Guía gratuita de NormiQA · Actualizada a agosto de 2026
Antes de empezar. Este documento explica la Ley 21.719 en lenguaje directo para que puedas tomar decisiones informadas. No es asesoría legal. Para decisiones con consecuencias jurídicas —especialmente si tratas datos sensibles o haces transferencias internacionales— consulta a un abogado especialista. Fuente primaria: Ley 21.719 en BCN
Para leer en 60 segundos y pasarle a tu gerente.
Chile publicó la Ley 21.719 el 13 de diciembre de 2024. Entra en plena vigencia el 1 de diciembre de 2026 — el primer día del mes vigésimo cuarto posterior a su publicación.
Reemplaza a la Ley 19.628, de 1999: una norma escrita antes de que existieran las redes sociales, los smartphones y la nube.
Lo que cambia, en tres frases:
Lo que no cambia: no hay umbral por tamaño de empresa. No hay excepción por rubro.
La pregunta que debes poder responder: si la Agencia nos pide hoy el registro de qué datos personales tenemos y con qué fundamento legal, ¿podríamos entregarlo?
Si la respuesta es no, este kit te dice por dónde partir.
Aplica a quien trate datos personales de personas naturales en Chile. "Tratar" es prácticamente cualquier operación: recolectar, almacenar, usar, compartir, transferir, eliminar.
Si tienes clientes, empleados o proveedores que son personas, tratas datos personales.
Tu organización puede ser una cosa, la otra, o ambas según la actividad.
| Responsable de tratamiento | Encargado de tratamiento | |
|---|---|---|
| Quién es | Quien decide por qué y para qué se usan los datos | Quien trata datos por cuenta de un responsable |
| Ejemplo | Tu empresa con los datos de tus clientes | Tu proveedor de remuneraciones, tu CRM en la nube |
| Carga | Las obligaciones más pesadas | Obligaciones propias + instrucciones del responsable |
Por qué importa: si contratas a un tercero que toca datos de tus personas, necesitas un contrato de encargo (DPA) con él. Y sigues siendo responsable frente al titular.
Marca lo que aplique a tu organización:
Una sola casilla marcada = la ley te aplica.
``` 13 dic 2024 ────────── Publicación de la Ley 21.719 Empieza a correr el plazo de adecuación
↓ 24 meses de transición
1 dic 2026 ────────── PLENA VIGENCIA La Agencia puede fiscalizar y sancionar
2027+ ────────── Fiscalización activa Los titulares conocen sus derechos y los ejercen ```
Dónde estás hoy. Si lees esto en agosto de 2026, quedan aproximadamente 100 días.
Rangos realistas de preparación, según tamaño:
| Organización | Trabajo real estimado |
|---|---|
| Hasta 20 personas, 1–2 fuentes de datos | 3–5 días |
| 50–200 personas, múltiples sistemas | 6–10 semanas |
| +200 personas, datos sensibles | 6–18 meses, con responsable dedicado |
La variable que más pesa no es el tamaño. Es cuándo empiezas.
Cualquier persona puede ejercerlos sobre cualquier organización que trate sus datos. No necesita justificar por qué.
| Derecho | Qué te van a pedir | Qué debes hacer |
|---|---|---|
| A — Acceso | "¿Qué datos míos tienen?" | Entregar detalle: qué datos, de dónde vienen, para qué se usan, cuánto se guardan, con quién se comparten |
| R — Rectificación | "Ese dato está mal, corríjanlo" | Corregir y confirmar al titular |
| C — Cancelación / Supresión | "Eliminen mis datos" | Eliminar, salvo que exista obligación legal de conservar |
| O — Oposición | "No usen mis datos para este fin" | Detener ese tratamiento específico |
| P — Portabilidad | "Entréguenme mis datos en formato reutilizable" | Entregar en formato estructurado y de uso común |
| B — Bloqueo | "No los borren, pero tampoco los usen" | Suspender el tratamiento sin eliminar |
30 días corridos. No hábiles. Corridos. Y cuentan desde que la solicitud llega, no desde que alguien la lee.
Responder no es acusar recibo: es resolver, o notificar una prórroga fundada dentro de ese primer plazo.
El Artículo 16 define una categoría con protección reforzada. Son los datos que revelan:
Requieren consentimiento explícito, base legal más rigurosa y medidas de seguridad reforzadas.
| Situación cotidiana | Dato sensible que implica |
|---|---|
| Licencias médicas de empleados en una planilla | Salud |
| Certificados de discapacidad en la carpeta de RRHH | Salud |
| Control de acceso con huella digital | Biométrico |
| Ficha clínica de un paciente | Salud |
| Afiliación a Isapre registrada en el sistema de nómina | Salud (según cómo se trate) |
Si tu respuesta a "¿tenemos datos sensibles?" es "no sé", eso ya es un hallazgo.
Es el organismo creado por la ley. Puede:
Las infracciones más graves alcanzan 20.000 UTM. A valores de 2026, eso son del orden de USD 1,5 millones.
Además de la multa, existe el riesgo de inhabilitación para contratar con el Estado — que para muchas empresas pesa más que el monto.
Nota de precisión. Los tramos exactos por categoría de infracción (leve, grave, gravísima), los agravantes y los atenuantes están en el texto de la ley y su reglamento. Antes de citar montos específicos en una comunicación formal, verifícalos contra la fuente vigente.
Chile no tiene aún casos bajo esta ley. Pero las autoridades europeas, con facultades comparables bajo GDPR, han sancionado a empresas por no tener contratos adecuados con sus encargados, por tratamiento de datos de menores y por bases de marketing sin consentimiento válido — con multas en el rango de millones de euros.
El patrón que se repite: las sanciones no vinieron por un hackeo. Vinieron por no poder demostrar el fundamento de un tratamiento.
| Término | Qué significa |
|---|---|
| Dato personal | Cualquier información vinculada a una persona natural identificada o identificable |
| Dato sensible | Categoría reforzada del Art. 16 (salud, biométricos, religión, etc.) |
| Titular | La persona natural a quien pertenecen los datos |
| Tratamiento | Cualquier operación sobre datos: recolectar, usar, guardar, compartir, borrar |
| Responsable | Quien decide el porqué y el para qué del tratamiento |
| Encargado | Quien trata datos por cuenta del responsable |
| Base de licitud | El fundamento legal que te habilita a tratar un dato (Art. 13) |
| Consentimiento | Manifestación libre, informada y específica del titular |
| RAT | Registro de Actividades de Tratamiento — el mapa de cómo usas los datos |
| ARCOP+ | Los seis derechos del titular |
| DPA | Contrato de encargo entre responsable y encargado |
| DPIA / EIPD | Evaluación de impacto en protección de datos, para tratamientos de alto riesgo |
| DPO | Delegado de Protección de Datos — el responsable interno de la función |
| Brecha de seguridad | Incidente que compromete datos personales |
| Anonimización | Proceso irreversible que impide reidentificar a la persona |
| Seudonimización | Sustitución de identificadores; reversible con información adicional |
| Período de retención | Cuánto tiempo conservas un dato antes de eliminarlo |
| Transferencia internacional | Envío de datos fuera de Chile |
| Agencia | Agencia de Protección de Datos Personales |
| UTM | Unidad Tributaria Mensual — la unidad en que se expresan las multas |
Responde con honestidad. Cada "no" es una tarea.
| # | Pregunta | Sí | No |
|---|---|---|---|
| 1 | ¿Tenemos un inventario escrito de qué datos personales tratamos? | ☐ | ☐ |
| 2 | ¿Sabemos si alguno es dato sensible del Art. 16? | ☐ | ☐ |
| 3 | ¿Podemos justificar la base legal de cada tratamiento? | ☐ | ☐ |
| 4 | ¿Tenemos un RAT actualizado? | ☐ | ☐ |
| 5 | ¿Hay un canal público para que un titular ejerza sus derechos? | ☐ | ☐ |
| 6 | ¿Hay alguien designado que gestione esas solicitudes en 30 días? | ☐ | ☐ |
| 7 | ¿Llevamos registro de las solicitudes recibidas y respondidas? | ☐ | ☐ |
| 8 | ¿Tenemos DPA firmado con los proveedores que tratan datos por nosotros? | ☐ | ☐ |
| 9 | ¿Nuestro aviso de privacidad está publicado y vigente? | ☐ | ☐ |
| 10 | ¿Definimos cuánto tiempo conservamos cada tipo de dato? | ☐ | ☐ |
Cómo leer tu resultado:
1. Inventaria. Lista cada lugar donde viven datos personales: CRM, ERP, planillas, correo, WhatsApp, formularios web, archivos físicos, proveedores externos. Para cada uno: qué datos contiene, quién accede, para qué se usa.
2. Clasifica. Marca cuáles contienen datos sensibles del Art. 16. Esos suben de prioridad automáticamente.
3. Construye el RAT. Con el inventario en mano, documenta tus actividades de tratamiento. No las 40 de una vez: parte por las 5–10 más críticas.
4. Abre el canal ARCOP+. Un correo dedicado y una persona a cargo ya es mejor que nada. Documenta el proceso aunque sea en un Word.
5. Revisa a tus encargados. Lista los proveedores que tocan datos por ti. Prioriza los 3–5 principales y firma el DPA.
El error más común: partir por redactar la política de privacidad. Es el paso que se ve, pero es el último que tiene sentido — una política que describe tratamientos que no has inventariado es un documento que no puedes sostener ante una fiscalización.
Este kit cubre el qué. Los siguientes recursos cubren el cómo:
NormiQA conecta tus fuentes de datos, clasifica automáticamente qué tienes —incluidos los datos sensibles que no habías mapeado— y genera tu RAT desde tus datos reales, no desde formularios genéricos.
El plan gratuito no pide tarjeta de crédito.
NormiQA — Cumplimiento continuo de la Ley 21.719. Desde Chile, para Chile. data.normiqa.com
NormiQA conecta tus fuentes de datos, clasifica lo que hay realmente en cada columna —incluido lo que cae bajo el Art. 16— y mantiene tu RAT al día automáticamente. Sin consultores. Sin Excel.
Ver NormiQA →