Ley 21.719: cómo saber si tu sistema cumple
Guía práctica para evaluar si tu software puede cumplir la Ley 21.719 antes de diciembre de 2026. Checklist de 10 puntos para PyMEs chilenas hoy.
El 1 de diciembre de 2026 entra en plena vigencia la Ley 21.719, que reemplaza el régimen anterior de protección de datos personales en Chile y crea la Agencia de Protección de Datos Personales (APDP). Para muchas empresas medianas el debate sobre la ley se ha quedado en lo abstracto: principios, derechos, sanciones. Faltan herramientas concretas para decidir.
Este artículo es lo contrario. Es una guía para evaluar si el sistema que tu empresa usa hoy, o el que están construyendo, puede cumplir lo que la ley exige. No vende un plugin. No vende una consultoría. Da preguntas y criterios para que la decisión la tomen tú y tu equipo.
Qué cambia con la nueva ley
La Ley 21.719 no parte de cero. Modifica sustancialmente la Ley 19.628 de 1999, reemplazando su nombre por “Protección de los Datos Personales” y reformando la mayor parte de su articulado. La diferencia importa: la 19.628 nunca tuvo una autoridad sancionatoria administrativa, por eso las reclamaciones de los últimos veinte años se tramitaron por la vía judicial civil o ante el SERNAC bajo la Ley del Consumidor.
La 21.719 cambia eso. Crea la APDP, una corporación autónoma de derecho público con personalidad jurídica propia, independencia funcional del Ejecutivo y atribuciones reales: dicta normas, fiscaliza, recibe reclamaciones, inicia investigaciones de oficio, impone sanciones, ordena medidas correctivas y publica un Registro Nacional de Sanciones y Cumplimiento.
Qué exige la ley a tu sistema
La ley te obliga a poder demostrar cinco cosas en cualquier momento que la APDP las pida.
- 01 Quién consintió qué, y cuándo. Evidencia de consentimiento libre, informado, específico e inequívoco. Para datos sensibles, explícito.
- 02 Bajo qué base legal tratas cada dato. El consentimiento no es la principal base: también obligación legal, contrato, interés legítimo, defensa de derechos.
- 03 Que puedes responder los derechos del titular en plazo. Acceso, rectificación, supresión, oposición y portabilidad (art. 14 ter letra f), más la oposición a decisiones automatizadas (art. 8 bis) y el bloqueo temporal (art. 8 ter). El plazo es de treinta días corridos, prorrogable una vez (art. 11 inciso 2), y el bloqueo temporal se resuelve en dos días hábiles.
- 04 Qué tratas, para qué, con qué base y por cuánto tiempo. Categorías de datos, universo de personas, destinatarios, finalidades y base de legitimidad, publicados en tu política (art. 14 ter letra d), más el plazo de conservación definido por categoría (art. 3 letra c). El inventario interno que hace posible redactar eso es buena práctica, no una exigencia de la ley.
- 05 Que sabes cuándo hubo una brecha y a quién notificar. Reporte a la APDP por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista riesgo razonable para los derechos de los titulares (art. 14 sexies).
La ley se aplica al tratamiento de datos personales, no al tamaño de tu empresa. Un blog con formulario de comentarios ya trata datos personales. Una tienda con newsletter también. Pensar “somos muy chicos para que nos fiscalicen” es la posición más cara que puede tomar tu empresa.
Las seis capacidades técnicas
Si tu sistema no puede hacer una de estas seis cosas, hay un problema.
Consentimientos
Quién consintió qué y cuándo. Granular y revocable.
Mapa ARCO+
Acceso, rectificación, supresión, oposición, portabilidad, bloqueo.
Lo que publicas sobre cada finalidad
Categorías de datos, destinatarios, base de licitud y plazo de conservación, al día (art. 14 ter letra d y art. 3 letra c).
Logs inmutables
Trazabilidad que el operador no puede modificar.
Retención automática
Eliminación o anonimización al vencer plazo.
Brechas
Detectar y notificar a la APDP sin demora injustificada.
Cómo se ve cada capacidad
Cumple vs. no cumple.
Ejemplos honestos en sistemas que construimos
En TCultura, una plataforma de eventos culturales, cada inscripción separa el consentimiento por finalidad: una casilla para participar (base contrato), otra para invitaciones futuras (consentimiento), otra para fotos públicas del evento (consentimiento explícito). El asistente puede revocar cualquiera sin tener que mandar un correo.
En Bioaudita, una plataforma de certificación orgánica, la trazabilidad de quién accede a qué dato es parte del modelo de datos desde el primer día. Un productor puede solicitar su historial completo y recibirlo en formato exportable.
En Sign DataNubi, una plataforma de firma electrónica, cada firma queda encadenada criptográficamente a la anterior mediante hash chain. Modificar una sola firma anterior rompe toda la cadena. Esto no se hizo por la Ley 21.719, se hizo por la Ley 19.799. Pero el patrón sirve igual: el operador del sistema no puede manipular la evidencia.
El compliance Ley 21.719 no es un plugin. Es arquitectura.
Checklist de auditoría rápida
Imprime esta lista y respóndela con tu equipo de TI.
- 01 Tu sistema tiene un panel donde se ve quién consintió qué y cuándo.
- 02 Puedes ubicar todos los datos de una persona específica en menos de 10 minutos.
- 03 Puedes exhibir, por cada finalidad, las categorías de datos, los destinatarios, la base de licitud y el plazo de conservación que publica tu política (art. 14 ter letra d).
- 04 Hay logs auditables de acceso a datos que el administrador no puede modificar.
- 05 Tienes políticas de retención configuradas y automatizadas por categoría.
- 06 Si hay una brecha de seguridad, sabes en cuánto tiempo notificarías a la APDP y a quién.
- 07 Sabes a qué proveedores externos llegan datos de tus clientes y firmaste DPA con cada uno.
- 08 Tu sistema bloquea automáticamente tratamientos cuando el titular revocó consentimiento.
- 09 Puedes responder una solicitud ARCO+ en el plazo legal sin pedir desarrollo nuevo.
- 10 Si se va la persona que más sabe del sistema, alguien más puede demostrar cumplimiento ante la APDP.
Cada “no” es un lugar concreto donde mirar. Casi todos dependen de saber dónde viven los datos, así que empezar por ahí destapa varios de una vez.
Son preguntas sobre lo que tu sistema puede hacer hoy. Responder “sí” no alcanza por sí solo, porque lo que la autoridad examina es la evidencia. Quien puede decirte dónde estás parado es un abogado mirando tu caso con los documentos a la vista.
Si te están construyendo software ahora: qué exigir
- 01 Modelo de datos que separe personales de operacionales.
- 02 API o panel de gestión de consentimientos.
- 03 API de derechos ARCO+.
- 04 Logs inmutables exportables.
- 05 Inventario de tratamientos entregable, que es la base de la política publicada del art. 14 ter letra d.
- 06 DPA firmado con cada subprocesador identificado.
- 07 Procedimiento documentado de notificación de brechas.
- 08 Pruebas de penetración o auditoría de seguridad antes del go-live.
- 09 Capacitación al equipo cliente.
- 10 Garantía de actualización ante cambios regulatorios.
Si no puedes migrar antes de diciembre
Tres caminos pragmáticos:
Estrategia A: capa de procesos manuales blindados, registro físico de consentimientos, planilla de tratamientos activos, email único para ARCO+, reuniones trimestrales de auditoría interna documentadas. No es elegante, pero es defendible.
Estrategia B: parche técnico mínimo viable, plugin o módulo de consentimientos conectado al sistema, microservicio ARCO+, logger de auditoría externo.
Estrategia C: migración planificada, 6 a 12 meses bien hechos. Empezar por el módulo con más datos personales.
Cinco banderas rojas en tu proveedor SaaS
- 01 No tiene DPA listo o se resiste a firmarlo.
- 02 No te puede decir en qué país residen tus datos.
- 03 No tiene plazo definido para notificarte de brechas.
- 04 No te entrega los datos en formato exportable si te vas.
- 05 No tiene logs de acceso disponibles.
Las filtraciones ya están ocurriendo en Chile. En mayo de 2024, la CMF y el SERNAC oficiaron al Banco Santander tras una filtración con clientes en Chile. En noviembre de 2025, el SERNAC inició procedimiento compensatorio contra una empresa automotriz por la filtración de aproximadamente 392.000 registros detectados en la deep web.
Ninguno derivó en multa bajo Ley 21.719 (no estaba vigente), pero ilustran que el riesgo es real.
Recursos oficiales
- Texto vigente Ley 21.719, BCN
- Guía implementación, Secretaría de Gobierno Digital
- Comunicado oficial de aprobación
La diferencia entre cumplir y no cumplir es de meses. La diferencia entre cumplir bien y cumplir mal es de arquitectura.
Si tu equipo está evaluando construir o reformar un sistema con cumplimiento integrado desde la arquitectura, conversemos. Veinte minutos, sin compromiso.
Si lo que necesitas es la implementación técnica completa, mira el paquete Ley 21.719 para PyMEs, los seis módulos técnicos disponibles y los tres sistemas reales (BioAudita, tcultura, Nubiq) donde ya aplicamos estos patrones. Auditoría inicial desde 12 UF + IVA. También puedes ver la comparativa honesta con otras agencias chilenas que cubren este mismo ámbito, con los escenarios donde elegirlos antes que a nosotros.
Referencial sobre alcance base, no constituye oferta. Detalle en /precios.
Aviso técnico, no asesoría legal
aGo lab es un estudio de tecnología. Describimos cómo se implementan sistemas de software que pueden ayudar a cumplir con la Ley 21.719, no la interpretación oficial de la ley.
Para decisiones legales sobre cumplimiento, consulta con un abogado especialista en protección de datos. La Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026. Verifica el texto oficial en bcn.cl y la doctrina de la Agencia de Protección de Datos.
Preguntas frecuentes
¿La Ley 21.719 aplica a mi PyME?
Sí. La ley se aplica al tratamiento de datos personales, no al tamaño de tu empresa. Un blog con formulario de comentarios o una tienda con newsletter ya trata datos personales. La obligación es la misma para empresas grandes y pequeñas.
¿Cuál es la multa máxima por incumplir la Ley 21.719?
Hasta 20.000 UTM para las infracciones gravísimas (art. 35). Con reincidencia, y tratándose de una empresa que no sea de menor tamaño según el artículo segundo de la ley 20.416, la multa puede alcanzar el 2% de los ingresos anuales por ventas y servicios del último año calendario si la infracción es grave, y el 4% si es gravísima (art. 35 inciso final).
Si ya cumplo con GDPR europeo, ¿estoy cubierto en Chile?
No automáticamente. Cumplir GDPR es buena base, y la Ley 21.719 tiene exigencias propias: la política de tratamiento con los doce contenidos del art. 14 ter, el contrato con el encargado con los seis elementos mínimos que enumera el art. 15 bis, que no exige que el proveedor esté en Chile ni que el contrato se rija por ley chilena, y la normativa de adecuación que la Agencia aún debe emitir.
¿Cuándo entra en vigor la Ley 21.719?
El 1 de diciembre de 2026 entra en plena vigencia. Antes de esa fecha existe un período de transición, pero los sistemas deberían estar listos antes para no llegar con incumplimiento desde el día uno.
¿Qué es la APDP?
Es la Agencia de Protección de Datos Personales que crea la Ley 21.719. Una corporación autónoma de derecho público con personalidad jurídica propia. Tiene atribuciones reales: dicta normas, fiscaliza, recibe reclamaciones, abre investigaciones, impone sanciones y publica el Registro Nacional de Sanciones.
¿Qué tengo que pedirle a mi proveedor SaaS para cumplir la ley?
DPA firmado, residencia de datos documentada, plazo definido para notificar brechas, exportabilidad completa de datos al terminar el contrato y acceso a logs de auditoría. Si el proveedor no puede ofrecer estos cinco puntos, hay riesgo concreto.