Ley 21.719 de protección de datos: qué cambia y qué debes hacer

Las fotos del acto de licenciatura publicadas en Instagram. La planilla con los RUT de los apoderados que alguien compartió por WhatsApp. El lector de huella con que el personal marca asistencia. La plataforma de notas contratada a un proveedor externo. La grabación de las cámaras del patio.

Todo eso son datos personales, y desde el 1 de diciembre de 2026 se rigen por reglas nuevas en Chile. La Ley 21.719 reemplaza un régimen de 1999 que prácticamente no tenía dientes por uno con una agencia fiscalizadora, procedimientos sancionatorios y multas que llegan a las 20.000 UTM.

Esta guía explica, sin jerga, qué cambia, a quién le aplica y qué conviene hacer antes de esa fecha.

Qué cambia exactamente el 1 de diciembre de 2026

La Ley 21.719 no crea un texto nuevo desde cero: reforma en profundidad la Ley 19.628 sobre protección de la vida privada. El resultado práctico es que Chile pasa de un sistema declarativo a uno exigible. Cuatro cambios concentran casi todo el impacto:

• Nace una autoridad con poder real. La Agencia de Protección de Datos Personales puede fiscalizar de oficio, recibir denuncias, instruir procedimientos y aplicar sanciones. Hasta ahora, reclamar exigía ir a tribunales por cuenta propia.
• El consentimiento deja de presumirse. Ya no basta con que alguien te haya dado sus datos: necesitas poder demostrar cuándo, cómo y para qué autorizó su uso.
• Aparecen obligaciones activas. Informar de forma clara, responder solicitudes dentro de plazo, reportar las brechas de seguridad y firmar contratos con los proveedores que acceden a tus bases.
• Las multas escalan según gravedad. Hasta 5.000 UTM en infracciones leves, 10.000 en graves y 20.000 en gravísimas, con reincidencia agravada y posible suspensión de las operaciones de tratamiento.

A quién le aplica

A toda persona natural o jurídica que trate datos personales, sea pública o privada, con o sin fines de lucro. No hay umbral de facturación ni de tamaño. Si tienes una base de clientes, apoderados, pacientes, usuarios o trabajadores, estás dentro.

Conviene desarmar tres creencias que aparecen una y otra vez:

• «Somos chicos, esto es para las grandes empresas». La ley no distingue por tamaño. Lo que sí modula el tamaño es la proporcionalidad de las medidas de seguridad que se te exigen, no la obligación de cumplir.
• «Los datos los maneja nuestro proveedor». Si tú decides para qué se usan, tú eres el responsable. El proveedor es un encargado, y si comete un error sin que hubiera contrato de encargo, respondes tú.
• «Tenemos una política de privacidad, entonces cumplimos». Publicar un documento es una de las obligaciones, no todas. Y una política copiada que no describe lo que realmente haces es, en sí misma, una infracción del deber de información.

Tres conceptos que conviene tener claros

Dato personal

Cualquier información vinculada a una persona identificada o identificable. El nombre y el RUT, por supuesto, pero también el correo, el teléfono, una fotografía, la patente del auto, la huella, la voz o el registro de a qué hora entró alguien al edificio. La pregunta útil no es «¿esto es sensible?», sino «¿puedo llegar a una persona concreta con esto?».

Dato sensible

Una categoría reforzada: salud, origen étnico, situación socioeconómica, convicciones religiosas o filosóficas, afiliación sindical, vida sexual, datos biométricos y datos de niñas, niños y adolescentes. Su tratamiento está prohibido salvo que una ley lo autorice, medie consentimiento expreso y por escrito, o sea necesario para proteger la salud.

Esto pilla por sorpresa a muchas instituciones: la ficha de salud del alumno, el certificado médico que justifica una inasistencia y la huella para marcar asistencia son, todos, datos sensibles.

Responsable y encargado

El responsable es quien decide para qué y cómo se tratan los datos. El encargado los trata por cuenta del responsable y siguiendo sus instrucciones: el hosting, la plataforma de notas, el software de remuneraciones, la agencia de marketing.

La distinción importa porque la responsabilidad frente a la persona afectada y frente a la Agencia es del responsable. Delegar la operación no delega la responsabilidad; lo que la acota es un contrato de encargo bien redactado.

Los siete pilares del cumplimiento

Cuando se traduce la ley a trabajo concreto, todo cabe en siete frentes. Son los mismos que evalúa nuestro autodiagnóstico.

1. Bases de licitud y consentimiento

Antes de guardar un dato necesitas un permiso: el consentimiento del titular, un contrato que lo requiera, una obligación legal o una competencia pública que te habilite. Si te apoyas en el consentimiento, tiene que ser expreso, específico, libre e informado, y tienes que poder acreditarlo después. Una casilla premarcada no sirve. Un consentimiento genérico «para todo» tampoco.

2. Deber de información y transparencia

Las personas tienen derecho a saber, en lenguaje claro, quién trata sus datos, con qué finalidad, durante cuánto tiempo, con quién se comparten y cómo ejercer sus derechos. Ese es el contenido mínimo que la ley exige, y es lo que debe estar a un clic desde el pie de tu sitio.

3. Derechos de las personas

Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Necesitas un canal formal para recibirlos, un procedimiento para verificar la identidad de quien solicita y un formato de respuesta. Y necesitas cumplir el plazo: no responder es, por sí solo, una infracción.

4. Seguridad de la información y brechas

Medidas técnicas y organizativas proporcionales al riesgo: accesos nominativos, cifrado, respaldos, revocación de accesos cuando alguien se va. Y un protocolo de qué hacer si algo se filtra, porque la ley obliga a notificar a la Agencia sin dilaciones indebidas y, cuando hay riesgo relevante, también a las personas afectadas.

5. Datos sensibles, biometría y menores

Régimen reforzado. Antes de instalar un sistema de huella o de reconocimiento facial, la pregunta previa es si existe una alternativa menos invasiva que resuelva lo mismo. Si la hay y aun así eliges la biométrica, tendrás que justificar por qué.

6. Proveedores y contratos de encargo

Inventaria quién accede a tus bases: nube, correo, CRM, plataforma académica, pasarela de pagos, empresa de cámaras. Con cada uno hace falta un contrato escrito que limite el uso, imponga confidencialidad y fije medidas de seguridad.

7. Gobernanza y modelo de prevención

Alguien tiene que ser responsable de esto dentro de la institución. La ley permite adoptar modelos de prevención de infracciones, y demostrar gobernanza —un delegado designado, capacitaciones, evaluaciones de impacto antes de lanzar tecnologías nuevas— es lo que atenúa las sanciones cuando algo sale mal.

Los derechos de las personas y los plazos para responder

Cualquier persona puede pedirte que le muestres, corrijas, entregues o elimines sus datos. Estos son los seis derechos y lo que significa cada uno en la práctica:

• Acceso. Saber qué datos suyos tienes, de dónde salieron, para qué los usas y a quién se los has comunicado.
• Rectificación. Corregir lo que esté inexacto, desactualizado o incompleto.
• Supresión. Eliminar sus datos cuando ya no sean necesarios, cuando revoque el consentimiento o cuando el tratamiento no se ajuste a la ley.
• Oposición. Pedir que dejes de tratar sus datos para una finalidad concreta, por razones de su situación particular.
• Portabilidad. Recibir sus datos en formato estructurado y de lectura mecánica, o que se los transfieras a otro responsable.
• Bloqueo. Suspender temporalmente el tratamiento mientras se resuelve una controversia.

Sobre los plazos hay un error muy extendido, y conviene no cometerlo: el artículo 11 habla de días corridos, no hábiles. Tienes 30 días corridos desde que recibes la solicitud para acusar recibo y pronunciarte, prorrogables una sola vez por otros 30 días corridos cuando la complejidad lo justifique, avisando antes de que venza el plazo inicial.

La excepción es el bloqueo temporal, que por su naturaleza urgente se resuelve en 2 días hábiles.

Qué arriesga tu institución si no cumple

Las sanciones económicas se organizan en tres tramos según la gravedad de la infracción:

• Leves: hasta 5.000 UTM.
• Graves: hasta 10.000 UTM.
• Gravísimas: hasta 20.000 UTM.

En el sector público la lógica es distinta pero no más benigna: la responsabilidad recae en el jefe superior del servicio y se canaliza por la vía de los procedimientos administrativos disciplinarios.

Y hay una sanción que no aparece en la ley y que suele doler más: la pérdida de confianza. Una filtración de fichas de salud escolares o de datos de pacientes se explica mal en una reunión de apoderados o en un punto de prensa. Ese daño no se paga con una multa, se paga con matrículas, con pacientes y con reputación.

Qué hacer de aquí a diciembre

Un plan realista para una institución que parte de cero cabe en cuatro movimientos, y el orden importa: no se puede proteger lo que no se ha inventariado.

1. Levanta el inventario. Qué datos tienes, dónde viven, quién accede y con qué proveedor los compartes. Es el paso más aburrido y el que más sorpresas entrega.
2. Ordena las bases de licitud. Revisa cada canal de ingreso —matrícula, ficha de paciente, formulario web, contrato laboral— y asegúrate de que hay un permiso válido y demostrable detrás de cada uno.
3. Escribe lo que de verdad haces. Política de privacidad, procedimiento de derechos, protocolo de brechas y contratos de encargo. Documentos que describan tu operación real, no plantillas.
4. Nombra a alguien y capacítalo. Designa al responsable interno de privacidad y forma a los equipos que tocan datos a diario. La mayoría de los incidentes no son ataques sofisticados: son errores evitables.

Si empiezas ahora, esto es un proyecto ordenado de algunos meses. Si empiezas en noviembre, es una urgencia cara.

Tu sector tiene reglas propias

La ley es la misma para todos, pero lo que significa en el día a día cambia mucho según a qué te dediques. Un colegio trata datos de menores de edad de forma masiva; una clínica trata datos sensibles por definición; una empresa comercial lidia con marketing y perfilamiento; un municipio solo puede tratar datos dentro de sus competencias legales.

• Ley 21.719 en colegios y establecimientos educacionales — consentimiento de apoderados, fotografías, plataformas académicas y datos de menores.
• Ley 21.719 en empresas — marketing, CRM, control de asistencia y bases de clientes.
• Ley 21.719 en prestadores de salud — ficha clínica, exámenes y confidencialidad del personal administrativo.
• Ley 21.719 en el sector público — competencias legales, transparencia activa y convenios entre servicios.

Preguntas frecuentes

Esta guía tiene carácter divulgativo y refleja la interpretación de Astrea Comunicaciones a la fecha de publicación. No constituye asesoría jurídica para un caso concreto.