Multas de la Ley 21.719: cuánto son, cómo se calculan y qué rige para las pymes
Desde el 1 de diciembre de 2026, el artículo 35 de la ley de protección de datos fija multas de hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. La multa sube un 50% si no corriges en 60 días, puede triplicarse si reincides y, en empresas que no son de menor tamaño y reinciden en faltas graves o gravísimas, llegar al 2% o 4% de los ingresos anuales.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿Cuánto son las multas de la ley de protección de datos?
La Ley 21.719 reformó la Ley 19.628 y clasificó las infracciones en leves, graves y gravísimas (artículo 34). El artículo 35 asigna a cada nivel un tope en unidades tributarias mensuales (UTM).
Son topes, no tarifas: la Agencia fija la cifra con los criterios del artículo 37. Los pesos de la tabla son solo un orden de magnitud, calculado con la UTM de octubre de 2026 (72.151 pesos, según el Servicio de Impuestos Internos); la UTM cambia cada mes, así que el equivalente exacto se calcula al momento de la sanción.
Gravedad
Artículo que la define
Sanción (artículo 35)
Orden de magnitud en pesos
Leve
34 bis
Amonestación escrita o multa de hasta 5.000 UTM
Hasta unos 360 millones
Grave
34 ter
Multa de hasta 10.000 UTM
Hasta unos 720 millones
Gravísima
34 quáter
Multa de hasta 20.000 UTM
Hasta unos 1.440 millones
Gravísima con reincidencia
35, inciso tercero
Hasta tres veces el monto: 60.000 UTM
Hasta unos 4.300 millones
Qué conductas son infracciones leves, graves y gravísimas
La ley enumera las conductas en tres artículos. Estos ejemplos vienen del texto; la misma materia puede caer en distinto nivel según haya intención o no.
La ley no fija un plazo en horas para reportar una vulneración de seguridad: el artículo 14 sexies exige reportarla a la Agencia sin dilaciones indebidas cuando haya un riesgo razonable para los titulares. Omitir esa comunicación o su registro es grave (artículo 34 ter, letra k). Omitirla en forma deliberada es gravísima (artículo 34 quáter, letra f).
Leves (artículo 34 bis): incumplir el deber de información y transparencia del artículo 14 ter; no tener un correo o domicilio operativo para que los titulares ejerzan sus derechos; responder tarde, incompleto o no responder sus solicitudes; no enviar a la Agencia las comunicaciones obligatorias. Es leve también toda infracción no calificada como grave o gravísima.
Graves (artículo 34 ter): tratar datos sin consentimiento ni otra base legal, o para otra finalidad; tratar datos innecesarios; obstaculizar los derechos de acceso, rectificación, supresión, oposición o portabilidad; vulnerar el secreto o las obligaciones de seguridad; transferir datos al extranjero sin cumplir la ley; incumplir un requerimiento de la Agencia.
Gravísimas (artículo 34 quáter): tratar datos en forma fraudulenta; destinarlos maliciosamente a otra finalidad; tratar o ceder a sabiendas datos sensibles o de niños, niñas y adolescentes contra la ley; omitir deliberadamente la comunicación de una vulneración de seguridad; incumplir la resolución de la Agencia sobre el reclamo de un titular; entregar a sabiendas información falsa en la certificación del modelo de prevención.
¿Qué pasa si no corriges en 60 días o si vuelves a infringir la ley?
Recargo del 50%. Según el artículo 35, la Agencia señala en cada caso las medidas para subsanar, que deben adoptarse en un plazo no mayor a sesenta días; si no, se impone un recargo de 50% a la multa cursada.
Reincidencia: hasta el triple. Hay reincidencia cuando el responsable fue sancionado dos o más veces en los últimos treinta meses, con resoluciones firmes (artículo 36). La Agencia puede entonces multar hasta tres veces el monto de la infracción.
Reincidencia en empresas que no son de menor tamaño: porcentaje de ingresos. Si la empresa no es de menor tamaño (artículo segundo de la Ley 20.416) y reincide en una infracción grave o gravísima, la multa puede ser la más gravosa entre el triple o hasta el 2% o 4% de sus ingresos anuales del giro del último año calendario. Esta regla no alcanza a micro, pequeñas y medianas empresas.
Situación
Quién
Efecto
No adoptar las medidas en 60 días
Cualquier empresa
Recargo de 50% sobre la multa
Reincidencia en cualquier infracción
Cualquier empresa
Hasta tres veces el monto de la infracción
Reincidencia en infracción grave
Empresa que no es de menor tamaño
La más gravosa entre el triple o hasta el 2% de los ingresos anuales
Reincidencia en infracción gravísima
Empresa que no es de menor tamaño
La más gravosa entre el triple o hasta el 4% de los ingresos anuales
¿Las pymes tienen un año sin multas?
No. El artículo sexto transitorio de la Ley 21.719 dice que, en los primeros doce meses de vigencia, la Agencia podrá amonestar por escrito a una empresa de menor tamaño. Es una facultad de la Agencia, no un derecho de la empresa.
En la práctica: la Agencia conserva la opción de multar; la regla no distingue gravedad, pero nada obliga a usarla en una gravísima, y la amonestación se anota en el registro público de sanciones.
Las empresas de menor tamaño son las micro, pequeñas y medianas definidas en el artículo segundo de la Ley 20.416. Fechas en la guía de vigencia de la Ley 21.719.
Durante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción para empresas calificadas como de menor tamaño, de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416, que fija normas especiales para aquéllas, la Agencia podrá aplicar como sanción una amonestación por escrito, señalando a los responsables de datos la gravedad de la infracción, la conducta infractora, y las circunstancias atenuantes y agravantes de responsabilidad, si proceden. A esta amonestación será aplicable el deber de registro según lo dispone el artículo 39 de la presente ley.
Cómo fija la Agencia el monto: criterios, atenuantes y agravantes
El artículo 37 fija ocho criterios: gravedad; falta de diligencia; perjuicio, en especial el número de titulares afectados; beneficio económico obtenido; si hubo datos sensibles o de menores; capacidad económica del infractor; sanciones previas en casos iguales, y atenuantes y agravantes.
Si una conducta genera varias infracciones, se aplica una sola multa por la más grave; si son conductas independientes, se suman. Se paga en la Tesorería dentro de diez días hábiles desde que la resolución queda firme.
El artículo 36 fija las circunstancias que bajan o suben la multa:
Atenuantes: reparar o llegar a acuerdos con los titulares afectados; colaborar en la investigación; no tener sanciones previas; autodenunciarse informando las medidas adoptadas, y acreditar diligencia con el certificado del modelo de prevención de infracciones (artículo 51).
Agravantes: la reincidencia, el carácter continuado de la infracción y haber puesto en riesgo la seguridad de los derechos y libertades de los titulares.
El modelo de prevención certificado es voluntario (artículo 49), pero es la atenuante que puedes preparar antes de un problema. Su primer elemento mínimo es el Delegado de Protección de Datos Personales (DPO) (artículo 49 y artículo 6 del Decreto 662). El certificado dura tres años (artículo 52 de la ley y artículo 15 del Decreto 662). Detalle en la guía del Decreto 662.
El haber cumplido diligentemente sus deberes de dirección y supervisión para la protección de los datos personales sujetos a tratamiento, lo que se verificará con el certificado expedido de acuerdo a lo dispuesto en el artículo 51.
Suspensión de operaciones y Registro Nacional de Sanciones y Cumplimiento
Suspensión (artículo 38). Ante multas por infracciones gravísimas reiteradas en veinticuatro meses, la Agencia puede suspender total o parcialmente el tratamiento de datos hasta por treinta días, sin afectar su almacenamiento y sin que pueda decretarse cuando afecte los derechos de los titulares. Si la empresa no cumple, se prorroga por períodos de hasta treinta días hasta que cumpla.
Registro público (artículo 39). El Registro Nacional de Sanciones y Cumplimiento es público, gratuito y electrónico. Anota a los sancionados con la gravedad, la conducta y la sanción, durante cinco años, y también a quienes tengan un modelo de prevención certificado vigente.
Qué evidencia conviene tener lista antes de un requerimiento
La multa se gradúa con criterios que premian la diligencia (artículo 37) y se atenúa si acreditas que hiciste lo que la ley pide (artículo 36). Lo que la Agencia va a pedir primero es lo que la ley obliga a tener por escrito. Esta lista sale de esos artículos, no de una instrucción de la Agencia, que todavía no existe.
La política de tratamiento publicada en tu sitio, con fecha y versión (artículo 14 ter).
Los respaldos del Canal para el ejercicio de los derechos del titular: acuses, respuestas y fechas (artículo 11).
El test de ponderación del interés legítimo de cada tratamiento que se apoye en esa base (artículo 13 letra d).
El inventario de medidas de seguridad con su última evaluación (artículo 14 quinquies) y el registro de vulneraciones (artículo 14 sexies).
Los contratos de encargo de tratamiento con tus proveedores (artículo 15 bis).
Si adoptaste el modelo de prevención: la designación del Delegado de Protección de Datos Personales y el programa (artículo 49 y Decreto 662).
¿Quién fiscaliza la Ley 21.719 y cómo empieza un procedimiento?
Fiscaliza la Agencia de Protección de Datos Personales, corporación autónoma creada por el artículo 30, que se relaciona con el Presidente de la República a través del Ministerio de Economía. El artículo 30 bis la faculta para fiscalizar, pedir documentos, citar a declarar, determinar infracciones y sancionar. A octubre de 2026 aún no está plenamente instalada.
El procedimiento (artículo 42) parte de oficio, tras una fiscalización, o por el reclamo de un titular. Los cargos se notifican al domicilio o correo informado según el artículo 14 ter, y hay quince días hábiles para descargos.
El artículo 48 obliga a todo responsable a prevenir estas infracciones. Resumen en la página de la ley de protección de datos.
Preguntas frecuentes
¿Cuál es la multa máxima de la Ley 21.719?+
Para una infracción gravísima, el artículo 35 fija hasta 20.000 UTM. Con reincidencia (dos o más sanciones firmes en 30 meses), puede llegar al triple, 60.000 UTM. Si la empresa no es de menor tamaño y reincide en una infracción gravísima, la multa puede ser la más gravosa entre ese triple y hasta el 4% de sus ingresos anuales del último año calendario.
¿Hay un plazo de 72 horas para reportar una filtración de datos?+
No. La Ley 21.719 no fija un plazo en horas. El artículo 14 sexies exige reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones de seguridad que generen un riesgo razonable para los titulares. Omitir esa comunicación es una infracción grave y omitirla en forma deliberada es gravísima.
¿Las pymes solo recibirán amonestaciones el primer año de la ley de protección de datos?+
No necesariamente. El artículo sexto transitorio dice que, durante los primeros doce meses desde la entrada en vigencia (hoy fijada en el 1 de diciembre de 2026), la Agencia podrá aplicar una amonestación por escrito a las empresas de menor tamaño. Es una facultad, no una obligación: la Agencia puede igualmente multar. Además, la amonestación se inscribe en el Registro Nacional de Sanciones y Cumplimiento.
¿Quién fiscaliza la ley de protección de datos en Chile?+
La Agencia de Protección de Datos Personales, corporación autónoma creada por el artículo 30 de la Ley 19.628 reformada. Puede fiscalizar, pedir documentos, citar a declarar, determinar infracciones y aplicar multas. A octubre de 2026 aún no está plenamente instalada.
¿Cuánto tiempo tiene la Agencia para sancionar una infracción?+
Según el artículo 40, la acción para perseguir una infracción prescribe en cuatro años desde el hecho; si la infracción es continuada, desde que cesa. La notificación del inicio del procedimiento interrumpe ese plazo. Una vez ejecutoriada, la sanción prescribe en tres años.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.