Cómo implementar la ley de protección de datos en una empresa: etapas, plazos y lista de revisión
Implementar la Ley 21.719 es ordenar siete frentes: inventario de datos, bases de licitud, la información pública del artículo 14 ter, un Canal para el ejercicio de los derechos del titular que responda en 30 días corridos, seguridad y vulneraciones, contratos con proveedores y un modelo de prevención de infracciones cuyo primer elemento mínimo es el Delegado de Protección de Datos Personales (DPO). Todo es exigible desde el 1 de diciembre de 2026 (artículo primero transitorio).
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿Qué hay que hacer para cumplir la ley de protección de datos?
La Ley 21.719 reescribió la Ley 19.628 y le dio deberes concretos al responsable de datos, es decir, a tu empresa. No basta con una política de privacidad: hay que poder demostrar qué datos tratas, con qué base legal, cómo los proteges y cómo respondes cuando una persona pide algo.
Ordenado como proyecto, son siete etapas. Las seis primeras son deberes directos de toda empresa; la séptima, el modelo de prevención de infracciones, es la forma de ordenar y certificar ante la Agencia de Protección de Datos Personales el deber de prevenir del artículo 48, y dentro de ella el Delegado de Protección de Datos Personales es obligatorio:
Inventario y registro de actividades de tratamiento.
Bases de licitud de cada actividad.
Publicación del artículo 14 ter.
Canal para el ejercicio de los derechos del titular: acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
Seguridad y vulneraciones.
Proveedores y contratos de encargo de tratamiento.
Modelo de prevención de infracciones con Delegado de Protección de Datos Personales.
Etapa 1: inventario y registro de actividades de tratamiento
Todo depende de esta etapa. El artículo 3 letra d) del Decreto 662, publicado en el Diario Oficial el 9 de septiembre de 2026, fija once contenidos mínimos para caracterizar las operaciones de tratamiento y permite hacerlo con un registro de actividades de tratamiento: tipo de datos (marcando los sensibles), ámbito territorial, bases de datos, titulares, finalidades, fuente, base de licitud, destinatarios, transferencias internacionales, plazos de supresión y decisiones automatizadas. Aunque el decreto reglamenta el modelo de prevención, esa información la necesitas igual para el artículo 14 ter.
Se levanta área por área, preguntando por procesos y no por datos. En una pyme hipotética de 40 trabajadores, personas tiene reclutamiento, remuneraciones y licencias médicas; ventas, la cartera de clientes y la cobranza. Cada proceso es una actividad. Ejemplo resuelto en la guía del registro de actividades de tratamiento.
Etapas 2 y 3: bases de licitud y publicación del artículo 14 ter
Cada actividad necesita su base de licitud. La regla general es el consentimiento (artículo 12): libre, informado, específico, previo e inequívoco, y revocable en cualquier momento. El artículo 13 agrega cinco causales sin consentimiento: datos económicos, financieros, bancarios o comerciales según el Título III; obligación legal; celebración o ejecución de un contrato con el titular; interés legítimo, y defensa de un derecho ante tribunales u órganos públicos.
Dos errores frecuentes. Pedir consentimiento para todo: el artículo 12 presume que no es libre cuando se recaba en un contrato en que esa recolección no es necesaria. Y usar el interés legítimo sin respaldo: si lo invocas, documenta el test de ponderación del interés legítimo. Los datos sensibles, como los de salud, tienen reglas propias desde el artículo 16. Más en consentimiento.
Luego, el artículo 14 ter obliga a mantener permanentemente a disposición del público, en tu sitio web o un medio equivalente, doce contenidos, entre ellos la política con fecha y versión, el medio de contacto para solicitudes, finalidades, base de licitud, destinatarios, medidas de seguridad, derechos del titular y plazos de conservación. Incumplirlo es infracción leve (artículo 34 bis letra a). Ver política de privacidad del sitio web.
El responsable deberá acreditar la licitud del tratamiento de datos.
Etapa 4: Canal para el ejercicio de los derechos del titular
Según el artículo 11, el titular ejerce sus derechos por escrito, ante el correo establecido para ese fin, un formulario de contacto o un medio electrónico equivalente. Necesitas ese canal, alguien a cargo y un procedimiento con estos plazos:
No tener un correo o medio equivalente operativo, y responder tarde, incompleto o no responder, son infracciones leves (artículo 34 bis letras b y c).
Antes del 1 de diciembre de 2026, prueba el canal con una solicitud ficticia y mide cuánto tardas en encontrar los datos de esa persona en todos tus sistemas. Más en derechos del titular.
Paso
Plazo o regla (artículo 11)
Acusar recibo y pronunciarse
A más tardar 30 días corridos desde el ingreso; prorrogable una vez hasta por 30 días corridos
Respuesta
Por escrito, guardando respaldo del envío, su fecha y su contenido
Rechazo total o parcial
Fundado, informando que el titular tiene 30 días hábiles para reclamar ante la Agencia
Bloqueo temporal
Si se pide junto con rectificación, supresión u oposición: responder en 2 días hábiles y no tratar esos datos mientras tanto
Terceros que recibieron los datos
Comunicarles la rectificación, supresión u oposición
Etapas 5 y 6: seguridad, vulneraciones y proveedores
El artículo 14 quinquies exige medidas técnicas y organizativas adecuadas al riesgo que aseguren confidencialidad, integridad, disponibilidad y resiliencia, como el cifrado, la capacidad de restaurar datos y la revisión periódica de las medidas. Ante un incidente, tu empresa debe acreditar que existían y funcionaban. Si un tratamiento puede ser de alto riesgo, como uno masivo o con perfiles automatizados, el artículo 15 ter exige una evaluación de impacto antes de empezar.
Prepara el procedimiento de vulneraciones: quién detecta, quién reporta y dónde se registra. La ley no fija un plazo en horas. Ver reporte de vulneraciones y seguridad.
Para los proveedores, el artículo 15 bis exige un contrato de encargo de tratamiento con objeto, duración, finalidad, tipo de datos, categorías de titulares y derechos y obligaciones de las partes. El proveedor no puede subcontratar sin autorización específica y escrita, debe reportarte las vulneraciones y suprimir o devolver los datos al terminar. Revisa el software de remuneraciones, el contador externo y la nube: si alguno guarda datos fuera de Chile, aplica además el artículo 27 (ver transferencia internacional).
El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.
Etapa 7: modelo de prevención de infracciones con Delegado de Protección de Datos Personales
El artículo 48 obliga a todas las empresas a prevenir infracciones. El artículo 49 regula el modelo de prevención, un programa de cumplimiento que la empresa adopta por decisión propia y que el Decreto 662 reglamenta: es la forma ordenada y certificable de cumplir ese deber. Certificado (artículo 51), acredita la atenuante del artículo 36 número 5: haber cumplido diligentemente los deberes de dirección y supervisión.
Su primer elemento mínimo es el Delegado de Protección de Datos Personales (artículo 49 letra a), y dentro del modelo su designación es obligatoria (artículo 6 del Decreto 662). En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir sus tareas, y un grupo empresarial puede designar uno solo si sus entidades operan con los mismos estándares y el delegado es accesible para todas (artículo 50). Más en la guía del Delegado de Protección de Datos Personales.
El resto se construye sobre las etapas anteriores: inventario, matriz de riesgos, protocolos por área, reporte interno, sanciones internas y denuncia ante el Delegado, con las reglas incorporadas a los contratos de trabajo o al reglamento interno (artículo 4 del decreto). La certificación depende de que la Agencia esté instalada, pero el artículo 18 del decreto permite empezar la implementación antes. Ver la guía del Decreto 662.
¿Cuánto tiempo toma implementar la Ley 21.719?
La ley no fija un plazo de implementación, solo la fecha de vigencia. Conviene separar dos cosas: la puesta en marcha (inventario en curso, publicación del artículo 14 ter y Canal para el ejercicio de los derechos del titular funcionando) y el cierre de todas las brechas (contratos firmados con cada proveedor, evaluaciones de impacto hechas, controles de seguridad implementados), que depende de cada empresa. Los rangos de la tabla son una estimación orientativa del cierre completo, no una norma, y suponen que alguien de la empresa dedica tiempo real al proyecto. Lo que más alarga el trabajo son las áreas y sistemas, los datos sensibles y los proveedores sin contrato.
Si el tiempo hasta el 1 de diciembre de 2026 no alcanza para todo, prioriza lo visible desde afuera: inventario mínimo, publicación del artículo 14 ter y Canal para el ejercicio de los derechos del titular funcionando.
La acción por una infracción prescribe en cuatro años y, si es continuada, se cuenta desde que cesa (artículo 40). Fechas en la guía de vigencia.
Tipo de empresa (hipotético)
Situación típica
Plazo orientativo para cerrar las brechas
Micro o pequeña
Pocas áreas y un par de proveedores de software
4 a 8 semanas
Mediana
Varias áreas, sistemas propios, datos de salud de trabajadores
2 a 4 meses
Grande o con datos sensibles a gran escala
Muchos procesos, transferencias internacionales, evaluaciones de impacto
4 a 8 meses o más
Tareas por área: personas, tecnología, ventas y marketing
La implementación no la hace una sola persona. Cada área tiene datos propios y tareas propias; esta tabla sirve para repartirlas desde el primer día.
Área
Datos que suele tratar
Tareas en la implementación
Personas
Trabajadores, postulantes, licencias médicas, huella de asistencia
Registrar sus actividades, revisar la biometría y los datos de salud (artículos 16 bis y 16 ter), y la cláusula de los contratos; ver la guía de datos de trabajadores
Tecnología
Accesos, respaldos, registros de sistemas, proveedores en la nube
Inventario de medidas de seguridad (artículo 14 quinquies), protocolo de vulneraciones (artículo 14 sexies) y lista de proveedores con su país
Ventas y marketing
Clientes, prospectos, campañas, cookies del sitio
Bases de licitud por campaña, consentimiento donde corresponda (artículo 12), política del sitio (artículo 14 ter) y Canal para el ejercicio de los derechos del titular
Finanzas y administración
Facturación, cobranza, proveedores personas naturales
Registrar actividades, plazos de conservación según las obligaciones tributarias y contratos de encargo (artículo 15 bis)
Gerencia
Decide y responde
Designar responsables por área y, si se adopta el modelo, al Delegado de Protección de Datos Personales (artículo 49)
Errores comunes al implementar la ley de protección de datos
Cómo fiscalizará la Agencia y cómo empieza un procedimiento está en la guía de la Agencia de Protección de Datos Personales. La guía oficial del Estado para organismos públicos (Secretaría de Gobierno Digital) sirve de referencia, aunque no está escrita para empresas.
Empezar por la política de privacidad y no por el inventario: la política se escribe a partir del registro, no al revés.
Pedir consentimiento para todo: muchas actividades tienen otra base de licitud, y un consentimiento innecesario se presume no libre (artículo 12).
Dejar la ciberseguridad solo en tecnología: las medidas se declaran desde tecnología, pero se usan en cada área; si las dos versiones no calzan, hay una brecha.
Firmar con los proveedores sin leer: el contrato de encargo de tratamiento tiene contenido mínimo (artículo 15 bis) y el proveedor extranjero exige, además, revisar la transferencia (artículo 27).
No guardar evidencia de lo que se hizo: ante la Agencia pesa lo que se puede demostrar (artículos 36 y 37), no lo que se declara.
Lista de revisión para implementar la ley de protección de datos
Cada fila que respondas con un no es tu siguiente tarea.
Con Orbix, la puesta en marcha toma alrededor de un mes: la plataforma queda operativa, el levantamiento conversado con cada área en curso y el Canal para el ejercicio de los derechos del titular publicado. Cerrar todas las brechas depende de cada empresa, sobre todo de la disponibilidad de sus áreas y de las evaluaciones de impacto que haga falta hacer, como se explica en cómo lo hacemos.
Etapa
Pregunta de revisión
Norma
1. Inventario
¿Cada área tiene sus actividades registradas con los once contenidos mínimos?
Decreto 662, art. 3 d)
2. Licitud
¿Cada actividad tiene base de licitud y, si es interés legítimo, su test de ponderación documentado?
Arts. 12 y 13
3. Publicación
¿Tu sitio web tiene la información completa del artículo 14 ter, con fecha y versión?
Art. 14 ter
4. Derechos
¿Hay un correo o formulario operativo, alguien a cargo y un procedimiento con plazos?
Arts. 11 y 34 bis
5. Seguridad
¿Las medidas están documentadas y hay un procedimiento escrito para reportar vulneraciones?
Arts. 14 quinquies y 14 sexies
5. Seguridad
¿Identificaste los tratamientos que requieren evaluación de impacto?
Art. 15 ter
6. Proveedores
¿Cada proveedor que trata datos por cuenta tuya tiene contrato de encargo de tratamiento?
Art. 15 bis
6. Proveedores
¿Sabes en qué país guarda los datos cada proveedor?
Art. 27
7. Modelo
¿Designaste al Delegado de Protección de Datos Personales, con medios, facultades y autonomía definidos?
Art. 49 y Decreto 662, art. 6
Preguntas frecuentes
¿Por dónde empiezo a implementar la Ley 21.719 en mi empresa?+
Por el inventario de datos personales: qué datos trata cada área, de quién, para qué, con qué base de licitud y con quién los comparte. El artículo 3 letra d) del Decreto 662 fija once contenidos mínimos. Sin ese inventario no puedes publicar la información del artículo 14 ter ni acreditar la licitud que exige el artículo 13.
¿Cuánto tiempo toma implementar la ley de protección de datos?+
La ley no fija un plazo de implementación, solo la vigencia: 1 de diciembre de 2026. Conviene distinguir la puesta en marcha (inventario en curso, publicación del artículo 14 ter y canal de derechos funcionando), que con una plataforma como Orbix toma alrededor de un mes, del cierre de todas las brechas, que depende de cada empresa. Como estimación orientativa de ese cierre completo, una micro o pequeña empresa puede necesitar entre 4 y 8 semanas, una mediana entre 2 y 4 meses, y una grande o con datos sensibles a gran escala 4 a 8 meses o más.
¿Es obligatorio el modelo de prevención de infracciones para cumplir la ley?+
El deber de prevenir infracciones rige para todas las empresas (artículo 48). El modelo de prevención del artículo 49 es un programa de cumplimiento que la empresa adopta por decisión propia y que, certificado, acredita la atenuante del artículo 36 número 5. Una vez adoptado, el Delegado de Protección de Datos Personales es su primer elemento mínimo y su designación es obligatoria (artículo 49 letra a y artículo 6 del Decreto 662).
¿Conviene esperar a ver si la ley se posterga a 2027?+
No. El Boletín 18.623-07, que propone mover la vigencia al 1 de diciembre de 2027, sigue en primer trámite en el Senado al 11 de octubre de 2026 y no es ley. Si no se publica antes del 1 de diciembre de 2026, la ley rige ese día. Además, el proyecto no cambia ninguna obligación de fondo.
¿Una pyme tiene que cumplir todas estas etapas?+
Sí, las seis primeras son deberes de todo responsable de datos. La Agencia fijará estándares diferenciados de información y seguridad según el tamaño (artículo 14 septies), y en los primeros doce meses podrá amonestar por escrito a las empresas de menor tamaño en vez de multar (artículo sexto transitorio). Es una facultad de la Agencia, no una exención.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.