> ## Content Index > Fetch the complete content index at: https://arco.legal/diario/llms.txt > Use this file to discover other available public pages before exploring further. # Ley 21.719: qué cambia con la nueva ley de datos en Chile - URL: https://arco.legal/diario/ley-21719/ - Published: 2026-09-04T18:22:00.000Z - Updated: 2026-09-04T19:57:06.000Z - Description: La Ley 21.719 no actualiza la 19.628: la reemplaza por un régimen que se hace cumplir. Qué cambia entre ambas leyes y qué debes poder acreditar antes del 1 de diciembre de 2026. - Author: Hugo Isla - Tags: La Ley Si tu empresa trata datos de clientes desde hace años y “nunca ha pasado nada”, esa experiencia no te prepara para lo que viene. La nueva ley chilena de protección de datos personales, la Ley 21.719, no moderniza la ley de 1999: **la reemplaza por un régimen que por primera vez se hace cumplir, con una agencia sancionadora, plazos que corren y sanciones desde el primer día**. La diferencia está en que ahora hay quién fiscalice y multas que se van a aplicar. Si necesitas el panorama completo de qué es esta ley, a quién obliga y cómo se organiza, empieza por nuestra [página de contexto de la Ley 21.719](https://arco.legal/ley-21719/). **Actualizado*: septiembre de 2026\. La fecha legal de vigencia plena sigue siendo el 1 de diciembre de 2026\. El proyecto que la trasladaría al 1 de diciembre de 2027 está en tramitación en el Congreso y todavía no es ley (lo detallamos más abajo).* ## De la Ley 19.628 a la Ley 21719: siete cambios que importan La Ley 19.628, vigente desde 1999, fue pionera en la región y es la norma que hoy sigue obligando a tu empresa. Pero nació sin una autoridad que la aplicara: no creaba un regulador, no establecía plazos que corrieran solos y dejaba la defensa de los derechos en manos de acciones judiciales poco usadas en la práctica. La Ley 21.719 no corrige ese diseño: lo reemplaza. La tabla que sigue compara los siete puntos donde el cambio se siente en la operación. Léela con la pregunta de tu empresa en mente: ¿dónde estoy parado hoy? | Qué cambia | Bajo la Ley 19.628 (hasta el 30-nov-2026) | Bajo la Ley 21.719 (desde el 1-dic-2026) | | -------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Quién fiscaliza | No existía una autoridad pública dedicada a fiscalizar ni a resolver reclamos de titulares. La defensa quedaba en manos de acciones judiciales particulares. | Se crea la Agencia de Protección de Datos Personales (APDP): fiscaliza de oficio o por denuncia, resuelve la tutela de titulares con efecto vinculante y sanciona. | | Registro de actividades de tratamiento (RAT) | No había obligación de registrar qué datos tratabas, para qué, con quién los compartías ni por cuánto tiempo. | Registro obligatorio y actualizable: finalidades, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad. Es la primera evidencia que te van a pedir. | | Derechos del titular | Reconocía acceso, rectificación y cancelación, pero sin un procedimiento administrativo eficaz para exigirlos cuando la empresa no respondía. | ARCO+: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Si no respondes a tiempo, el titular puede recurrir a la Agencia. | | Sanciones | Sin régimen de multas administrativas: no existía un órgano que las aplicara. | Multas de hasta 5.000 UTM (leves), 10.000 UTM (graves) y 20.000 UTM (gravísimas). Reincidencia: hasta 3 veces el monto; grandes empresas que reinciden en faltas graves o gravísimas, hasta 2% o 4% de sus ingresos anuales. | | Incidentes de seguridad | No obligaba a notificar filtraciones ni pérdidas de datos. | Obligación de notificar incidentes de seguridad a la Agencia y, cuando el riesgo lo amerite, a los titulares afectados. | | Responsable y encargado | Concentraba las obligaciones en quien controlaba el banco de datos y dejaba en una zona gris a quien trata datos por cuenta de otro. | Define responsable y encargado con obligaciones propias. Si un mandante te pide acreditar cumplimiento, probablemente tú eres el encargado, con contrato y registro que mostrar. | | Desde cuándo corre de verdad | Régimen vigente desde 1999, con exigibilidad práctica casi nula. | Desde el 1 de diciembre de 2026 la Agencia puede sancionar los incumplimientos que ocurran desde esa fecha. El plazo de adecuación terminó. | Tres lecturas rápidas de la tabla. **Primero**: casi todas las celdas de la columna de la izquierda dicen “no existía”, y cada una de ellas es una obligación nueva con un documento detrás. **Segundo**: la [escala de multas del texto oficial de la ley](https://www.bcn.cl/leychile/navegar?idNorma=1209272) no es simbólica, y para empresas que no califican como PyME la reincidencia puede significar hasta un 4% de los ingresos anuales, además de la facultad de la Agencia de suspender el tratamiento de datos hasta por 30 días en casos de faltas gravísimas reiteradas. **Tercero**: los plazos corren contra ti desde que ocurre el hecho, no desde que la Agencia esté lista. Esa es la trampa del momento actual: [la Agencia aún no tiene su Consejo Directivo instalado](https://arco.legal/diario/agencia-de-proteccion-de-datos-aun-sin-director/), y aun así la ley no espera. ## La fecha no se ha movido (todavía) Imposible hablar de plazos sin responder la pregunta que domina las conversaciones de directorio: ¿y si posterga la ley? El 1 de septiembre de 2026 el Ejecutivo ingresó al Congreso un proyecto que propone trasladar la vigencia plena al 1 de diciembre de 2027 y ampliar el Consejo Directivo de la Agencia de tres a cinco integrantes para destrabar su nombramiento ([así lo informó Emol](https://www.emol.com/noticias/Economia/2026/09/01/1210206/gobierno-aplazar-vigencia-proteccion-datos.html)). El proyecto está en su primer trámite constitucional y puede aprobarse, modificarse o caerse. Mientras el Congreso no apruebe y promulgue el cambio, la fecha de vigencia plena sigue siendo el 1 de diciembre de 2026\. Hay una razón estructural detrás: el Ejecutivo no puede mover la fecha de una ley por decreto, solo el Congreso puede. Planificar como si la postergación ya estuviera aprobada no es un plan, es una apuesta. Y hay un matiz sobre el “día 1”: desde el 1 de diciembre de 2026 se sancionan los incumplimientos que ocurran desde esa fecha en adelante, no los anteriores; la adecuación que muchas empresas dejaron para “después de la ley” ya no tiene después. ## Por qué los atajos de la Ley 19.628 ya no alcanzan Bajo el régimen anterior, tres atajos eran tolerables. El primero: llevar el inventario de datos en un Excel o en la cabeza del encargado. Un RAT en planilla es mutable, vive en un archivo que cualquiera puede editar sin dejar rastro, y cuando la Agencia o un mandante lo pide, nadie sabe cuál versión es la buena. El segundo: recibir las solicitudes ARCO+ en el buzón general del correo. Bajo la Ley 19.628, una solicitud que se perdía en el buzón era un problema de atención al cliente; bajo la Ley 21.719, es un plazo que corre sin aviso y que termina en una tutela ante la Agencia cuando no respondes a tiempo. El tercero: delegar toda la defensa en un abogado externo que “lo revisa después”. El abogado es un aliado necesario, porque define el “qué legal”, pero no puede firmar por tu operación: el RAT, la respuesta a la solicitud y la prueba del consentimiento se producen en el día a día, con datos que solo tu empresa tiene. La regla que resume los tres atajos: lo que no se puede mostrar, no se puede defender. La Ley 21.719 convirtió la carga de la prueba en una carga operativa, y ningún atajo de papel la reemplaza. ## Qué debes poder acreditar antes del 1 de diciembre Bajo la Ley 19.628, cumplir era en la práctica no tener problemas. Bajo la Ley 21.719, cumplir es poder demostrarlo: la unidad de medida cambió de “no nos ha pasado nada” a “podemos mostrarlo”. Antes de que corra el primer plazo, tu empresa debería poder presentar cinco cosas: - Un **Registro de Actividades de Tratamiento (RAT)** actualizado: qué datos tratas, para qué, con quién los compartes y por cuánto tiempo los guardas ([guía paso a paso del RAT](https://arco.legal/diario/sabes-que-es-rat/)). - Una **Evaluación de Impacto (EIPD)** donde aplique: biometría, datos sensibles o tratamientos de alto riesgo ([qué es una EIPD y cuándo es obligatoria](https://arco.legal/diario/sabes-que-es-eipd/)). - Un **canal único de solicitudes ARCO+** con plazos contados desde la recepción y registro de cada respuesta ([cómo funciona una solicitud ARCO+](https://arco.legal/diario/que-es-una-solicitud-arco-plus/)). - **Consentimientos válidos**: específicos, informados, trazables y con un canal de revocación operativo. Los consentimientos genéricos o premarcados no sobreviven al primer reclamo. - **Contratos con encargados y proveedores** (acuerdos de tratamiento o DPA) alineados con la nueva ley, incluyendo a tu software de RRHH, tu CRM y tu proveedor de nube. Ninguno de estos cinco ítems requiere un departamento legal gigante ni esperar a que la Agencia se instale. Requiere, eso sí, un responsable dentro de la empresa que pueda responder “sí, esto está documentado y actualizado” cuando el mandante corporativo o el fiscalizador lo pregunten. Y esa pregunta, para los proveedores B2B, ya está llegando antes que la Agencia. La Ley 21.719 no te pide ser un experto en datos: te pide ser una empresa que puede demostrar cómo trata los datos que le confiaron. La buena noticia es que ese estándar se alcanza con proceso, no con suerte, y el tiempo para armarlo es ahora: cuando el 1 de diciembre llegue, la pregunta ya no será si tu empresa cumple, sino si puede acreditarlo. ![](https://arco.legal/diario/content/images/2026/08/horizontal-light.svg) #### ARCO Legal Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso. [Prepara a tu empresa ahora](https://arco.legal/) --- *Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.* ## Fuentes y referencias - [Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)](https://www.bcn.cl/leychile/navegar?idNorma=1209272) - [Ley N° 19.628, sobre protección de la vida privada, texto vigente (BCN)](https://www.bcn.cl/leychile/navegar?idNorma=141599&idVersion=2026-12-01) - [Decreto N° 662, reglamento del Modelo de Prevención de Infracciones (BCN)](https://www.bcn.cl/leychile/navegar?idNorma=1214891) - [Ejecutivo propone aplazar en un año la entrada en vigencia de la ley de Datos Personales (Emol, 1 de septiembre de 2026)](https://www.emol.com/noticias/Economia/2026/09/01/1210206/gobierno-aplazar-vigencia-proteccion-datos.html) - [Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales (Senado de Chile)](https://www.senado.cl/comunicaciones/noticias/desestiman-propuesta-de-consejeros-para-la-agencia-de-proteccion-de-datos)