Guía gratuita de NormiQA · Actualizada a agosto de 2026
Antes de empezar. Este documento explica la Ley 21.719 en lenguaje directo para que puedas tomar decisiones informadas. No es asesoría legal. Para decisiones con consecuencias jurídicas —especialmente si tratas datos sensibles o haces transferencias internacionales— consulta a un abogado especialista. Fuente primaria: Ley 21.719 en BCN
Para leer en 60 segundos y pasarle a tu gerente.
Chile publicó la Ley 21.719 el 13 de diciembre de 2024. Entra en plena vigencia el 1 de diciembre de 2026 — el primer día del mes vigésimo cuarto posterior a su publicación.
Ojo con la fecha: el 1 de septiembre de 2026 ingresó al Senado un proyecto (Boletín 18.623-07) que propone postergarla al 1 de diciembre de 2027. Mientras no se apruebe, la fecha vigente es la de 2026 — y el trabajo de saber qué datos tienes toma lo mismo con una fecha o con la otra.
Reescribe por completo la Ley 19.628, de 1999 — una norma anterior a las redes sociales, los smartphones y la nube.
Y hay una precisión de forma que importa. Técnicamente la Ley 21.719 no deroga la 19.628: la modifica e inserta en ella los artículos nuevos. Por eso, cuando esta guía dice "artículo 16", es el artículo 16 de la Ley 19.628 en su texto vigente. Citarlo como "artículo 16 de la Ley 21.719" es un error de fuente que un fiscalizador nota.
Lo que cambia, en tres frases:
Lo que no cambia: no hay umbral por tamaño de empresa. No hay excepción por rubro.
La pregunta que debes poder responder: si la Agencia nos pide hoy el registro de qué datos personales tenemos y con qué fundamento legal, ¿podríamos entregarlo?
Si la respuesta es no, este kit te dice por dónde partir.
Aplica a quien trate datos personales de personas naturales en Chile. "Tratar" es prácticamente cualquier operación: recolectar, almacenar, usar, compartir, transferir, eliminar.
Si tienes clientes, empleados o proveedores que son personas, tratas datos personales.
Tu organización puede ser una cosa, la otra, o ambas según la actividad.
| Responsable de tratamiento | Encargado de tratamiento | |
|---|---|---|
| Quién es | Quien decide por qué y para qué se usan los datos | Quien trata datos por cuenta de un responsable |
| Ejemplo | Tu empresa con los datos de tus clientes | Tu proveedor de remuneraciones, tu CRM en la nube |
| Carga | Las obligaciones más pesadas | Obligaciones propias + instrucciones del responsable |
Por qué importa: si contratas a un tercero que toca datos de tus personas, necesitas un contrato de encargo (DPA) con él. Y sigues siendo responsable frente al titular.
Marca lo que aplique a tu organización:
Una sola casilla marcada = la ley te aplica.
``` 13 dic 2024 ────────── Publicación de la Ley 21.719 Empieza a correr el plazo de adecuación
↓ 24 meses de transición
1 dic 2026 ────────── PLENA VIGENCIA La Agencia puede fiscalizar y sancionar
2027+ ────────── Fiscalización activa Los titulares conocen sus derechos y los ejercen ```
Dónde estás hoy. Si lees esto en agosto de 2026, quedan aproximadamente 100 días.
Rangos realistas de preparación, según tamaño:
| Organización | Trabajo real estimado |
|---|---|
| Hasta 20 personas, 1–2 fuentes de datos | 3–5 días |
| 50–200 personas, múltiples sistemas | 6–10 semanas |
| +200 personas, datos sensibles | 6–18 meses, con responsable dedicado |
La variable que más pesa no es el tamaño. Es cuándo empiezas.
Cualquier persona puede ejercerlos sobre cualquier organización que trate sus datos. No necesita justificar por qué.
| Derecho | Qué te van a pedir | Qué debes hacer |
|---|---|---|
| A — Acceso | "¿Qué datos míos tienen?" | Entregar detalle: qué datos, de dónde vienen, para qué se usan, cuánto se guardan, con quién se comparten |
| R — Rectificación | "Ese dato está mal, corríjanlo" | Corregir y confirmar al titular |
| C — Supresión | "Eliminen mis datos" | Eliminar, salvo que exista obligación legal de conservar |
| O — Oposición | "No usen mis datos para este fin" | Detener ese tratamiento específico |
| P — Portabilidad | "Entréguenme mis datos en formato reutilizable" | Entregar en formato estructurado y de uso común |
El bloqueo no es un sexto derecho que se ejerza solo. Es un mecanismo cautelar accesorio: acompaña a una solicitud de rectificación, supresión u oposición y suspende el tratamiento mientras esa solicitud principal se resuelve.
Y tiene su propio plazo, mucho más corto: dos días hábiles desde que se recibe el requerimiento. Mientras no lo resuelvas, no puedes tratar esos datos.
Es el plazo más fácil de incumplir de toda la ley, porque nadie lo tiene en el calendario.
30 días corridos, prorrogable una sola vez. No hábiles. Corridos. Y cuentan desde que la solicitud llega, no desde que alguien la lee.
Son dos deberes, no uno: la ley exige acusar recibo de la solicitud y además pronunciarse dentro de ese plazo. Acusar recibo no reemplaza la respuesta, pero omitirlo es un incumplimiento por sí solo.
El Artículo 16 define una categoría con protección reforzada. Son los datos que revelan:
Requieren consentimiento explícito, base legal más rigurosa y medidas de seguridad reforzadas.
| Situación cotidiana | Dato sensible que implica |
|---|---|
| Licencias médicas de empleados en una planilla | Salud |
| Certificados de discapacidad en la carpeta de RRHH | Salud |
| Control de acceso con huella digital | Biométrico |
| Ficha clínica de un paciente | Salud |
| Afiliación a Isapre registrada en el sistema de nómina | Salud (según cómo se trate) |
Si tu respuesta a "¿tenemos datos sensibles?" es "no sé", eso ya es un hallazgo.
Es el organismo creado por la ley. Puede:
Las infracciones gravísimas alcanzan 20.000 UTM. Pero ese no es el techo, y conviene saberlo antes de que te lo diga otro: con reincidencia la multa puede triplicarse, y para una empresa que no sea de menor tamaño puede llegar hasta el 4% de sus ingresos anuales por ventas y servicios del último año calendario.
Nota de precisión. Los tramos exactos por categoría de infracción y los agravantes están en el texto de la ley. Antes de citar montos específicos en una comunicación formal, verifícalos contra la fuente vigente.
Chile no tiene aún casos bajo esta ley. Pero las autoridades europeas, con facultades comparables bajo GDPR, han sancionado a empresas por no tener contratos adecuados con sus encargados, por tratamiento de datos de menores y por bases de marketing sin consentimiento válido — con multas en el rango de millones de euros.
El patrón que se repite: las sanciones no vinieron por un hackeo. Vinieron por no poder demostrar el fundamento de un tratamiento.
| Término | Qué significa |
|---|---|
| Dato personal | Cualquier información vinculada a una persona natural identificada o identificable |
| Dato sensible | Categoría reforzada del Art. 16 (salud, biométricos, religión, etc.) |
| Titular | La persona natural a quien pertenecen los datos |
| Tratamiento | Cualquier operación sobre datos: recolectar, usar, guardar, compartir, borrar |
| Responsable | Quien decide el porqué y el para qué del tratamiento |
| Encargado | Quien trata datos por cuenta del responsable |
| Base de licitud | El fundamento legal que te habilita a tratar un dato (Art. 13) |
| Consentimiento | Manifestación libre, informada y específica del titular |
| RAT | Registro de Actividades de Tratamiento — el mapa de cómo usas los datos |
| ARCOP+ | Los seis derechos del titular |
| DPA | Contrato de encargo entre responsable y encargado |
| DPIA / EIPD | Evaluación de impacto en protección de datos, para tratamientos de alto riesgo |
| DPO | Delegado de Protección de Datos — el responsable interno de la función |
| Brecha de seguridad | Incidente que compromete datos personales |
| Anonimización | Proceso irreversible que impide reidentificar a la persona |
| Seudonimización | Sustitución de identificadores; reversible con información adicional |
| Período de retención | Cuánto tiempo conservas un dato antes de eliminarlo |
| Transferencia internacional | Envío de datos fuera de Chile |
| Agencia | Agencia de Protección de Datos Personales |
| UTM | Unidad Tributaria Mensual — la unidad en que se expresan las multas |
Responde con honestidad. Cada "no" es una tarea.
| # | Pregunta | Sí | No |
|---|---|---|---|
| 1 | ¿Tenemos un inventario escrito de qué datos personales tratamos? | ☐ | ☐ |
| 2 | ¿Sabemos si alguno es dato sensible del Art. 16? | ☐ | ☐ |
| 3 | ¿Podemos justificar la base legal de cada tratamiento? | ☐ | ☐ |
| 4 | ¿Tenemos un RAT actualizado? | ☐ | ☐ |
| 5 | ¿Hay un canal público para que un titular ejerza sus derechos? | ☐ | ☐ |
| 6 | ¿Hay alguien designado que gestione esas solicitudes en 30 días? | ☐ | ☐ |
| 7 | ¿Llevamos registro de las solicitudes recibidas y respondidas? | ☐ | ☐ |
| 8 | ¿Tenemos DPA firmado con los proveedores que tratan datos por nosotros? | ☐ | ☐ |
| 9 | ¿Nuestro aviso de privacidad está publicado y vigente? | ☐ | ☐ |
| 10 | ¿Definimos cuánto tiempo conservamos cada tipo de dato? | ☐ | ☐ |
Cómo leer tu resultado:
1. Inventaria. Lista cada lugar donde viven datos personales: CRM, ERP, planillas, correo, WhatsApp, formularios web, archivos físicos, proveedores externos. Para cada uno: qué datos contiene, quién accede, para qué se usa.
2. Clasifica. Marca cuáles contienen datos sensibles del Art. 16. Esos suben de prioridad automáticamente.
3. Construye el RAT. Con el inventario en mano, documenta tus actividades de tratamiento. No las 40 de una vez: parte por las 5–10 más críticas.
4. Abre el canal ARCOP+. Un correo dedicado y una persona a cargo ya es mejor que nada. Documenta el proceso aunque sea en un Word.
5. Revisa a tus encargados. Lista los proveedores que tocan datos por ti. Prioriza los 3–5 principales y firma el DPA.
El error más común: partir por redactar la política de privacidad. Es el paso que se ve, pero es el último que tiene sentido — una política que describe tratamientos que no has inventariado es un documento que no puedes sostener ante una fiscalización.
Este kit cubre el qué. Los siguientes recursos cubren el cómo:
NormiQA conecta tus fuentes de datos, clasifica automáticamente qué tienes —incluidos los datos sensibles que no habías mapeado— y genera tu RAT desde tus datos reales, no desde formularios genéricos.
El plan gratuito no pide tarjeta de crédito.
NormiQA — Cumplimiento continuo de la Ley 21.719. Desde Chile, para Chile. data.normiqa.com
NormiQA conecta tus fuentes de datos, clasifica lo que hay realmente en cada columna —incluido lo que cae bajo el Art. 16— y mantiene tu RAT al día automáticamente. Sin planillas.
Ver NormiQA →