Ley 21.719: qué debe hacer su empresa antes del 1 de diciembre
Introducción
El 1 de diciembre de 2026 entra en vigencia la Ley 21.719 de protección de datos personales. Quedan poco más de tres meses.
Para muchas empresas el tema sigue archivado como “algo legal que hay que ver en algún momento”. Y ahí está el problema: buena parte de lo que la ley exige no se resuelve con un documento firmado en noviembre, sino con procesos, registros y evidencia que toman tiempo en construirse — y que, si ocurre un incidente, hay que poder mostrar.
Sobre el alcance de esta guía: este artículo aborda la preparación operativa y de ciberseguridad frente a la nueva ley. No reemplaza la revisión jurídica de las obligaciones específicas que apliquen a cada organización, que debe hacerse con asesoría legal.
Estar razonablemente preparado al 1 de diciembre no significa tener un proyecto de cumplimiento cerrado ni una certificación. Significa, en lo operativo, poder responder cinco cosas: qué datos personales trata su empresa y dónde están; quién responde por ellos internamente; qué medidas de seguridad tiene y cómo las documenta; qué hace su equipo cuando detecta una brecha; y cómo evaluaría y escalaría una eventual notificación. Ninguna de las cinco se improvisa el día del incidente.
¿A qué empresas alcanza y qué rol cumple la suya?
La ley establece el marco para el tratamiento de datos personales y asigna obligaciones al responsable de datos y, en materias específicas, al tercero mandatario o encargado, sin que el tamaño de la empresa sea por sí solo un criterio de exclusión. Esa distinción de roles importa: no todos tienen los mismos deberes.
En términos operativos, casi cualquier empresa trata datos personales: la nómina de trabajadores, la cartera de clientes, los antecedentes de postulantes, los registros de proveedores. La pregunta útil no es “¿me aplica?”, sino “¿cuáles de mis procesos involucran datos personales y quién los maneja?”.
Debe validarse jurídicamente qué rol cumple su empresa en cada tratamiento, qué base legal lo sustenta y qué obligaciones concretas se derivan. Esa clasificación no es un detalle formal: determina buena parte de lo que viene después.
¿Qué debe poder acreditar si ocurre un incidente?
Este es el punto que más se subestima, y conviene ser preciso sobre su alcance.
La ley establece que ante la ocurrencia de un incidente de seguridad, y en caso de controversia judicial o administrativa, corresponde al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad que adoptó, considerando los niveles de riesgo y la tecnología disponible. También contempla, entre esas medidas, un proceso regular de verificación y evaluación de su eficacia.
En términos operativos, esto cambia el estándar: no basta con tener controles, hay que poder demostrar que existían, que estaban funcionando y que se revisaban. Y esa demostración se construye antes, no después. En la práctica significa cosas concretas:
- Políticas escritas y con fecha, no criterios que viven en la cabeza de alguien.
- Registros y logs que permitan reconstruir qué pasó y cuándo — con una retención suficiente para que sirvan meses después.
- Evidencia de que los controles se revisan: informes de evaluación, resultados de pruebas, registros de cambios.
- Trazabilidad de accesos: quién tenía acceso a qué, y desde cuándo.
Una empresa que hoy no guarda registros, o los conserva pocos días, no puede producir esa evidencia de manera retroactiva. Por eso es de lo primero que conviene ordenar.
¿Qué debe ocurrir cuando se detecta una brecha?
Aquí no se trata de memorizar la norma, sino de tener un mecanismo diseñado antes de necesitarlo.
La ley establece que el responsable debe reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen destrucción, filtración, pérdida o alteración de datos personales, o el acceso no autorizado a ellos, cuando exista un riesgo razonable para los derechos y libertades de los titulares. Debe además registrar esas comunicaciones, describiendo la naturaleza de la vulneración, sus efectos, las categorías y el número aproximado de afectados, y las medidas adoptadas.
Cuando la vulneración afecta datos sensibles, datos de niños y niñas menores de catorce años o datos de obligaciones económicas, financieras, bancarias o comerciales, la comunicación debe hacerse también a los propios titulares, en lenguaje claro y sencillo. Si notificar individualmente no fuera posible, la ley contempla la publicación de un aviso en un medio de comunicación social masivo y de alcance nacional.
Conviene subrayar dos cosas. Primero, el reporte no se activa ante cualquier evento: la ley lo condiciona a que exista ese riesgo razonable. Segundo, a diferencia de otras normativas, no se fija un plazo en horas — la exigencia es actuar sin dilaciones indebidas, lo que en los hechos empuja a tener el procedimiento listo.
En términos operativos, su empresa necesita un mecanismo capaz de:
- Detectar que algo ocurrió.
- Contener — revocar accesos, cortar enlaces, cambiar credenciales.
- Evaluar el alcance: qué datos, de quiénes, hacia dónde.
- Registrar todo lo anterior mientras sucede, no de memoria después.
- Escalar a quien corresponda dentro de la organización.
- Decidir la notificación con criterio y respaldo.
Debe validarse jurídicamente el paso 6 en cada caso concreto: si un evento determinado configura o no una vulneración reportable, y a quiénes hay que comunicar. Esa decisión no es exclusivamente técnica — requiere validación jurídica, sustentada en antecedentes técnicos completos. De ahí la importancia de los pasos 3 y 4: sin un buen levantamiento del alcance, quien deba decidir lo hará a ciegas.
¿Cuánto puede costar no cumplir?
La ley establece un régimen de sanciones según la gravedad de la infracción: las leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM; las graves, con multa de hasta 10.000 UTM; y las gravísimas, con multa de hasta 20.000 UTM. Son topes máximos, sujetos a circunstancias atenuantes y agravantes. Si la empresa no subsana las causas dentro del plazo que fije la Agencia, se contempla un recargo, y la reincidencia permite aumentar el monto.
Hay además una consecuencia que suele pasar desapercibida y que, para una empresa operando, puede pesar más que la multa: ante infracciones gravísimas reiteradas dentro de un período de veinticuatro meses, la Agencia puede disponer la suspensión de las operaciones de tratamiento de datos por hasta treinta días, de forma parcial o total. No es la consecuencia de cualquier incumplimiento —la ley la reserva para ese supuesto específico— pero conviene dimensionar lo que significaría para la operación.
⚠️ El 4% de los ingresos no es la multa general para todas las PyMEs
Es probable que haya leído que la ley sanciona “con hasta el 4% de los ingresos anuales”. Esa cifra existe, pero aparece en un supuesto acotado: aplica a empresas distintas de las definidas como empresas de menor tamaño en la Ley 20.416, que además reincidan. Y se gradúa: hasta el 2% de los ingresos anuales si la infracción reincidente es grave, y hasta el 4% si es gravísima. La Ley 20.416 considera empresas de menor tamaño, en términos generales, a aquellas cuyos ingresos anuales por ventas no superan las 100.000 UF, según sus propias reglas de cálculo.
Dicho de otro modo: para buena parte de las PyMEs chilenas, ese porcentaje no es el marco sancionatorio aplicable. Pero conviene confirmar la clasificación de su empresa con Finanzas o con asesoría legal antes de darlo por hecho — el tramo se mide con criterios específicos, no con la idea coloquial de “somos una PyME”.
Entonces, si el porcentaje no me aplica, ¿por qué debería preocuparme? Porque la multa nunca fue el único riesgo:
- Los topes en UTM siguen vigentes y son relevantes para cualquier empresa.
- La Agencia puede ordenar medidas correctivas con plazos, y su incumplimiento tiene consecuencias.
- El riesgo contractual: cada vez más clientes corporativos y licitaciones exigen garantías de tratamiento de datos a sus proveedores.
- El riesgo reputacional, especialmente si una brecha obliga a comunicar públicamente.
- El riesgo operativo, en el supuesto de suspensión.
¿Por dónde partir con tres meses por delante?
Para iniciar esta preparación operativa no es necesario esperar a que exista un proyecto integral. Hace falta una secuencia con responsables y fechas, que priorice lo que no se puede improvisar después:
Semanas 1 a 3 — Inventariar los datos personales que trata. Levantar qué datos personales maneja la empresa —de clientes, trabajadores, postulantes, proveedores—, en qué sistemas viven, quién accede a ellos y con qué terceros se comparten. Sin este inventario básico, todo lo demás se hace a ciegas. Responsable: cada área identifica sus datos; TI consolida.
Semanas 3 a 6 — Definir quién responde. Designar quién coordina el tema dentro de la empresa y con qué atribuciones, y dejar por escrito el reparto: qué decide la gerencia, qué implementa TI, qué valida el área legal. Responsable: gerencia.
Semanas 4 a 8 — Ordenar la evidencia. Documentar las medidas de seguridad existentes, verificar que los registros y logs se estén guardando con retención suficiente, y dejar constancia de las revisiones que se hagan. Responsable: TI.
Semanas 6 a 10 — Diseñar el procedimiento de incidentes. Escribir el mecanismo de detección, contención, evaluación, registro y escalamiento, con nombres y canales concretos. Probarlo al menos una vez en seco. Responsable: TI con gerencia.
En paralelo, todo el período — Revisión jurídica. Aquí conviene separar con claridad lo que corresponde a cada quién:
- Debe validarse jurídicamente: la licitud de cada tratamiento y su base legal, los derechos de los titulares y cómo atenderlos, las cláusulas con proveedores que acceden a datos, y en qué casos concretos corresponde notificar.
- Se resuelve en lo operativo y técnico: accesos, registros, medidas de seguridad, pruebas de su funcionamiento, respuesta a incidentes y conservación de evidencia.
Un punto que conviene tener presente, y que juega a favor de las empresas más pequeñas: la propia ley contempla que los estándares o condiciones mínimas exigibles en materia de información y seguridad se determinen de forma diferenciada, considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la empresa según las categorías de la Ley 20.416, la actividad que desarrolla y el volumen, naturaleza y finalidades de los datos que trata. No se exige lo mismo a todos. Eso no es razón para esperar: es razón para avanzar ahora con medidas proporcionales al riesgo, que es justamente el criterio que la ley recoge.
¿Sabe qué datos personales trata su empresa y quién accede a ellos?
Ese inventario es el punto de partida de todo lo demás, y es también el que más tiempo toma. Una evaluación permite identificar qué accesos existen, qué brechas hay en cuentas, terceros y políticas, y qué corregir primero.
Cómo Redicom puede ayudar
Nuestro aporte está en la capa operativa y técnica de esta preparación, que es donde suele estar la brecha real.
El Cyber Health Check revisa, entre otros dominios, la identidad y los accesos —cuentas huérfanas, privilegios excesivos, quién puede llegar a qué—, los accesos de proveedores y terceros, y si existen políticas escritas que el equipo efectivamente siga. Entrega un diagnóstico priorizado: qué corregir primero y en qué orden.
Sobre esa base acompañamos la implementación de lo que corresponda —control de accesos, configuración segura de Microsoft 365, protección de datos y trazabilidad— y la preparación del equipo, porque un procedimiento de incidentes que nadie ha practicado no funciona el día que se necesita.
La revisión jurídica de las obligaciones aplicables corresponde a asesoría legal, y conviene que avance en paralelo.
Conclusión
Faltan poco más de tres meses, y la parte que más tiempo toma no es la que se firma: es la que se construye.
Un inventario de datos, un procedimiento de incidentes probado y registros que permitan reconstruir qué pasó no son documentos que se redacten en una semana. Son capacidades. Y la diferencia entre una empresa preparada y una que no lo está no se va a notar el 1 de diciembre — se va a notar el día que ocurra un incidente y haya que demostrar qué se estaba haciendo.
Un primer paso concreto para esta semana: pregunte en su empresa cuánto tiempo se conservan los registros de acceso a los sistemas donde hay datos personales. Si la respuesta es “no sé” o “unos días”, ya sabe por dónde empezar.
¿Le ayudamos a ordenar la preparación operativa?
Podemos evaluar su situación actual y definir una hoja de ruta de controles proporcional a su realidad, para llegar a diciembre con lo que efectivamente se puede demostrar.
Contenido informativo elaborado desde la perspectiva de la preparación operativa y de ciberseguridad. No constituye asesoría legal ni reemplaza la revisión jurídica de las obligaciones aplicables a cada organización.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
¿La ley aplica a las empresas pequeñas?
Sus obligaciones recaen sobre quienes tratan datos personales, sin que el tamaño sea por sí solo un criterio de exclusión. Qué obligaciones específicas aplican a cada organización debe revisarse con asesoría legal.
¿Es cierto que las multas llegan al 4% de los ingresos?
El 4% corresponde a un supuesto acotado: empresas distintas de las empresas de menor tamaño según la Ley 20.416 que reincidan en una infracción gravísima (para las graves reincidentes, el tope es 2%). El régimen general contempla multas de hasta 5.000, 10.000 y 20.000 UTM según la gravedad.
¿Hay que notificar todas las brechas de seguridad?
No. La ley condiciona el reporte a la Agencia a que la vulneración implique un riesgo razonable para los derechos y libertades de los titulares. Además, para ciertas categorías de datos debe comunicarse también a los afectados. Cada caso concreto debe evaluarse con criterio jurídico.
¿Qué es lo primero que debería hacer mi empresa?
Levantar qué datos personales trata, dónde están y quién accede a ellos. Ese inventario es la base de todo lo demás y es lo que más tiempo toma.
