ley de protección de datos aplica a mi empresa? Prueba de cinco preguntas
Revisa lo que tu empresa hace todos los días. Si respondes que sí a una sola de estas preguntas, tratas datos personales y la Ley 21.719 te aplica desde el 1 de diciembre de 2026.
¿Tienes trabajadores? Contratos, liquidaciones, licencias médicas y cuentas bancarias para el pago de sueldos son datos personales. Las licencias médicas, además, son datos de salud, que la ley califica como sensibles.
¿Vendes o prestas servicios a personas naturales? Nombre, RUT, dirección de despacho, teléfono o historial de compras cuentan, aunque vendas solo en un local físico.
¿Recibes currículos de postulantes? Un proceso de selección es tratamiento de datos, aunque no contrates a nadie.
¿Tienes cámaras de seguridad o control de acceso con huella o rostro? La imagen de una persona identificable es un dato personal, y la huella o el rostro son datos biométricos, también sensibles.
¿Guardas una base de contactos? Una planilla con correos de clientes, una lista de difusión de WhatsApp o los datos de contacto de tus proveedores que son personas naturales.
Qué es tratar datos personales según el artículo 2
La ley define dato personal como cualquier información vinculada o referida a una persona natural identificada o identificable (artículo 2, letra f). Identificable significa que su identidad se puede determinar directa o indirectamente, por ejemplo, con el nombre, el RUT o elementos de su identidad física, económica o social. Los datos de una persona jurídica no son datos personales; los de las personas que trabajan en ella, sí.
La definición de tratamiento es amplia a propósito: cubre casi cualquier cosa que hagas con esos datos, en papel o en un sistema.
Quien decide para qué y cómo se usan los datos es el responsable de datos (artículo 2, letra n), sea persona natural o jurídica, aunque el trabajo lo haga un proveedor. En la práctica, tu empresa es responsable de los datos de sus trabajadores y clientes.
La ley solo deja fuera dos situaciones (artículo 1): el tratamiento que hacen las personas naturales en sus actividades personales, como la agenda de tu teléfono, y el que se hace en ejercicio de las libertades de opinar e informar. Una empresa no entra en ninguna de las dos por su actividad comercial.
Tratamiento de datos: cualquier operación o conjunto de operaciones o procedimientos técnicos, de carácter automatizado o no, que permitan de cualquier forma recolectar, procesar, almacenar, comunicar, transmitir o utilizar datos personales o conjuntos de datos personales.
¿La ley aplica a empresas extranjeras con clientes en Chile?
Sí. El artículo 1 bis fija el ámbito territorial. La ley se aplica cuando el responsable o el proveedor que trata datos por su cuenta está establecido en Chile, y también cuando un proveedor extranjero trata datos a nombre de una empresa establecida en Chile.
Además alcanza a empresas sin presencia en Chile cuando sus operaciones están destinadas a ofrecer bienes o servicios a personas que se encuentran en Chile, se les cobre o no, o a monitorear su comportamiento, incluido el análisis, el rastreo o el perfilamiento. Una tienda en línea extranjera que despacha a Chile queda sujeta a la ley.
Esa empresa extranjera debe mantener actualizado y operativo un correo electrónico u otro medio de contacto para recibir las comunicaciones de los titulares y de la Agencia (artículo 14, inciso final, y artículo 10).
¿Qué cambia si mi empresa es pequeña?
El tamaño no cambia si la ley te aplica. Cambia cómo se te exigen algunas obligaciones. La ley usa las categorías de empresas de menor tamaño del artículo segundo de la Ley 20.416, que se definen por ingresos anuales del último año calendario, sin IVA.
Ojo con dos cosas. Los estándares diferenciados todavía no existen: los fijará la Agencia de Protección de Datos Personales, que aún no está plenamente instalada. Y la amonestación del artículo sexto transitorio es una facultad ("podrá"), no un año garantizado sin multas. Para los montos de las sanciones, revisa las multas de la ley.
Qué se diferencia
Qué dice la ley
Norma
Categorías de tamaño
Micro: hasta 2.400 UF de ingresos anuales. Pequeña: sobre 2.400 y hasta 25.000 UF. Mediana: sobre 25.000 y hasta 100.000 UF.
Artículo segundo, Ley 20.416
Deber de información y medidas de seguridad
Los estándares mínimos se determinan según el tipo de dato, el tamaño de la empresa, su actividad y el volumen y finalidad de los datos. La Agencia los fijará por instrucción general.
Artículo 14 septies
Sanción en el primer año
Durante los primeros doce meses de vigencia, la Agencia podrá aplicar a las empresas de menor tamaño una amonestación por escrito en vez de otra sanción.
Artículo sexto transitorio, Ley 21.719
Multa por reincidencia
El tope de 2% o 4% de los ingresos anuales por reincidencia en infracciones graves o gravísimas no se aplica a las empresas de menor tamaño.
Artículo 35
Delegado de Protección de Datos Personales (DPO)
En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente sus tareas.
Artículo 50
Obligaciones mínimas de la ley de protección de datos para las empresas
Estas obligaciones alcanzan a toda empresa, grande o chica. El detalle está en la Ley 21.719 explicada; aquí va lo que tienes que hacer.
Obligación
Artículo
Qué hacer
Tener una base legal para cada uso de datos y poder acreditarla
12, 13 y 14 a)
Identifica si usas cada dato por consentimiento, contrato, obligación legal o interés legítimo, y déjalo documentado. Ver consentimiento.
Tratar datos sensibles solo con consentimiento expreso o una excepción legal
16
Ubica dónde manejas salud, biometría u otros datos sensibles y revisa con qué fundamento los usas.
Publicar tu política de tratamiento de datos
14 ter
Publica en tu sitio web qué datos tratas, para qué, con qué base, a quién los comunicas, cuánto tiempo los guardas y cómo ejercer los derechos.
Responder los derechos de los titulares
4, 10 y 11
Habilita un Canal para el ejercicio de los derechos del titular (acceso, rectificación, supresión, oposición, portabilidad y bloqueo) y responde dentro de 30 días corridos, prorrogables una vez por 30 más; el bloqueo temporal se responde en dos días hábiles. Más en derechos del titular.
Guardar secreto
14 bis
Incluye cláusulas de confidencialidad para trabajadores y proveedores que acceden a datos.
Adoptar medidas de seguridad
14 quinquies
Controla accesos, respaldos y permisos de acuerdo con el riesgo. Si hay un incidente, tú debes acreditar las medidas. Ver seguridad.
Reportar vulneraciones de seguridad
14 sexies
Reporta a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los titulares, y registra cada incidente.
Firmar contrato con quien trata datos por ti
15 bis
Firma un contrato de encargo de tratamiento con tu proveedor de remuneraciones, nube o marketing, con objeto, duración, finalidad y tipos de datos.
Evaluar el impacto cuando el riesgo es alto
15 ter
Haz una evaluación de impacto antes de tratamientos masivos, perfilamiento con efectos significativos o vigilancia sistemática de zonas de acceso público.
Enviar datos al extranjero con garantías
27 y 28
Verifica si tus proveedores guardan datos fuera de Chile y con qué garantías lo hacen.
El modelo de prevención y el Delegado de Protección de Datos Personales
La ley permite adoptar un modelo de prevención de infracciones (artículo 49), un programa de cumplimiento que puede certificarse. Su primer elemento mínimo es la designación de un Delegado de Protección de Datos Personales, con medios y facultades definidos, y el artículo 6 del Decreto 662 declara obligatoria esa designación en el marco del programa.
Para una pyme esto no significa contratar un cargo nuevo: el artículo 50 permite que el dueño o sus máximas autoridades asuman personalmente las tareas del delegado. Más en modelo de prevención.
Errores comunes sobre a quién aplica la ley de protección de datos
Estas ideas se repiten entre dueños de pymes y no se sostienen en el texto de la ley.
"No vendo por internet, así que no me aplica." La definición de tratamiento incluye operaciones automatizadas o no. Una carpeta física con fichas de trabajadores también cuenta.
"Somos pocos, la ley es para las grandes." El artículo 1 alcanza a toda persona natural o jurídica. Una pyme hipotética de 12 trabajadores ya trata datos de salud solo por recibir licencias médicas.
"Solo vendo a empresas." Igual tratas datos de tus propios trabajadores y de las personas de contacto de tus clientes.
"Mi proveedor de software se encarga." El responsable es quien decide los fines y medios (artículo 2, letra n). Tu proveedor es encargado de tratamiento y actúa según tus instrucciones y el contrato, pero tú sigues siendo el responsable.
"Hay un año sin multas para las pymes." El artículo sexto transitorio dice que la Agencia "podrá" amonestar por escrito durante los primeros doce meses. Es una facultad, no una garantía.
"Ya aprobaron la postergación a 2027." No. El Boletín 18.623-07, que propone postergarla a 2027, es un proyecto en primer trámite en el Senado. Mientras no se apruebe, la fecha es el 1 de diciembre de 2026. Ver vigencia de la ley.
Por dónde empezar si la ley te aplica
El primer paso es saber qué datos tienes, de quién, para qué y dónde están. Recorre cada área (personas, ventas, finanzas, operaciones) y anota los procesos que usan datos: ese inventario es la base del registro de actividades de tratamiento y de tu política publicada. Si tienes trabajadores, revisa además la guía sobre datos de trabajadores.
Luego prioriza lo sensible (salud, biometría, menores de edad) y los proveedores que tratan datos por ti. Orbix levanta ese inventario conversando con cada área de tu empresa; puedes ver cómo lo hacemos.
Preguntas frecuentes
¿La Ley 21.719 aplica a las pymes?+
Sí. El artículo 1 de la Ley 19.628, actualizada por la Ley 21.719, alcanza a toda persona natural o jurídica que trate datos personales, sin umbral de tamaño. Lo que cambia para las empresas de menor tamaño son los estándares de información y seguridad, que fijará la Agencia (artículo 14 septies), y la posibilidad de que la Agencia las amoneste por escrito durante los primeros doce meses (artículo sexto transitorio).
¿Qué empresas están exentas de la ley de protección de datos?+
Ninguna empresa está exenta por su tamaño o rubro. La ley solo excluye el tratamiento que hacen las personas naturales en sus actividades personales y el que se realiza en ejercicio de las libertades de opinar e informar (artículo 1).
¿Desde cuándo es obligatoria la ley de protección de datos para las empresas?+
Desde el 1 de diciembre de 2026, según el artículo primero transitorio de la Ley 21.719. Existe un proyecto (Boletín 18.623-07) que propone postergarla a 2027, pero está en primer trámite en el Senado y no es ley.
¿Una empresa extranjera sin oficina en Chile debe cumplir la Ley 21.719?+
Sí, si sus operaciones están destinadas a ofrecer bienes o servicios a personas que se encuentran en Chile, sean pagados o gratuitos, o a monitorear su comportamiento (artículo 1 bis, letra c). Además debe mantener un correo u otro medio de contacto operativo para los titulares y la Agencia (artículo 14).
¿Mi pyme necesita un Delegado de Protección de Datos Personales?+
El delegado es el primer elemento mínimo del modelo de prevención de infracciones (artículo 49), y el artículo 6 del Decreto 662 declara obligatoria su designación en el marco de ese programa. En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente sus tareas (artículo 50).
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.