Normativa
Ley de Datos Personales: aunque se postergue, tu empresa no debería esperar
Qué exige la Ley 21.719, qué está pasando con su fecha de entrada en vigencia y cinco pasos para empezar a prepararte hoy.
En diciembre de 2024 se publicó la Ley 21.719, que moderniza por completo la forma en que las empresas y los organismos públicos deben tratar los datos personales en Chile. Reemplaza en la práctica las reglas de la antigua Ley 19.628, de 1999, y crea una autoridad con poder para fiscalizar y multar.
Ahora se discute postergar su entrada en vigencia. Para muchas empresas puede sonar a alivio, pero conviene mirarlo con cuidado.
Qué es la Ley 21.719 y a quién afecta
Afecta a cualquier empresa u organismo que trate datos personales: los de sus clientes, sus trabajadores, sus proveedores o los visitantes de su sitio web. En la práctica, casi todas las empresas.
Entre sus puntos principales:
- Crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar, dictar normas y sancionar.
- Amplía los derechos de las personas: acceder a sus datos, corregirlos, pedir que se eliminen, oponerse a ciertos usos y llevarlos a otra empresa (portabilidad).
- Exige medidas de seguridad adecuadas para proteger esos datos.
- Establece multas que, según la gravedad, llegan hasta 20.000 UTM, y que pueden ser mayores en caso de reincidencia.
Qué está pasando con la fecha
El 1 de septiembre de 2026, el Gobierno ingresó un proyecto para postergar un año la entrada en vigencia, con el argumento de dar más tiempo a las empresas, a los organismos públicos y a la propia Agencia, que debe dictar normas antes de empezar a fiscalizar.
En octubre, la Comisión de Constitución del Senado aprobó el proyecto y fijó una fecha más cercana: el 15 de octubre de 2027. El proyecto sigue su tramitación y la fecha final todavía puede cambiar. Un punto importante: el proyecto no modifica las obligaciones de fondo de la ley, solo el momento en que empiezan a exigirse.
Por qué no conviene esperar
- La fecha oficial sigue siendo diciembre de 2026. Si el proyecto no alcanza a aprobarse a tiempo, la ley entra en vigencia igual.
- Prepararse toma meses. Ordenar qué datos tienes, quién accede a ellos y cómo los proteges no se resuelve en una semana.
- Tus clientes van a preguntar. Las empresas grandes y las instituciones empezarán a exigir a sus proveedores que cumplan, aunque la ley aún no se fiscalice.
- La seguridad sirve desde el primer día. Las medidas que pide la ley son las mismas que te protegen de un ransomware o de una filtración.
Lo que la ley pide en seguridad
La ley obliga a aplicar medidas de seguridad apropiadas al tipo de datos y al riesgo, y a informar a la Agencia las vulneraciones de seguridad que afecten datos personales, y en ciertos casos a las personas afectadas. Traducido a la práctica, eso significa:
- Control de accesos: cada persona ve solo lo que necesita, con verificación en dos pasos.
- Respaldos probados, guardados fuera del alcance de un ataque.
- Protección de equipos y servidores capaz de detectar y frenar amenazas.
- Actualizaciones al día en sistemas y aplicaciones.
- Un plan de respuesta a incidentes: saber qué hacer, a quién avisar y cómo documentarlo si algo pasa.
Cinco pasos para empezar hoy
- Haz un inventario de datos. Qué datos personales tienes, de quién, para qué los usas y dónde están guardados: computadores, servidores, nube, planillas, correos.
- Revisa quién tiene acceso. Elimina cuentas de ex trabajadores, ajusta permisos y activa la verificación en dos pasos.
- Revisa a tus proveedores. Si un proveedor o servicio en la nube trata datos por ti, tu contrato debería decir cómo los protege.
- Refuerza la seguridad básica. Respaldos probados, protección de equipos y actualizaciones. Es lo que más reduce el riesgo de una filtración.
- Define tu plan ante incidentes y capacita a tu equipo. Muchas filtraciones parten por un error humano, como un correo de phishing o un archivo enviado a quien no correspondía.
Cómo podemos ayudarte
En SEVENTI te ayudamos con la parte técnica: revisar quién accede a qué, proteger equipos y servidores, asegurar respaldos que funcionen y preparar la respuesta ante incidentes. Para la parte legal, como contratos, políticas de privacidad y bases de licitud, te recomendamos apoyarte en un abogado especialista. Ambas partes se complementan.
Este artículo es informativo y no constituye asesoría legal. Lo actualizaremos cuando se publique la modificación de la ley.