Ley 21.719Nueva leyde datospersonales

Es la nueva ley de protección de datos personales de Chile. Modifica a fondo la Ley 19.628 de 1999, reconoce nuevos derechos a las personas, fija obligaciones a quienes usan datos, establece multas de hasta 20.000 UTM y crea la Agencia de Protección de Datos Personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024.

Según el proyecto de postergación que el Gobierno ingresó el 1 de septiembre de 2026 con suma urgencia, el 1 de diciembre de 2027. La fecha original era el 1 de diciembre de 2026 y sigue siendo la fecha legal mientras la postergación no se publique en el Diario Oficial.

Porque la Agencia que debe aplicarla no alcanzó a instalarse: su Consejo Directivo tenía que estar designado seis meses antes de la vigencia y el Senado rechazó la terna en mayo de 2026. El proyecto también sube el Consejo de tres a cinco integrantes.

En la práctica, sí. Técnicamente modifica la Ley 19.628 sobre protección de la vida privada, pero cambia casi todo su contenido. Mientras la 21.719 no entre en vigencia, la Ley 19.628 sigue rigiendo.

ARCO son los derechos de acceso, rectificación, cancelación y oposición de la Ley 19.628. La Ley 21.719 los amplía a ARSOP: acceso, rectificación, supresión, oposición y portabilidad, y suma el bloqueo y el derecho a no quedar sujeto a decisiones automatizadas.

Son los datos que revelan origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, salud, perfil biológico, datos biométricos, vida sexual, orientación sexual o identidad de género. Solo pueden tratarse con consentimiento expreso o en las excepciones que fija la ley.

Es el nuevo organismo público, autónomo y técnico, que fiscalizará el cumplimiento de la ley, dictará instrucciones, resolverá reclamos de las personas y aplicará sanciones. Se relaciona con el Presidente a través del Ministerio de Economía.

Hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas. Si una empresa que no es de menor tamaño reincide, la multa puede llegar al 2% o al 4% de sus ingresos anuales. Las sanciones quedan cinco años en un registro público.

Sí. Aplica a toda persona o empresa que trate datos personales, sin importar su tamaño. La ley considera el tamaño al sancionar y, durante el primer año de vigencia, permite amonestar por escrito en vez de multar; el proyecto de postergación extiende esa opción a todas las empresas.

No es obligatorio. El delegado es exigible solo si la empresa adopta voluntariamente un modelo de prevención de infracciones. Aun así, conviene que una persona concreta esté a cargo de los datos y de responder las solicitudes.

Sí. La ley no exige guardarlos en Chile. Pero enviarlos a otro país es una transferencia internacional: el país debe tener un nivel adecuado de protección o debes contar con garantías, como cláusulas contractuales tipo con tu proveedor.

Sí. Quien trata datos debe mantener disponible y en lenguaje claro qué datos recolecta, para qué, con qué base legal, a quién los comunica, cuánto tiempo los guarda y cómo ejercer los derechos. La política de privacidad del sitio es el lugar natural para eso.

Contén el incidente, evalúa qué datos se expusieron y repórtalo a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. Si hay datos sensibles, de menores de 14 años o financieros, también debes avisar a las personas afectadas.

Solo el necesario para la finalidad con que los obtuviste, más lo que exija otra ley, por ejemplo la tributaria. Después debes borrarlos o anonimizarlos.