Cumplimiento Ley 21.719 de Protección de Datos Personales
Desde el 1 de diciembre de 2026, las organizaciones que tratan datos personales en Chile deberán protegerlos con medidas adecuadas al riesgo y poder demostrarlo. Redicom te ayuda con los controles técnicos que apoyan ese cumplimiento.
¿Qué es la Ley 21.719?
La Ley 21.719 reforma la Ley 19.628 sobre protección de la vida privada. Se publicó el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026.
A quién aplica
En general, a las empresas y organizaciones, públicas o privadas y de cualquier tamaño, que tratan datos personales de clientes, colaboradores, proveedores o postulantes. La ley contempla algunas excepciones y también casos de aplicación fuera de Chile.
Quién fiscaliza
La nueva Agencia de Protección de Datos Personales, con facultades para investigar y sancionar.
Qué exige
Tratar los datos con una base legal, respetar los derechos de sus titulares, protegerlos con medidas de seguridad adecuadas al riesgo y reportar las vulneraciones.
Sanciones
- Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM.
- Infracciones graves: multa de hasta 10.000 UTM.
- Infracciones gravísimas: multa de hasta 20.000 UTM.
- Reincidencia (haber sido sancionado dos o más veces en los últimos 30 meses): la multa puede llegar hasta tres veces el monto de la infracción cometida. Este aumento aplica a todas las empresas, incluidas las de menor tamaño (micro, pequeñas y medianas).
- Empresas que no son de menor tamaño: si reinciden en infracciones graves o gravísimas, la multa puede llegar a lo que resulte mayor entre ese triple y el 2% o 4% de sus ingresos anuales del giro, respectivamente.
Las obligaciones con componente de seguridad
La ley tiene una parte jurídica y una parte técnica. Estas son las obligaciones donde la tecnología hace la diferencia.
Deber de seguridad
Adoptar medidas técnicas y organizativas adecuadas al nivel de riesgo para proteger los datos personales contra accesos no autorizados, pérdida, alteración o destrucción, y revisarlas periódicamente.
- Control de acceso: autenticación robusta, permisos mínimos, revisión de privilegios y baja oportuna de cuentas.
- Protección de equipos y servidores donde viven los datos.
- Prevención de fuga de información.
- Respaldo, con pruebas de restauración.
- Personal capacitado para reconocer riesgos.
Protección desde el diseño y por defecto
Los sistemas y procesos deben considerar la protección de los datos desde su concepción, y por defecto tratar solo los datos necesarios.
Reporte de vulneraciones de seguridad
Cuando ocurre una vulneración que implique un riesgo razonable para los derechos de las personas, hay que informarla a la Agencia sin dilación indebida. Además, hay que avisar a los titulares afectados cuando la vulneración involucra datos sensibles, datos de menores de 14 años o datos sobre obligaciones económicas, financieras, bancarias o comerciales.
- Detectar el incidente a tiempo.
- Establecer qué sistemas y datos se vieron afectados.
- Contener y documentar lo que ocurrió.
Derechos de los titulares
Las personas pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Para responder a tiempo, la empresa necesita saber dónde están los datos de cada persona.
Responsabilidad demostrable
No basta con tener medidas: hay que poder demostrarlas. Registros, políticas, bitácoras y evidencia de que los controles existen y funcionan.
Proveedores que tratan datos
Los proveedores que tratan datos por cuenta de la empresa (encargados) deben hacerlo bajo un contrato con un contenido mínimo, cumplir las exigencias de seguridad y avisar a la empresa si sufren una vulneración.
Qué hace Redicom y qué no hace
Lo que hacemos
Los controles técnicos que apoyan el cumplimiento, dentro de las soluciones y servicios que contrates. Diagnosticamos cómo están protegidos hoy tus datos, implementamos los controles que faltan y te entregamos evidencia técnica de las medidas adoptadas, que también sirve si la Agencia solicita antecedentes.
Lo que no hacemos
Asesoría ni representación jurídica. La política de privacidad, las bases de licitud del tratamiento, los contratos con encargados y la relación formal con la Agencia son materias legales. Si lo necesitas, te orientamos para que lo abordes con un especialista.
Soluciones técnicas para el cumplimiento
Trellix
ESET
Sophos
Kaspersky
Bitdefender
GreenRocket Security
Acronis
Veeam
Servicios profesionales para el cumplimiento
Cyber Health Check
Diagnóstico de cinco dominios: protección activa, identidades y accesos, respaldo y continuidad, comportamiento y políticas, y riesgo de terceros. Entrega el estado de riesgo por dominio, los hallazgos con su evidencia y un plan de acción priorizado. A solicitud del cliente, incluye un anexo que relaciona los controles revisados con las medidas de seguridad de la Ley 21.719. No incluye la búsqueda ni la clasificación de datos personales. Es el mejor punto de partida.
Controles técnicos que apoyan el cumplimiento
| Exigencia de la ley | Cómo se aborda | Soluciones y servicios |
|---|---|---|
| Deber de seguridad — control de acceso | Autenticación multifactor, permisos mínimos, revisión de privilegios y baja de cuentas | GreenRADIUS MFAMicrosoft Entra IDCyber Health Check |
| Deber de seguridad — protección de equipos | Protección de endpoints y servidores | ESETSophosKasperskyBitdefenderTrellix |
| Deber de seguridad — fuga de información | Prevención de fuga por los canales que cubran los módulos contratados | Trellix DLP |
| Deber de seguridad — cifrado | Cifrado de equipos y medios extraíbles | Trellix Data EncryptionESET |
| Deber de seguridad — respaldo | Respaldo, pruebas de restauración y objetivos de recuperación definidos | AcronisVeeamBackup Microsoft 365 |
| Deber de seguridad — personas | Capacitación y simulaciones de phishing | Concientización en SeguridadESET Cybersecurity Awareness Training |
| Apoyo técnico al reporte de vulneraciones | Detección, evidencia y contención de incidentes | EDR/XDRMDR de los fabricantes |
| Responsabilidad demostrable | Registros operativos, configuraciones, correcciones realizadas, resultados de pruebas y diagnósticos periódicos | Consolas de las solucionesCyber Health CheckEvaluación Recurrente de ExposiciónEthical Hacking |
Esta tabla muestra qué controles técnicos apoyan cada exigencia. No es una certificación de cumplimiento.
La Ley 21.719 y la Ley Marco de Ciberseguridad
Son dos leyes distintas que se complementan. La Ley 21.663 protege los servicios esenciales del país; la Ley 21.719 protege los datos de las personas. Muchos controles técnicos sirven para ambas, así que conviene abordarlas juntas.
Preguntas frecuentes
¿Mi empresa está obligada si es pequeña?
Sí. La ley aplica en general a toda organización que trate datos personales. El tamaño de la empresa se considera en algunas exigencias y en las sanciones, pero no la exime: una pyme reincidente también puede recibir multas de hasta tres veces el monto de la infracción.
¿Desde cuándo rige?
Desde el 1 de diciembre de 2026.
¿Qué son datos personales?
Cualquier información que identifique o permita identificar a una persona: nombre, RUT, correo, teléfono, dirección, datos laborales o de salud, entre otros.
¿Tener antivirus basta para cumplir?
No. El deber de seguridad exige medidas adecuadas al riesgo, que normalmente combinan control de acceso, protección de equipos, respaldo, prevención de fuga, capacitación y capacidad de detectar incidentes. Además, hay que poder demostrarlas.
¿Qué pasa si sufro una filtración de datos?
Si la vulneración implica un riesgo razonable para las personas, debes informarla a la Agencia sin dilación indebida y, en ciertos casos, avisar también a los afectados. Para eso necesitas detectar el incidente, establecer qué datos se vieron afectados y contenerlo.
¿Redicom me asesora en la parte legal?
No. Redicom se hace cargo de los controles técnicos que contrates y de la evidencia técnica. Para las materias jurídicas te orientamos para que las abordes con un especialista.
¿Por dónde empiezo?
Por un diagnóstico. El Cyber Health Check muestra cómo están protegidos hoy tus datos y qué controles faltan, con un plan de acción priorizado.