Ley 21.719: guía de cumplimiento para empresas en Chile

El punto de partida. Identificar qué datos personales trata la empresa, dónde están (CRM, ERP, planillas, correos, nube), de dónde vienen, con qué fin y con quién se comparten. Sin este mapa, ninguna otra medida es verificable.

Actualizar la política de privacidad para que sea real, clara y coherente con lo que efectivamente hace la empresa. Debe describir fines, bases legales, plazos de conservación y derechos.

Rediseñar formularios web, contratos y flujos de captación para recoger consentimiento libre, informado y específico, con registro de cuándo y cómo se otorgó, y mecanismos simples de revocación.

Centralizar políticas, registros de actividades de tratamiento, contratos con proveedores y evidencia de cumplimiento. La responsabilidad proactiva se demuestra con documentos ordenados y accesibles.

Revisar el CRM: campos que capturan datos innecesarios, ausencia de registro de consentimiento, dificultad para exportar o eliminar un titular. El CRM suele ser la mayor concentración de datos personales de una empresa.

El ERP contiene datos de clientes, proveedores y trabajadores. Es necesario controlar accesos por rol, registrar quién ve qué y limitar la exposición de datos sensibles.

Los buzones acumulan datos personales fuera de control. Definir políticas de retención, cifrado y clasificación reduce el riesgo de fuga por esta vía tan común.

Los backups también contienen datos personales. Deben estar cifrados, tener control de acceso y respetar los plazos de conservación y eliminación.

Aplicar el principio de mínimo privilegio: cada persona accede solo a los datos que su función requiere. Revisar accesos heredados y cuentas antiguas.

Registrar quién accede, modifica o exporta datos personales. Ante una fiscalización o una brecha, la trazabilidad es la diferencia entre demostrar diligencia o no poder explicar nada.

Cifrado en tránsito y en reposo, segmentación de redes, gestión de vulnerabilidades y monitoreo. La seguridad deja de ser opcional: es una obligación legal.

Una de las medidas de mayor impacto y menor costo. Reduce drásticamente el riesgo de accesos no autorizados a sistemas con datos personales.

Procesos claros de alta, cambio y baja de usuarios. Cuando alguien deja la empresa, sus accesos deben revocarse de inmediato.

Automatizar la atención de derechos (acceso, eliminación, portabilidad), la aplicación de plazos de retención y las alertas de seguridad reduce errores humanos y tiempos de respuesta.

Programar revisiones periódicas de accesos, tratamientos y proveedores. La auditoría convierte el cumplimiento en un proceso continuo y no en un esfuerzo único.

Todo proveedor que trate datos por encargo (hosting, marketing, soporte, software) debe estar cubierto por un acuerdo de tratamiento y ofrecer garantías de seguridad.

Las integraciones vía API mueven datos personales entre sistemas. Requieren autenticación robusta, cifrado, control de qué datos exponen y registro de su uso.

Cada conexión entre plataformas (web ↔ CRM ↔ ERP ↔ nube) es un punto donde los datos viajan. Deben mapearse, protegerse y documentarse como parte del inventario.

Los sistemas de IA que procesan datos personales requieren especial atención por su capacidad de perfilar y decidir. Se abordan en la siguiente sección.

La Ley 21.719 introduce una autoridad fiscalizadora (la Agencia de Protección de Datos Personales), sanciones económicas reales, reglas claras para el consentimiento, derechos reforzados para las personas y la obligación de notificar brechas de seguridad. El cambio de fondo es el principio de responsabilidad proactiva: ya no basta con cumplir, hay que poder demostrarlo con evidencia. Esto convierte la protección de datos en un proyecto tecnológico y de procesos, no solo en un tema legal.

La ley se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia plena el 1 de diciembre de 2026, tras un período de transición de 24 meses. Ese plazo busca dar tiempo a las empresas y a los organismos públicos para adecuar sus sistemas y procesos. Sin embargo, dado el volumen de cambios técnicos que implica, la recomendación generalizada es comenzar la preparación cuanto antes y no esperar a la fecha límite.

Deben cumplirla todas las organizaciones que traten datos personales de personas naturales, sin importar su tamaño ni su rubro: grandes empresas, PYMES, inmobiliarias, empresas de servicios, retail, salud, educación y cualquier negocio que almacene información de clientes, proveedores o trabajadores. También alcanza a empresas extranjeras que traten datos de personas en Chile. En la práctica, casi ninguna organización queda fuera de su ámbito de aplicación.

Las infracciones se clasifican en leves (multa de hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM). En caso de reincidencia, la multa puede triplicarse o calcularse como un porcentaje de los ingresos anuales de la empresa: 2% en reincidencia grave y 4% en gravísima. La Agencia también puede ordenar la suspensión del tratamiento hasta por 30 días, su prohibición e incluso publicar la sanción en un registro nacional, con el consiguiente impacto reputacional.

El primer paso es levantar un inventario de datos: saber qué datos personales trata, dónde están y con qué fin. Luego conviene revisar bases legales y consentimientos, actualizar la política de privacidad, reforzar la seguridad (accesos, MFA, cifrado, respaldos), habilitar la atención de derechos de los titulares y ordenar los contratos con proveedores. Todo ello debe quedar documentado para poder demostrar el cumplimiento. Una evaluación tecnológica inicial ayuda a priorizar por nivel de riesgo.

Los sistemas más impactados son el CRM y el ERP, por concentrar datos de clientes, proveedores y trabajadores. También los sitios web y formularios (consentimiento), el correo electrónico (retención y cifrado), los respaldos, los sistemas de control de accesos e identidad, las bitácoras de auditoría y las integraciones vía API. No siempre implica reemplazar sistemas: muchas veces basta con reconfigurarlos, reforzar su seguridad y añadir trazabilidad y capacidad de exportar o eliminar datos.

El CRM suele ser la mayor concentración de datos personales de una empresa, por lo que debe registrar el consentimiento, evitar campos innecesarios y permitir exportar o eliminar a un titular con rapidez. El ERP, que contiene datos de clientes, proveedores y trabajadores, requiere control de accesos por rol, trazabilidad y protección de datos sensibles. En ambos casos, la clave es poder responder solicitudes de derechos y demostrar quién accede a qué información.

Los sitios web y formularios son el punto de captación de datos, por lo que deben recoger consentimiento válido: libre, informado, específico e inequívoco, y fácil de revocar. Es necesario informar qué datos se recogen y para qué, enlazar a la política de privacidad y registrar cuándo se otorgó el consentimiento. Prácticas como casillas premarcadas o textos ambiguos dejan de ser aceptables. También debe protegerse el envío de datos con cifrado (HTTPS).

Almacenar datos en la nube es plenamente compatible con la ley, siempre que se apliquen medidas de seguridad adecuadas: cifrado, control de accesos, respaldos y trazabilidad. Si el proveedor de nube trata datos por encargo, debe existir un acuerdo de tratamiento y garantías de seguridad. Cuando los datos se alojan fuera de Chile, aplican además las reglas de transferencia internacional. La nube bien configurada suele ofrecer un nivel de seguridad superior al de servidores locales sin mantenimiento.

La ley no prohíbe usar IA, pero exige que cualquier sistema que procese datos personales tenga base legal, transparencia y seguridad. Herramientas como ChatGPT, Claude, Gemini o Copilot no deberían recibir datos de clientes sin una política clara y un plan que evite reutilizarlos para entrenamiento. Las decisiones automatizadas y la elaboración de perfiles con efectos relevantes para las personas requieren especial cuidado y, con frecuencia, supervisión humana. La IA debe estar dentro del inventario de datos.

Los proveedores que tratan datos por encargo de la empresa (hosting, software, marketing, soporte) se consideran "encargados" y deben ofrecer garantías de seguridad respaldadas por un contrato o acuerdo de tratamiento. La empresa que contrata sigue siendo responsable ante los titulares, por lo que debe verificar que sus proveedores cumplan. Es recomendable revisar toda la cadena de proveedores, actualizar contratos e incluir cláusulas de seguridad, confidencialidad y notificación de incidentes.

Son datos que merecen mayor protección por su capacidad de afectar la dignidad o generar discriminación: salud, datos biométricos, origen racial o étnico, afiliación sindical o política, creencias, vida sexual y, como novedad en Chile, la situación socioeconómica. Su tratamiento está sujeto a exigencias más estrictas y, por lo general, requiere consentimiento explícito o una habilitación legal específica. Identificarlos dentro del inventario de datos es prioritario, porque su tratamiento indebido puede constituir una infracción gravísima.

Es el nuevo organismo autónomo de derecho público creado por la Ley 21.719 para velar por el cumplimiento de la normativa. Tiene facultades para dictar instrucciones, investigar de oficio, fiscalizar, resolver reclamos de las personas y aplicar sanciones. También puede ordenar la suspensión de tratamientos y publicar un Registro Nacional de Sanciones. Su creación es el cambio más relevante frente a la ley anterior, porque por primera vez existe en Chile una autoridad con capacidad real de hacer cumplir la protección de datos.

La ley promueve la figura del delegado de protección de datos y de un modelo de prevención de infracciones como parte de un programa de cumplimiento. Contar con un delegado y con políticas formales puede actuar como atenuante ante la Agencia y demuestra responsabilidad proactiva. Aunque no toda empresa está obligada a designarlo, es altamente recomendable para organizaciones que tratan grandes volúmenes de datos, datos sensibles o realizan perfilamiento. En PYMES, la función puede asumirse con apoyo externo especializado.

Los riesgos son de tres tipos. Legal: multas de hasta 20.000 UTM o hasta el 4% de los ingresos anuales en reincidencia, además de la suspensión de tratamientos. Reputacional: una brecha o una sanción publicada erosiona la confianza de clientes, socios y bancos. Operativo: no poder responder solicitudes de derechos o gestionar un incidente genera parálisis y sobrecostos. Prepararse con anticipación reduce estos riesgos, mejora la seguridad y suele resultar más económico que reaccionar bajo presión.

Depende del tamaño y la madurez tecnológica de la empresa. Un diagnóstico inicial y el inventario de datos pueden tomar algunas semanas; la implementación de mejoras de seguridad, consentimiento y trazabilidad suele desarrollarse en varios meses. Por eso conviene empezar ahora y no en 2026: el plazo de transición existe precisamente porque la adecuación requiere tiempo. Abordarlo por etapas, priorizando lo más crítico, permite avanzar de forma ordenada y sin frenar la operación del negocio.