Para cumplir de forma correcta con la normativa y evitar sanciones de la Agencia de Protección de Datos Personales, el manejo de cookies se estructura en los siguientes pilares legales y técnicos:

1. Eliminación del Consentimiento Tácito o Pasivo

• No más "al navegar aceptas nuestras cookies": La Ley 21.719 exige que el consentimiento sea libre, específico en cuanto a su finalidad, informado e inequívoco, otorgado mediante una declaración o una clara acción afirmativa [1].
• Prohibición de casilleros premarcados: Los checkboxes preseleccionados o el simple desplazamiento por la página (scroll) no constituyen una acción afirmativa válida [1] [3]. El usuario debe presionar activamente un botón o marcar una casilla sin marcar [3].

2. Clasificación de las Cookies por Finalidad

No todas las cookies se tratan de la misma forma; la exigencia depende de su función:

• Cookies Técnicas o Necesarias: Son indispensables para el funcionamiento del sitio o la prestación del servicio solicitado (ej. mantener abierta una sesión o el carrito de compras). No requieren consentimiento previo [1], pero sí deben ser informadas en la política de privacidad bajo la base de licitud de ejecución de contrato o interés legítimo [1] [3].
• Cookies de Analítica, Publicidad o Perfilamiento: Exigen consentimiento explícito previo por cada finalidad (checkboxes independientes para cada tipo de cookie) [1] [3]. El usuario debe tener la opción de aceptar todas, rechazar todas o personalizar sus preferencias de manera fácil [3].

3. Deber de Transparencia e Información (Art. 14 ter)

El responsable del sitio web debe poner a disposición del público en su página una Política de Tratamiento de Datos accesible y actualizada [1], informando detalladamente:

• Qué categorías de datos y cookies se recolectan y para qué finalidades específicas [1].
• Si la información capturada por las cookies se comunica o cede a terceros (ej. herramientas de analítica o redes sociales) [1].
• El período durante el cual se conservarán los datos y el derecho a retirar o revocar el consentimiento en cualquier momento [1].

4. La Carga de la Prueba (Art. 12)

La ley invierte la responsabilidad probatoria: corresponde a la empresa demostrar que contó con el consentimiento lícito y transparente del usuario [1]. Si un titular reclama o la autoridad realiza una inspección, no basta con mostrar una base de datos con un registro plano; es necesario contar con un registro inmutable que acredite la aceptación explícita [1] [4].

🛠️ ¿Cómo lo automatiza la plataforma ARCO Legal?

Dentro de ARCO Legal, el Módulo de Consentimientos resuelve este requerimiento operativo de principio a fin:

1. Captura Compliant y Trazable: Genera formularios e integraciones para cookies y web que registran la dirección IP, timestamp (fecha y hora exacta), la versión precisa de los términos aceptados y el vínculo al Registro de Actividades de Tratamiento (RAT).
2. Portal del Titular: Le otorga a tus usuarios un canal donde consultar sus consentimientos otorgados y revocarlos en cualquier momento con un solo clic, procesando la revocación automáticamente dentro del plazo legal.
3. Evidencia Inmutable: Almacena todos los registros de auditoría en un historial exportable y listo para presentar ante auditorías de clientes mandantes o la Agencia de Protección de Datos.

Fuentes

1. Ley N° 21.719, que Regula la Protección y el Tratamiento de los Datos Personales y crea la Agencia de Protección de Datos Personales — texto oficial consolidado, Biblioteca del Congreso Nacional (Ley Chile). Ver especialmente Art. 2° letra p) (definición de consentimiento), Art. 12 (regla general del tratamiento y carga de la prueba) y Art. 14 ter (deber de información y transparencia). https://www.bcn.cl/leychile/navegar?idNorma=1209272
2. Carey Abogados, "Publican la Ley N° 21.719 que modifica la Ley N° 19.628 sobre Protección de la Vida Privada en el Diario Oficial" — resumen de la publicación oficial, plazos de implementación y alcance de las nuevas obligaciones. https://www.carey.cl/publican-la-ley-n-21-719-que-modifica-la-ley-n-19-628-sobre-proteccion-de-la-vida-privada-en-el-diario-oficial
3. Lawwwing, "Banner de cookies en Chile: guía para la Ley 21.719" — guía práctica sobre clasificación de cookies, paridad visual entre "aceptar" y "rechazar", y consentimiento granular por finalidad. https://lawwwing.com/guia-banner-cookies-chile/
4. Universidad Católica, Centro de Protección de Datos, "Registro de Actividades de Tratamiento (RAT)" — qué es el RAT, su función como registro trazable de las actividades de tratamiento y de la gestión del consentimiento. https://protecciondedatos.uc.cl/guia/rat/

Actualizado: septiembre de 2026. La fecha legal de vigencia plena sigue siendo el 1 de diciembre de 2026. El proyecto que la trasladaría al 1 de diciembre de 2027 está en tramitación en el Congreso y todavía no es ley (lo detallamos más abajo).

De la Ley 19.628 a la Ley 21719: siete cambios que importan

La Ley 19.628, vigente desde 1999, fue pionera en la región y es la norma que hoy sigue obligando a tu empresa. Pero nació sin una autoridad que la aplicara: no creaba un regulador, no establecía plazos que corrieran solos y dejaba la defensa de los derechos en manos de acciones judiciales poco usadas en la práctica. La Ley 21.719 no corrige ese diseño: lo reemplaza.

La tabla que sigue compara los siete puntos donde el cambio se siente en la operación. Léela con la pregunta de tu empresa en mente: ¿dónde estoy parado hoy?

Tres lecturas rápidas de la tabla. Primero: casi todas las celdas de la columna de la izquierda dicen “no existía”, y cada una de ellas es una obligación nueva con un documento detrás. Segundo: la escala de multas del texto oficial de la ley no es simbólica, y para empresas que no califican como PyME la reincidencia puede significar hasta un 4% de los ingresos anuales, además de la facultad de la Agencia de suspender el tratamiento de datos hasta por 30 días en casos de faltas gravísimas reiteradas. Tercero: los plazos corren contra ti desde que ocurre el hecho, no desde que la Agencia esté lista. Esa es la trampa del momento actual: la Agencia aún no tiene su Consejo Directivo instalado, y aun así la ley no espera.

La fecha no se ha movido (todavía)

Imposible hablar de plazos sin responder la pregunta que domina las conversaciones de directorio: ¿y si posterga la ley? El 1 de septiembre de 2026 el Ejecutivo ingresó al Congreso un proyecto que propone trasladar la vigencia plena al 1 de diciembre de 2027 y ampliar el Consejo Directivo de la Agencia de tres a cinco integrantes para destrabar su nombramiento (así lo informó Emol). El proyecto está en su primer trámite constitucional y puede aprobarse, modificarse o caerse.

Mientras el Congreso no apruebe y promulgue el cambio, la fecha de vigencia plena sigue siendo el 1 de diciembre de 2026. Hay una razón estructural detrás: el Ejecutivo no puede mover la fecha de una ley por decreto, solo el Congreso puede. Planificar como si la postergación ya estuviera aprobada no es un plan, es una apuesta. Y hay un matiz sobre el “día 1”: desde el 1 de diciembre de 2026 se sancionan los incumplimientos que ocurran desde esa fecha en adelante, no los anteriores; la adecuación que muchas empresas dejaron para “después de la ley” ya no tiene después.

Por qué los atajos de la Ley 19.628 ya no alcanzan

Bajo el régimen anterior, tres atajos eran tolerables. El primero: llevar el inventario de datos en un Excel o en la cabeza del encargado. Un RAT en planilla es mutable, vive en un archivo que cualquiera puede editar sin dejar rastro, y cuando la Agencia o un mandante lo pide, nadie sabe cuál versión es la buena. El segundo: recibir las solicitudes ARCO+ en el buzón general del correo. Bajo la Ley 19.628, una solicitud que se perdía en el buzón era un problema de atención al cliente; bajo la Ley 21.719, es un plazo que corre sin aviso y que termina en una tutela ante la Agencia cuando no respondes a tiempo. El tercero: delegar toda la defensa en un abogado externo que “lo revisa después”. El abogado es un aliado necesario, porque define el “qué legal”, pero no puede firmar por tu operación: el RAT, la respuesta a la solicitud y la prueba del consentimiento se producen en el día a día, con datos que solo tu empresa tiene.

La regla que resume los tres atajos: lo que no se puede mostrar, no se puede defender. La Ley 21.719 convirtió la carga de la prueba en una carga operativa, y ningún atajo de papel la reemplaza.

Qué debes poder acreditar antes del 1 de diciembre

Bajo la Ley 19.628, cumplir era en la práctica no tener problemas. Bajo la Ley 21.719, cumplir es poder demostrarlo: la unidad de medida cambió de “no nos ha pasado nada” a “podemos mostrarlo”. Antes de que corra el primer plazo, tu empresa debería poder presentar cinco cosas:

• Un Registro de Actividades de Tratamiento (RAT) actualizado: qué datos tratas, para qué, con quién los compartes y por cuánto tiempo los guardas (guía paso a paso del RAT).
• Una Evaluación de Impacto (EIPD) donde aplique: biometría, datos sensibles o tratamientos de alto riesgo (qué es una EIPD y cuándo es obligatoria).
• Un canal único de solicitudes ARCO+ con plazos contados desde la recepción y registro de cada respuesta (cómo funciona una solicitud ARCO+).
• Consentimientos válidos: específicos, informados, trazables y con un canal de revocación operativo. Los consentimientos genéricos o premarcados no sobreviven al primer reclamo.
• Contratos con encargados y proveedores (acuerdos de tratamiento o DPA) alineados con la nueva ley, incluyendo a tu software de RRHH, tu CRM y tu proveedor de nube.

Ninguno de estos cinco ítems requiere un departamento legal gigante ni esperar a que la Agencia se instale. Requiere, eso sí, un responsable dentro de la empresa que pueda responder “sí, esto está documentado y actualizado” cuando el mandante corporativo o el fiscalizador lo pregunten. Y esa pregunta, para los proveedores B2B, ya está llegando antes que la Agencia.

La Ley 21.719 no te pide ser un experto en datos: te pide ser una empresa que puede demostrar cómo trata los datos que le confiaron. La buena noticia es que ese estándar se alcanza con proceso, no con suerte, y el tiempo para armarlo es ahora: cuando el 1 de diciembre llegue, la pregunta ya no será si tu empresa cumple, sino si puede acreditarlo.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente (BCN)
• Decreto N° 662, reglamento del Modelo de Prevención de Infracciones (BCN)
• Ejecutivo propone aplazar en un año la entrada en vigencia de la ley de Datos Personales (Emol, 1 de septiembre de 2026)
• Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales (Senado de Chile)

Una solicitud ARCO+ es, en simple, el procedimiento por el que una persona ejerce sus derechos sobre los datos que tu empresa tiene de ella. No es un trámite administrativo más: es el disparador de una obligación legal con plazo contado, y la calidad de tu respuesta (no la buena intención) es lo que determina si cumples o infringes.

ARCO+: qué significa y qué derechos cubre

ARCO+ es la sigla con la que se conoce al conjunto de derechos que la Ley 21.719 reconoce a las personas sobre su información personal: Acceso, Rectificación, Cancelación o Supresión, Oposición, Portabilidad y Bloqueo.

Cuando una persona quiere saber qué datos tuyos guarda una empresa, o pedir que los corrija, los elimine, deje de usarlos para una finalidad, se los traslade a otro sistema o los bloquee temporalmente, presenta una solicitud ARCO+. Esa solicitud es el mecanismo que convierte un derecho en una obligación concreta para la organización que trata sus datos.

Un detalle importante para no confundirse: el término “ARCO+” no aparece en la ley. La Ley 21.719 habla de los “derechos del titular” y los consagra en su artículo 4°. “ARCO+” es la sigla de mercado que usa la industria para referirse a los derechos clásicos (Acceso, Rectificación, Cancelación, Oposición) más los dos que la reforma agregó: Portabilidad y Bloqueo (los desarrollamos uno por uno en nuestra guía de los derechos ARCO).

Si tu empresa es un proveedor con clientes grandes, piensa en la solicitud ARCO+ en estos términos: no es la persona desconocida la que la presenta; suele ser la misma presión que ya conoces. Cuando tu mandante corporativo te pide “acreditar cumplimiento”, lo que está esperando es que tu operación pueda responder estas solicitudes a tiempo, sin que él tenga que avisarte.

La base legal: qué dice exactamente la Ley 21.719

La Ley 21.719 (publicada el 13 de diciembre de 2024, con vigencia plena prevista para el 1 de diciembre de 2026) reemplaza al régimen anterior de la Ley 19.628 en lo que a protección de datos personales se refiere. El detalle de las obligaciones que impone está en la página de contexto de la Ley 21.719.

El artículo 4° de la normativa establece que toda persona tiene derecho a solicitar al responsable del tratamiento:

• Acceso: Conocer qué datos tuyos tiene y para qué los usa.
• Rectificación: Corregir datos inexactos o desactualizados.
• Cancelación o Supresión: Eliminar datos cuando ya no exista una razón legítima para conservarlos.
• Oposición: Oponerse a un tratamiento determinado (por ejemplo, envíos de publicidad).
• Portabilidad: Recibir tus datos en un formato que puedas trasladar a otro responsable.
• Bloqueo: Suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.

Los artículos siguientes (5° y siguientes) desarrollan las causales, excepciones y plazos de cada derecho. Para efectos operativos, lo que importa es que la ley no le exige a la persona contratar un abogado ni presentar un formulario institucional: la solicitud es parte del derecho mismo. Y a tu empresa le exige tener un proceso para recibirla y responderla dentro del plazo legal.

Qué cambia con la Ley 21.719 respecto al ARCO clásico

Hasta hoy, los derechos ARCO viven en la Ley 19.628 y se gestionan a través del Consejo para la Transparencia, con plazos y un trámite que muchos confunden con un reclamo administrativo. Con la Ley 21.719 el panorama cambia en dos frentes:

1. Se amplía el catálogo de derechos. A los cuatro clásicos (Acceso, Rectificación, Cancelación, Oposición) se suman Portabilidad y Bloqueo. Ese es el “+” de ARCO+.
2. Cambia el regulador y la sanción. La fiscalización pasa a una Agencia de Protección de Datos Personales, autónoma, con facultades sancionatorias reales en UTM. En la portada puedes revisar el resumen de qué te obliga a hacer la Ley 21.719. Ya no es solo un reclamo ante un órgano de transparencia: es un régimen de cumplimiento con multas.

Un matiz que conviene tener presente: el propio Ejecutivo presentó, el 1 de septiembre de 2026, un proyecto para postergar la vigencia plena al 1 de diciembre de 2027. Sigue siendo un proyecto en trámite: hoy la fecha legal es el 1 de diciembre de 2026. Y aunque se aprobara, la presión de tus mandantes por acreditar cumplimiento no se congela porque el Congreso se tome su tiempo.

Quién puede pedirla y contra quién

Puede presentarla cualquier persona natural, sin necesidad de abogado. La solicitud se dirige al responsable del tratamiento (es decir, tu empresa, que decide sobre los datos), aunque en la práctica la reciba primero un equipo de operaciones, RRHH o TI.

Aquí aparece el matiz más sutil del mundo B2B. Si tu empresa es un encargado de tratamiento (prestas un servicio a un mandante y tratas datos por su cuenta), la solicitud que te llega suele venir de un trabajador, un cliente o un excolaborador. En ese caso no decides tú: tu obligación es derivarla al responsable y no responder por tu cuenta. Si además tu mandante corporativo te exige evidencia de cumplimiento, la solicitud ARCO+ se convierte en el mejor termómetro de qué tan operativo está tu proceso.

El plazo que importa: 30 días corridos

La Ley 21.719 fija un plazo duro para pronunciarse: 30 días corridos desde que recibes la solicitud. Puede prorrogarse una sola vez, por otros 30 días corridos, pero solo si registras formalmente la justificación de la extensión. No es una prórroga automática.

Y hay un caso especial que casi siempre se pasa por alto: si la persona pide el bloqueo temporal de sus datos mientras se tramita una rectificación, supresión u oposición, tienes un plazo mucho más corto para responder: 2 días hábiles.

La trampa no está en no saber el plazo, sino en que el plazo se cuenta desde el día en que la solicitud entra a tu buzón general, no desde el día en que alguien la lee. Ahí es donde la mayoría de las empresas pierde la carrera con el calendario.

Qué pasa si no respondes a tiempo

No responder (o responder incompleto) es una infracción en sí misma, con consecuencias que van más allá de una multa:

• Infracción leve: La ley tipifica omitir la respuesta, responder incompleto o fuera de plazo como infracción leve, sancionable con amonestación o multa de hasta 5.000 UTM.
• Tutela ante la Agencia: Si el titular no obtuvo respuesta, puede reclamar ante la Agencia de Protección de Datos mediante un procedimiento de tutela de derechos. La resolución es vinculante.
• Desacato: Si la Agencia te ordena responder y no lo haces, la falta escala a infracción gravísima, con multas de hasta 20.000 UTM o, en empresas grandes reincidentes, 2 % a 4 % de los ingresos anuales por ventas.
• Responsabilidad civil: El titular afectado también puede demandar indemnización por daño patrimonial y moral.

En resumen: una solicitud olvidada en el buzón no es un error administrativo menor. Es la puerta de entrada a un proceso sancionatorio y, en el peor de los casos, a un problema de confianza con un cliente que te pidió exactamente esto. Para respuestas rápidas sobre plazos y sanciones, las preguntas frecuentes de la Ley 21.719 las resumen.

Por qué Excel, el correo y el abogado externo no alcanzan

No es que sean herramientas malas. Es que ninguna resuelve la parte que la ley exige demostrar: el cumplimiento operativo y la prueba.

• Excel: Mutable. No guarda una huella fiable de qué se respondió, cuándo, ni con qué versión de la política. Si la Agencia (o tu mandante) te pide la evidencia, un archivo editable no sirve como prueba.
• Correo: No calcula los 30 días corridos y las solicitudes se pierden en buzones generales. El plazo corre desde que entra, no desde que lo lees.
• Abogado externo: Define el “qué legal”, pero deja intacto el “cómo operativo”. Un PDF firmado no genera el registro, el timestamp ni la asignación de responsables que la ley espera.
• Ticketing genérico: Entiende tickets, no derechos ARCO. No conoce los plazos chilenos, ni las causales de rechazo, ni las plantillas con base legal.

La diferencia entre cumplir y no cumplir no es conocer la ley: es tener un proceso que reciba toda solicitud, calcule el plazo, asigne un responsable y deje registro de cada paso.

Qué se ve bien operativamente

Cuando el proceso funciona, no se nota por una pantalla bonita, sino por resultados:

• Ninguna solicitud sin respuesta. Toda solicitud entra a un solo canal, se asigna a un responsable y tiene un plazo calculado desde el día uno.
• Cero vencimientos por descuido. El sistema te avisa antes de que corra el plazo, no después.
• Respuesta con base legal. Cada respuesta usa la causal correcta y deja registro con timestamp.
• Evidencia entregable. Lo que pide un mandante o la Agencia se exporta en minutos, no se rearma a mano.

Si tu empresa ya está recibiendo solicitudes de clientes grandes (o las va a recibir el 1 de diciembre), este es el estándar mínimo que tu operación necesita alcanzar. No porque sea bonito, sino porque es lo que se audita. Para ver cómo se ve un proceso que calcula el plazo, asigna responsable y deja registro de cada paso, revisa la solución de gestión de solicitudes ARCO+; y si el costo es lo que te frena, los planes están pensados para equipos como el tuyo.

Preguntas frecuentes

¿Qué es exactamente una solicitud ARCO+? Es el procedimiento por el que una persona ejerce sus derechos de acceso, rectificación, cancelación o supresión, oposición, portabilidad y bloqueo sobre los datos personales que una organización trata de ella.

¿El término ARCO+ está en la ley? No. La Ley 21.719 habla de “derechos del titular” y los consagra en su artículo 4°. “ARCO+” es la sigla de mercado para referirse a los cuatro derechos clásicos más la portabilidad y el bloqueo.

¿Cuántos días tengo para responder una solicitud ARCO+? 30 días corridos, prorrogables una sola vez por 30 días más si registras la justificación. Si la persona pide el bloqueo temporal, el plazo es de 2 días hábiles.

¿Qué pasa si no respondo a tiempo? No responder o responder incompleto es una infracción leve (hasta 5.000 UTM). El titular puede reclamar ante la Agencia mediante tutela de derechos, y si desacatas la orden, la falta escala a gravísima (hasta 20.000 UTM o 2 %-4 % de tus ingresos en empresas reincidentes).

¿Quién debe responder la solicitud? El responsable del tratamiento, es decir, la empresa que decide sobre los datos. Si tu empresa es un encargado, tu obligación es derivar la solicitud al responsable, no responderla por tu cuenta.

¿Puede pedirla cualquier persona sin abogado? Sí. Es un derecho del titular, y la ley no exige abogado ni un formulario institucional para ejercerlo.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

• Para este artículo me apoyé en IA para revisar la redacción.
• Este contenido es informativo y operativo; no reemplaza la asesoría de tu abogado o de tu Delegado de Protección de Datos (DPD) para tu caso específico.

Fuentes

• Biblioteca del Congreso Nacional (BCN) — Ley N° 21.719, texto oficial.
• Arco Legal — ¿Qué son los derechos ARCO en Chile? La guía completa.
• Arco Legal — Qué es la Ley 21.719 y qué te obliga a hacer.

La tesis es simple: el año extra es una oportunidad, no una excusa. La fecha institucional se movió, pero la presión comercial de tus mandantes y el riesgo real sobre los datos no se congelan.

Qué cambió hoy

El Ejecutivo propuso otorgar un año adicional de preparación “con el objetivo de contar con las condiciones institucionales, regulatorias y operativas necesarias para su implementación”, según informaron Chócale y Emol.

La iniciativa incluye también una reforma a la Agencia de Protección de Datos Personales, el órgano que fiscalizará el cumplimiento: el Consejo Directivo pasaría de tres a cinco integrantes, con quórum de tres, y se adelantaría la designación del primer Consejo para avanzar en la regulación secundaria y fijar estándares antes de comenzar a fiscalizar.

El trasfondo es conocido: la Agencia se quedó sin Consejo Directivo tras el rechazo del Senado, el 19 de mayo de 2026, a la terna de consejeros propuesta por el Ejecutivo, y el plazo del 1 de junio de 2026 para tenerla operativa se cumplió sin consejeros designados.

Dos precisiones antes de seguir. Primero, esto es un proyecto de ley: la vigencia está fijada en la propia ley, así que cualquier cambio requiere una nueva iniciativa aprobada por el Congreso; la fecha vigente hoy sigue siendo el 1 de diciembre de 2026. Segundo, no es una decisión cerrada: se baraja un aplazamiento menor si no hay respaldo para los 12 meses completos.

Quién celebra y quién advierte

Los gremios de grandes empresas respaldan la prórroga. La CPC, con Susana Jiménez a la cabeza, pide aplazar para asegurar una transición ordenada con la Agencia operativa; la Sofofa, con Rosario Navarro, apunta a una institucionalidad preparada y criterios claros, y la Abif plantea la prórroga por la incertidumbre que genera la ausencia del fiscalizador.

No todos están de acuerdo. El presidente de Asech, Nicolás Shea, sostiene que la mayoría de las pymes no está preparada, pero que eso no justifica postergar la ley: la propia normativa ya contempla un régimen especial de 12 meses para empresas de menor tamaño, con amonestación escrita en lugar de multas en determinados casos.

Desde la ciberseguridad, la lectura es más dura. El analista Alexis Campos Molina lo resume así: la postergación es “un síntoma, no una solución”. El riesgo no espera a que el regulador esté listo.

Por qué la postergación no te salva

Tres razones, todas operativas:

1. La presión de tus mandantes no depende del Congreso. Bancos, retail y aseguradoras ya exigen a sus proveedores DPAs, RAT y evidencia de cumplimiento para renovar contratos, con o sin Agencia operativa. La presión comercial llega antes que la fiscalización; postergar la ley no la detiene.
2. El riesgo real no se congela. Filtraciones, ransomware y errores humanos no esperan la entrada en vigencia, y las consecuencias ya existen: el Sernac y los tribunales civiles han perseguido casos masivos (Servicio Electoral, Correos de Chile, Banco Santander) sin necesidad de que la Agencia exista.
3. El plazo, incluso movido, sigue siendo finito. Adecuar no es comprar una plantilla: sanear bases de datos dispersas, levantar consentimientos con trazabilidad (IP, timestamp, versión del documento) y montar evidencia auditable toma meses de trabajo real, no semanas.

Qué hacer con el año extra

Si el proyecto se aprueba, tienes 15 meses por delante. Es tiempo suficiente para dejar de estar “en preparación” y pasar a “cumpliendo”: tres movimientos concretos:

• Mapea qué datos tratas y dónde viven. Un RAT no se improvisa: inventario de cada tratamiento, su finalidad, su base legal y sus plazos. Nadie sanea bases dispersas en una tarde.
• Cierra los consentimientos con trazabilidad. Las casillas premarcadas y las cláusulas de amarre no sobreviven a una fiscalización. Cada consentimiento necesita IP, timestamp y versión del documento, con un canal de revocación operativo.
• Deja la evidencia lista para tus mandantes. No reconstruyas el compliance en 48 horas cuando un cliente grande lo pida: si la operación ya está documentada, el certificado de cumplimiento se entrega en minutos.

La pregunta que cada directorio debería hacerse hoy, tomada de la columna de trendTIC: “si hoy sufrimos una filtración de datos, ¿estamos en condiciones de responder, notificar y sostener la confianza de nuestros clientes?” Si la respuesta es no, la postergación no cambia nada para ti.

El año extra es la ventaja que pocos van a usar

La ley se va a cumplir, con Agencia, con Consejo o sin ellos, porque la exigencia no nace solo del fiscalizador: nace de tus clientes. Quienes usen estos meses para cerrar la brecha operativa llegarán a la vigencia plena, en 2026 o 2027, en una posición radicalmente distinta a la de quienes pausaron.

Si quieres profundizar en la preparación, parte por cómo prepararse para el 1 de diciembre o revisa el mínimo operativo para cumplir la Ley 21.719.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en IA para revisar la redacción.

Fuentes y referencias

1. Chócale: “Gobierno propone postergar entrada en vigencia de la Ley de Protección de Datos hasta diciembre de 2027” (01-sep-2026). chocale.cl
2. Emol: “Ejecutivo propone aplazar en un año la entrada en vigencia de la ley de Datos Personales” (01-sep-2026). emol.com
3. BioBioChile: “Empresas deben tomar medidas: Gobierno plantea dar 12 meses más para aplicar Ley Protección de Datos” (01-sep-2026). biobiochile.cl
4. El Desconcierto: “Ley de Protección de Datos Personales al congelador: gobierno de Kast escucha a gremio de grandes empresarios” (26-ago-2026). eldesconcierto.cl
5. trendTIC: “Postergar la Ley de Datos Personales: un síntoma, no una solución”, por Alexis Campos Molina (01-sep-2026). trendtic.cl
6. Emol: “Gobierno evalúa postergar Ley de Datos Personales: Mas apunta a dificultades para conformar la agencia” (04-ago-2026). emol.com
7. Biblioteca del Congreso Nacional: Ley 21.719 (Diario Oficial, 13-dic-2024). bcn.cl

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Con la entrada en vigencia de la Ley 21.719 fijada para el 1 de diciembre de 2026, distintos medios reportan un alza sostenida en la contratación de abogados y especialistas en compliance para revisar contratos, políticas internas, bases de datos, protocolos de seguridad y mecanismos de respuesta a titulares de datos.

La tendencia, en una frase

Existe un creciente interés en modelos que permiten sumar abogados especializados por proyecto, sin aumentar la estructura fija: talento legal flexible que se integra por un plazo definido, con objetivos concretos, junto a los equipos internos.

Según reportan T13 y G5noticias sobre el fenómeno que está viviendo el mercado legal chileno.

Qué están corriendo a completar las empresas

Registro de actividades de tratamiento (RAT)

El inventario de qué datos se manejan, con qué fin y base legal — la pieza central de cualquier programa de cumplimiento.

Revisión de cláusulas con proveedores

Especialmente con proveedores de tecnología (encargados de datos) y servicios cloud con posible transferencia internacional.

Delegado de protección de datos

Su designación, con facultades y canal de trabajo definidos, es uno de los elementos mínimos del Modelo de Prevención de Infracciones.

Protocolos y canal ARCO

Procesos documentados para recibir, gestionar y responder solicitudes de acceso, rectificación, cancelación y oposición.

Por qué la prisa

Las infracciones más graves pueden alcanzar 20.000 UTM (cerca de $1.400 millones a valores de 2026), monto que se puede triplicar en caso de reincidencia. El trabajo legal de fondo —no el software— es lo que reduce ese riesgo.

El cumplimiento no se compra: se construye con procesos, protocolos y evidencia documentada. Para pymes y estudios sin equipo legal interno robusto, esta es una señal para iniciar el diagnóstico ahora, en lugar de esperar a que la Agencia esté operando a plena capacidad.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Decreto N° 662, reglamento del Modelo de Prevención de Infracciones — RAT y elementos mínimos del programa de cumplimiento (BCN)
• T13.cl — “Ley de Protección de Datos abre nuevo frente de presión para empresas chilenas y acelera demanda por talento legal flexible”
• G5noticias.cl — misma nota, republicada

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

La Secretaría de Gobierno Digital (SGD), con apoyo de la División Jurídico-Legislativa de la Segpres, publicó una “Guía Práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales en la Administración”, disponible en su plataforma Wiki Guías. Aunque está pensada para el sector público, es uno de los pocos documentos oficiales disponibles antes de que existan los reglamentos definitivos de la Agencia.

Cómo lo presentó el propio Gobierno Digital

“Disponible guía práctica por implementación de Ley de Protección de Datos Personales en el Estado. Da orientaciones, pasos a seguir y formatos tipo para apoyar a las instituciones previo entrada en vigencia e inicio de funciones de la Agencia de Protección de Datos Personales.”

— Cuenta oficial de Gobierno Digital (@GobDigitalCL)

Qué trae la guía

Pasos a seguir

Una hoja de ruta con las etapas que un organismo —o cualquier empresa— debe recorrer para adecuarse a la ley.

Formatos tipo

Plantillas de referencia, entre ellas modelos para el registro de actividades de tratamiento y la designación del delegado de protección de datos.

Definiciones oficiales

Una lectura autorizada de conceptos clave —responsable, encargado, tratamiento de datos— alineada con la interpretación del propio Estado.

Antes de que exista la Agencia

Uno de los pocos documentos disponibles con orientación concreta mientras se termina de conformar la Agencia de Protección de Datos.

Aunque el foco es el sector público, equipos legales y de compliance de empresas privadas pueden usar esta guía como referencia complementaria a la ley y al reglamento del Modelo de Prevención de Infracciones (Decreto 662), mientras no existan instrucciones específicas de la Agencia.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Secretaría de Gobierno Digital — Guía práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales en la Administración (wikiguías)
• Secretaría de Gobierno Digital — Guía práctica para facilitar la implementación de la Ley N° 21.719 (wikiguías)
• Decreto N° 662, reglamento del Modelo de Prevención de Infracciones (BCN)
• Gobierno Digital (@GobDigitalCL) — publicación oficial anunciando la guía

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Para cualquier empresa que se está preparando para el 1 de diciembre, eso convierte la falta de directorio en una noticia relevante por sí misma — no solo institucional.

“Un Consejo Directivo de 3 consejeros designados por el Presidente de la República con acuerdo del Senado, adoptado por los dos tercios de sus miembros en ejercicio.” — Agencia de Protección de Datos Personales, sobre su gobierno corporativo

Ese quórum calificado —dos tercios, no mayoría simple— es precisamente lo que ha hecho fracasar la única terna presentada hasta ahora.

Cómo hemos llegado hasta aquí

A la fecha de esta publicación no hay confirmación de que ese proyecto haya ingresado al Congreso ni de su contenido final. Actualizaremos este artículo apenas haya novedades.

Lo que esto significa para tu empresa

Sin Consejo Directivo, la Agencia difícilmente puede fiscalizar masivamente desde el primer día ni terminar de dictar los reglamentos pendientes. Es un respiro institucional relativo — no elimina la presión operativa.

Incluso si el Ejecutivo termina postergando la ley, la exigencia comercial no depende de esa decisión: tus mandantes corporativos (banca, telco, seguros) ya están pidiendo acreditar cumplimiento a sus proveedores, con o sin agencia operativa. La presión comercial llega antes que la fiscalización — postergar la ley no la detiene.

Eso hace que dos tareas dejen de ser opcionales, tenga la Agencia directorio o no:

• Tener el mínimo operativo para cumplir la Ley 21.719 documentado antes de que un mandante lo pida, no después.
• Poder mostrar evidencia lista para entregar — no reconstruirla en 48 horas cuando llega la exigencia.

No es una razón para relajar tus plazos internos

El retraso en instalar la Agencia y la eventual postergación de la ley no cambian lo que ya te están pidiendo hoy. Puedes revisar el texto completo de la Ley 21.719 para entender el alcance de las obligaciones que siguen corriendo independientemente del calendario institucional.

Seguiremos este proceso de cerca y actualizaremos esta nota con cada novedad relevante — la próxima decisión importante es la reunión que el Ejecutivo sostuvo con la Segpres para definir si postergar o no la vigencia.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en IA para revisar la redacción.

Fuentes y referencias

1. Senado de la República de Chile — “Pendiente pronunciamiento sobre consejeros de la Agencia de Protección de Datos Personales”. senado.cl
2. Senado de la República de Chile — “Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales”. senado.cl
3. Agencia de Protección de Datos Personales — “La Agencia” (composición y quórum del Consejo Directivo). agenciadatos.cl
4. Emol — “Gobierno evalúa postergar Ley de Datos Personales: Mas apunta a dificultades para conformar la agencia” (04-ago-2026). emol.com
5. Biblioteca del Congreso Nacional — Ley 21.719, Diario Oficial (13-dic-2024). bcn.cl

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Sus facultades en la práctica —y por qué, a meses de operar, todavía no tiene autoridades nombradas.

En la primera parte de esta nota vimos qué es la Agencia de Protección de Datos Personales (APDP) y cómo se organiza. Ahora, la pregunta que le importa a cualquier empresa: ¿qué puede hacer exactamente esta Agencia sobre ti? Su objetivo legal es garantizar la protección efectiva de los derechos de las personas sobre sus datos personales —y para cumplirlo, la Ley 21.719 le entrega poder de fiscalización y sanción real, no solo declarativo.

Multa máxima por infracción: 20.000 UTM o 4% de los ingresos. Equivalente aproximado a USD 1,4–1,55 millones. Aplica en las infracciones más graves y en casos de reincidencia, sin excepción de tamaño de empresa ni sector.

Las facultades reales de la Agencia

Fiscalizar de oficio o por denuncia

Puede abrir investigaciones por iniciativa propia o a partir de un reclamo de cualquier persona, sin esperar una denuncia formal previa.

Ordenar la suspensión del tratamiento

Frente a un riesgo grave, puede exigir que una empresa detenga de inmediato el uso de ciertos datos personales.

Aplicar sanciones económicas

Multas que escalan según la gravedad de la infracción, hasta el tope de 20.000 UTM o 4% de los ingresos anuales en reincidencia.

Registro Nacional de Sanciones

Debe llevar y publicar un registro público de las empresas e instituciones sancionadas, con efecto reputacional directo.

Última hora: la instalación de la Agencia sigue trabada

Aunque su objetivo y facultades ya están definidos por ley, la Agencia todavía no tiene a sus autoridades nombradas. La ley exigía conformar su Consejo Directivo —el órgano que la dirige— seis meses antes de la entrada en vigencia, es decir, hacia fines de mayo de 2026. Ese plazo ya se cumplió sin que el Consejo quedara instalado.

• El Senado analizó dos veces, en comisiones unidas de Constitución y Economía, si la nómina de candidatos propuesta por el Ejecutivo cumplía los requisitos legales.
• En mayo de 2026, la Sala del Senado rechazó la nómina de tres consejeros propuesta por el Ejecutivo, al no alcanzar el quórum de dos tercios que exige la ley para su ratificación.
• A fines de julio de 2026, el Consejo Directivo continúa sin conformarse, mientras la ley mantiene su entrada en vigencia fijada para el 1 de diciembre de 2026.

El objetivo de la Agencia —fiscalizar y sancionar el mal uso de los datos personales— no depende de que su Consejo esté instalado a tiempo: la Ley 21.719 entra en vigencia igual el 1 de diciembre de 2026, exista o no un regulador plenamente operativo ese día. Para las empresas, eso significa que la obligación de cumplir no espera a que la institucionalidad se resuelva.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — facultades de la Agencia (art. 30 bis), multas y reincidencia (art. 35), suspensión del tratamiento (art. 38) y Registro Nacional de Sanciones (art. 39) (BCN)
• Descripción y síntesis de la Ley N° 21.719 — Asesoría Parlamentaria, Biblioteca del Congreso Nacional
• Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales — Senado de la República de Chile
• Pendiente pronunciamiento sobre consejeros de la Agencia de Protección de Datos Personales — Senado de la República de Chile
• Protección de Datos Personales: Sala aprueba informe de Comisión Mixta — Senado de la República de Chile

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Qué es, quién la creó y por qué es la pieza central de la Ley 21.719.

Hasta ahora, Chile es de los pocos países de la región sin una autoridad dedicada exclusivamente a fiscalizar el uso de los datos personales. La Ley 19.628, vigente desde 1999, nunca creó un organismo con esa función. Eso cambia con la Ley 21.719: además de modernizar las reglas de tratamiento de datos, crea desde cero la Agencia de Protección de Datos Personales (APDP), el primer regulador chileno especializado en esta materia.

• Ley que la crea: Ley 21.719
• Publicada en el Diario Oficial: 13 dic 2024
• Entra en vigencia: 1 dic 2026

¿Por qué se crea esta agencia?

Durante 25 años, la fiscalización de datos personales en Chile quedó repartida entre distintos servicios sin un organismo especializado y con poder sancionador real. La Ley 21.719 corrige eso alineando a Chile con estándares internacionales —en la línea del Reglamento General de Protección de Datos (RGPD) europeo— y entregándole a un solo organismo autónomo la tarea de vigilar cómo empresas, instituciones y órganos públicos tratan los datos de las personas.

La misma ley amplía los derechos de las personas sobre su información: a los tradicionales derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) suma Portabilidad y Bloqueo, formando el paquete conocido como ARCO+.

¿Qué tipo de organismo es?

La Agencia es una corporación autónoma de derecho público, con personalidad jurídica y patrimonio propio. Esto significa que no depende jerárquicamente de un ministerio ni del Presidente de la República en el ejercicio de sus funciones —similar en su lógica a otros reguladores autónomos chilenos—, lo que busca darle independencia técnica frente a los sujetos que fiscaliza.

Consejo Directivo

Órgano superior de la Agencia, integrado por 3 consejeros nombrados por el Presidente de la República con acuerdo de dos tercios del Senado, con periodos escalonados.

Dirección Ejecutiva

A cargo de la gestión operativa y administrativa del día a día de la Agencia, ejecutando las decisiones del Consejo Directivo.

Patrimonio propio

Cuenta con recursos y presupuesto propios, distintos de los de la administración central del Estado.

Alcance nacional

Fiscaliza a toda persona natural o jurídica, incluidos los órganos públicos, que trate datos personales en Chile.

En términos simples: la Agencia es el árbitro que faltaba. La Ley 21.719 define las reglas del juego sobre datos personales; la Agencia es quien va a verificar que esas reglas se cumplan —y quien tiene la potestad de sancionar cuando no ocurra.

Parte 2 de esta nota: ¿Cuál es el objetivo real de la Agencia y qué puede hacer en la práctica? Además, el dato de actualidad: a meses de la entrada en vigencia, su Consejo Directivo todavía no está instalado.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — creación y organización de la Agencia (arts. 30 y ss.) (BCN)
• Ficha de balance legislativo, Ley 21.719 — Biblioteca del Congreso Nacional
• Descripción y síntesis de la Ley N° 21.719 — Asesoría Parlamentaria, Biblioteca del Congreso Nacional

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Si tu empresa hace perfilamiento, tratamiento masivo o usa datos sensibles, la Ley 21.719 exige evaluar el riesgo antes de empezar, no explicarlo después de un incidente.

La Evaluación de Impacto en la Protección de Datos Personales (EIPD) es uno de los instrumentos más preventivos que incorpora la ley. A diferencia de otras obligaciones, que se activan cuando alguien reclama o cuando ocurre una filtración, la EIPD se exige antes de que el tratamiento de datos siquiera comience, cuando ese tratamiento puede representar un riesgo alto para las personas titulares.

“Cuando sea probable que un tipo de tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, pueda producir un alto riesgo para los derechos de las personas titulares de los datos personales, el responsable del tratamiento deberá realizar, previo al inicio de las operaciones del tratamiento, una evaluación del impacto en protección de datos personales.”

Ley 21.719, Artículo 15 ter

La lógica es simple: si tu tratamiento tiene potencial de alto riesgo, la ley te pide pensarlo primero y documentarlo, no justificarlo después ante la Agencia.

Los 4 casos en que la EIPD es obligatoria

El propio Artículo 15 ter fija cuatro escenarios en los que la evaluación se requiere siempre:

• Perfilamiento con efectos jurídicos. Evaluación sistemática y exhaustiva de aspectos personales de los titulares, basada en tratamiento o decisiones automatizadas (por ejemplo, la elaboración de perfiles), que produzca en ellos efectos jurídicos significativos.
• Tratamiento masivo o a gran escala. Cuando el tratamiento alcanza un volumen alto de datos personales o de titulares. La ley no fija un umbral numérico: mientras la Agencia no publique su lista orientativa, esa calificación se justifica caso a caso.
• Monitoreo de zonas de acceso público. Observación o vigilancia sistemática de una zona de acceso público, como videovigilancia, sensores o conteo de personas.
• Datos sensibles sin consentimiento. Tratamiento de datos sensibles y especialmente protegidos en las hipótesis en que la ley excepciona el consentimiento del titular.

Si tu empresa cae en alguno de estos cuatro casos, la EIPD deja de ser una buena práctica y pasa a ser un requisito legal exigible desde antes de que el tratamiento empiece.

Qué debe incluir la EIPD

La ley no fija un formulario único ni un listado cerrado de contenidos. Le encarga a la Agencia de Protección de Datos Personales publicar una lista orientativa de las operaciones que requieren evaluación y las orientaciones mínimas para realizarla, considerando a lo menos la descripción de las operaciones de tratamiento, su finalidad, la necesidad y proporcionalidad respecto de esa finalidad, los riesgos y las medidas de mitigación.

Mientras la Agencia no esté operativa ni haya publicado esas orientaciones, una EIPD bien hecha deja registro escrito de esos mismos puntos: qué operaciones se harán y con qué finalidad, por qué son necesarias y proporcionadas, qué riesgos corren los titulares y qué medidas los mitigan. La guía práctica de Gobierno Digital sirve como método interino de levantamiento e informe de hallazgos.

El deber no aparece solo con tratamientos de riesgo evidente: operaciones cotidianas pueden gatillarlo. Por ejemplo, controlar la asistencia con huella dactilar combina datos biométricos de la dotación con monitoreo sistemático de su comportamiento, una combinación que casi nunca termina en riesgo bajo.

Por qué evaluarlo antes y no después

La diferencia no es cosmética: el valor probatorio de la EIPD depende de haberse hecho previo al inicio del tratamiento, que es exactamente como lo exige el Artículo 15 ter. Reconstruir el análisis después de una fiscalización ya es, por definición, la prueba de que la evaluación nunca se hizo antes de tratar los datos: no existe documento anterior que mostrar. Una nota suelta en un archivo compartido, sin fecha ni versión, no acredita que la evaluación existía antes de operar. La EIPD sí lo acredita, porque su valor probatorio nace de haberse hecho a tiempo.

Cómo conecta con el resto de tu compliance estructural

La EIPD no vive aislada. Conecta directamente con el mapeo de riesgos que toda organización debe levantar en su Registro de Actividades de Tratamiento: si ese levantamiento detecta perfilamiento, tratamiento masivo, monitoreo de espacios públicos o datos sensibles, la evaluación de impacto deja de ser opcional.

Junto al RAT, es uno de los dos instrumentos que la Agencia va a pedir primero ante cualquier tratamiento de alto riesgo, y ambos forman parte del mínimo operativo que tu empresa necesita para cumplir la Ley 21.719 antes de la primera solicitud o fiscalización.

Tenerlos listos con antelación, RAT documentado, EIPD asistida y DPAs con proveedores vigentes antes de la vigencia plena, es lo que separa a una empresa que entrega evidencia en minutos de una que la arma en 48 horas de pánico.

Preguntas frecuentes

¿Cuándo es obligatoria la EIPD?

Cuando el tratamiento cae en alguno de los cuatro escenarios del artículo 15 ter de la Ley 21.719: decisiones automatizadas con efectos jurídicos significativos, tratamiento a gran escala, monitoreo sistemático de grandes zonas de acceso público o datos sensibles sin consentimiento dentro de las hipótesis que autoriza la ley. Y siempre antes de iniciar el tratamiento, no después.

¿Quién debe realizarla?

El responsable del tratamiento, es decir, quien decide el porqué y el cómo del tratamiento. Si a la organización le corresponde tener delegado de protección de datos (DPD), este debe participar; los encargados externos colaboran aportando información, pero la obligación de evaluar y documentar es del responsable.

¿Qué pasa si trato datos de alto riesgo sin EIPD?

La ley exige evaluar antes de empezar; hacerlo después no reconstruye la evidencia. Una vez operativa la Agencia, un tratamiento de alto riesgo sin evaluación previa queda expuesto a fiscalización y sanción conforme a la ley; y una EIPD tardía no demuestra que el análisis de riesgo se hizo antes de tratar los datos. En la práctica, mandantes y clientes ya piden ver esa evaluación acreditada.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepára a tu empresa ahora

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Para este artículo me apoyé en herramientas de IA para estructurar el borrador y contrastar referencias regulatorias con el texto oficial de la ley.

Fuentes y referencias

1. Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, Artículo 15 ter, Biblioteca del Congreso Nacional de Chile (BCN). bcn.cl/leychile/navegar?idNorma=1209272
2. Ley N° 19.628 sobre protección de los datos personales, texto reformado por la Ley N° 21.719, Biblioteca del Congreso Nacional de Chile (BCN). bcn.cl/leychile/navegar?idNorma=141599
3. Secretaría de Gobierno Digital (SGD), Ministerio Secretaría General de la Presidencia, “Guía Práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales” (metodología de levantamiento e informe de hallazgos de riesgos). wikiguias.digital.gob.cl

Si trabajas en compliance o protección de datos, probablemente ya escuchaste el término “RAT” —Registro de Actividades de Tratamiento— tomado de estándares como el reglamento europeo. La pregunta que se hacen muchas empresas chilenas es simple: ¿La Ley 21.719 obliga a tener uno? La respuesta, según la propia guía de implementación de la Secretaría de Gobierno Digital (SGD), es más matizada de lo que parece.

Así lo aclara la guía oficial del Gobierno:

En otras palabras: la ley no exige un documento con ese nombre exacto, pero sí exige mantener y publicar la misma información que un RAT contiene. La SGD llama a este instrumento “Catálogo de datos personales”, y recomienda construirlo como la forma más ordenada de cumplir la obligación.

Qué debe contener tu RAT (o Catálogo)

1. Categorías de datos
   Los tipos de datos que tratas: nombre, RUT, correo, salud, ubicación, etc.
2. Universo de titulares
   Descripción genérica de a quiénes pertenecen esos datos: clientes, trabajadores, postulantes.
3. Destinatarios
   A quién se comunican o ceden los datos, incluidos terceros y proveedores.
4. Finalidades
   Los fines específicos, explícitos y lícitos para los que se tratan, según el principio de finalidad.
5. Base de legitimidad
   La razón legal que habilita el tratamiento: consentimiento, contrato, obligación legal o interés legítimo.
6. Plazo de conservación
   Por cuanto tiempo se conservan los datos antes de eliminarlos o archivarlos.
7. Fuente de procedencia
   De dónde provienen los datos y si corresponden a fuentes de acceso público.

No es un documento que se hace una sola vez

El RAT/Catálogo cambia cada vez que tu empresa incorpora un nuevo proveedor, lanza un producto que trata datos de forma distinta o modifica un sistema. Mantenerlo actualizado es una responsabilidad operativa permanente, no un trámite que se archiva. La guía de la SGD sugiere elaborarlo a partir de una matriz de levantamiento previa, donde cada área de la organización aporta el detalle de los datos que administra.

El RAT no es solo un documento para cumplir una norma: es la evidencia que tu empresa presenta primero ante una fiscalización. Si la Agencia pregunta qué datos tratas, con qué base y por cuánto tiempo, este catálogo es la respuesta. Sin él, cada consulta se convierte en una investigación interna urgente.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepára a tu empresa ahora

Fuentes

1. Secretaría de Gobierno Digital (SGD), Ministerio Secretaría General de la Presidencia — “Guía Práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales”, Sección 6: “Instrumento N°1. Catálogo de datos personales tratados por la institución”. wikiguias.digital.gob.cl
2. Ley N° 19.628 reformada, Artículo 14 ter, Deber de información y transparencia — Biblioteca del Congreso Nacional de Chile (BCN). bcn.cl/leychile/navegar?idNorma=141599
3. Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — Biblioteca del Congreso Nacional de Chile (BCN). bcn.cl/leychile/navegar?idNorma=1209272

La propia guía de implementación del Gobierno —pensada originalmente para orientar a los órganos públicos— traza un piso mínimo de instrumentos que cualquier organización, pública o privada, necesita para poder demostrar cumplimiento el día que la Agencia de Protección de Datos Personales empiece a fiscalizar.

Así lo exige la ley — Artículo 14 ter, Deber de información y transparencia

“Los responsables de datos deben facilitar y mantener permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente”, entre otra información: la política de tratamiento, la identificación del responsable, el canal de contacto, las categorías de datos que trata, las medidas de seguridad adoptadas y los derechos que le asisten al titular.

Esto no es una recomendación de buenas prácticas: es una obligación legal explícita, exigible a toda organización que trate datos de personas en Chile, sin importar su tamaño.

Los 4 mínimos, según la propia guía del Gobierno

Responsable y canal identificados

Art. 14 ter, N° 2 y 3. Nombre del responsable de datos y un medio de contacto público —correo, formulario o domicilio— por el cual cualquier persona pueda ejercer sus derechos.

Catálogo de datos que tratas

Art. 14 ter, letras d), i), j). Qué categorías de datos manejas, con qué fin, con base en qué legitimidad y por cuánto tiempo los conservas. Es la base del registro de tratamiento.

Política de tratamiento publicada

Instrumento N°2, Guía SGD. Un documento único, accesible al público, que reúne fines, base legal, medidas de seguridad y el canal para ejercer derechos ARCO+.

Derechos ARCO+ visibles

Art. 14 ter, N° 6 y 7. Informar con claridad que el titular puede pedir acceso, rectificación, supresión, oposición y portabilidad, y que puede reclamar ante la Agencia si no respondes a tiempo.

Por qué no conviene dejarlo para último momento

La Secretaría de Gobierno Digital (SGD) publicó un cronograma sugerido para que los propios órganos del Estado preparen estos instrumentos. Incluso con equipos dedicados, el proceso completo toma casi un año:

Lo que hay en juego si no está listo

Las infracciones al deber de información y transparencia se suman a la misma escala general de la ley: entre 5.000 y 20.000 UTM según gravedad (hasta USD 1,4 millones aprox.), fiscalizadas por una Agencia que puede investigar de oficio.

Si a los propios organismos públicos —con equipos dedicados y una guía oficial paso a paso— este proceso les toma cerca de un año, una empresa que hoy no tiene ni el primer instrumento parte con menos margen del que cree. El mínimo no es un techo: es el punto de partida que la Agencia va a verificar primero.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — art. 14 ter, deber de información y transparencia (BCN)
• Secretaría de Gobierno Digital — Guía práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales (wikiguías)
• SII — valor de la UTM 2026

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Esta guía los explica completos: los cuatro derechos clásicos, los dos que agregó la reforma, la comparación con el GDPR europeo y el flujo operativo para responderlos sin que se te venza una solicitud.

Qué son los derechos ARCO (y por qué el “+”)

Los derechos ARCO son el mecanismo que le devuelve a una persona el control sobre su propia información. Cada vez que llenas un formulario, te suscribes a un boletín o creas una cuenta, entregas datos personales: tu nombre, tu RUT, tu correo, tu dirección. Los derechos ARCO son la herramienta legal que te permite preguntar qué pasa con esa información después y, si algo no te parece, hacer algo al respecto.

ARCO es la sigla de cuatro derechos:

• Acceso: saber qué datos tuyos tiene una empresa y para qué los usa.
• Rectificación: corregir lo que está mal, desactualizado o incompleto.
• Cancelación (o supresión): pedir que eliminen tus datos cuando ya no hay razón legítima para conservarlos.
• Oposición: frenar un tratamiento específico, por ejemplo que dejen de usarte para publicidad.

Un detalle importante para no confundirse: el término “ARCO+” no aparece en la ley. La Ley 21.719 habla de los derechos del titular y los consagra en el Título I de la normativa que reforma (la Ley 19.628). “ARCO+” es la sigla de mercado que usa la industria para referirse a los cuatro derechos clásicos más los dos que la reforma sumó: Portabilidad y Bloqueo. Por eso se habla de seis derechos ARCO+ en total.

Si tu empresa es un proveedor con clientes grandes, piensa en estos derechos en términos comerciales, no solo legales: cuando tu mandante corporativo te pide “acreditar cumplimiento”, lo que está esperando es que tu operación pueda responder una solicitud ARCO a tiempo, sin que él tenga que avisarte. El contexto completo de qué obliga la ley y desde cuándo está en nuestra guía sobre la Ley 21.719.

Acceso: saber qué datos tuyos tiene una empresa

El derecho de acceso (artículo 5° de la normativa) es el más usado y, en la práctica, el que más expone a una empresa si responde mal. Permite a una persona pedir que le confirmen si sus datos están siendo tratados y, si es así, recibir una copia con información concreta:

• Los datos personales tratados y su origen.
• La finalidad o finalidades del tratamiento.
• Las categorías o identidades de los destinatarios a quienes se les comunicaron o cedieron los datos.
• El período durante el cual se conservarán.
• El interés legítimo que fundamenta el tratamiento, cuando esa sea la base de licitud.
• Información significativa sobre la lógica aplicada en tratamientos con decisiones automatizadas.

Ejemplo. Un excolaborador escribe a la empresa donde trabajaba: “¿qué datos míos conservan y para qué?”. La respuesta correcta no es un “no tenemos nada” sin verificar: es un inventario de lo que realmente se guarda (ficha de RRHH, datos de la AFP, evaluaciones) con su finalidad y su plazo de conservación. Responder “no tenemos nada” cuando sí hay datos es una respuesta incompleta y, por lo tanto, una infracción.

El acceso obliga siempre, salvo que una ley disponga expresamente lo contrario. Es la base de todo el sistema: si no sabes qué datos tienes y dónde están, no puedes responder ninguno de los otros derechos.

Rectificación: corregir lo que está mal

El derecho de rectificación (artículo 6°) permite exigir la modificación, actualización o compleción de los datos cuando están inexactos, desactualizados o incompletos.

Tiene dos efectos operativos que se pasan por alto:

1. Prohibición de seguir tratando el dato sin rectificar. Una vez hecha la corrección, la empresa no puede volver a usar la versión antigua.
2. Obligación de comunicar el cambio a terceros. Si ya se cedió o transmitió ese dato a otro (una AFP, un banco, un servicio de verificación), hay que avisarles de la corrección, salvo que sea materialmente imposible o exija un esfuerzo desproporcionado.

Ejemplo. Un cliente avisa que cambió de dirección y que le siguen llegando cobranzas a la casa anterior. La empresa corrige la dirección en su sistema, pero no avisa a la empresa de cobranza externa que tenía el dato viejo: la cobranza sigue llegando a la dirección equivocada. Ahí la rectificación quedó a medias, y la empresa sigue expuesta.

Cancelación o supresión: eliminar lo que ya no corresponde

El derecho de cancelación o supresión (artículo 7°) es el que pide eliminar los datos de forma definitiva. Procede en seis casos:

1. Los datos ya no son necesarios para los fines para los que se recolectaron.
2. El titular revocó el consentimiento y no hay otra base legal que sostenga el tratamiento.
3. Los datos fueron obtenidos o tratados ilícitamente.
4. Se trata de datos caducos.
5. Hay que cumplir una sentencia judicial, una resolución de la Agencia o una obligación legal.
6. El titular ejerció válidamente su oposición y no hay otra base legal.

Pero la supresión no es automática: el responsable puede denegarla justificadamente cuando el tratamiento es necesario, por ejemplo, para cumplir una obligación legal, ejecutar un contrato vigente, ejercer la libertad de informar o defenderse en reclamaciones judiciales o administrativas.

Ejemplo. Un cliente pide “borren todo lo mío”. La empresa borra sus datos de marketing, pero conserva las boletas y facturas porque la ley tributaria le exige guardarlas. Esa respuesta es correcta si se funda bien: “suprimimos lo que podíamos suprimir y conservamos lo que la ley nos obliga a conservar, por este fundamento”. El error típico es el extremo contrario: borrar todo (y perder evidencia contable) o no borrar nada (y desobedecer la solicitud).

Oposición: frenar un tratamiento específico

El derecho de oposición (artículo 8°) permite a una persona oponerse a un tratamiento concreto de sus datos. Se puede ejercer en tres hipótesis:

1. Cuando el tratamiento se funda en el interés legítimo del responsable. El titular se opone y la empresa debe cesar, salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los derechos del titular.
2. Cuando el tratamiento es para mercadotecnia o marketing directo, incluida la elaboración de perfiles. Aquí no hay excepción: si el titular se opone al marketing, se deja de usar.
3. Cuando los datos provienen de una fuente de acceso público y no hay otra base de licitud.

Ejemplo. Un cliente dice “no quiero que usen mis datos para enviarme promociones”. La empresa lo saca de la lista de envíos, pero el dato sigue en el sistema de ventas para cumplir el contrato. Eso está bien: la oposición frena el tratamiento de marketing, no la relación contractual completa. El error es interpretar la oposición como “bórrenme de todo” y romper el vínculo comercial.

Portabilidad y bloqueo: lo que suma la Ley 21.719

La reforma agregó dos derechos que convierten al ARCO clásico en ARCO+:

Portabilidad (artículo 9°). Permite recibir los datos que la persona entregó a una empresa en un formato electrónico estructurado, de uso común e interoperable, y exigir que se transmitan directamente a otro responsable cuando sea técnicamente viable. Es exigible cuando el tratamiento es automatizado y se basa en el consentimiento. Un matiz clave: ejercer la portabilidad no implica borrar los datos de origen, salvo que el titular lo pida expresamente en la misma solicitud.

Bloqueo (artículo 8° ter). Permite pedir la suspensión temporal de cualquier operación de tratamiento sobre los datos. Se usa en dos casos: como medida cautelar mientras se tramita una rectificación, supresión u oposición, o como alternativa a la supresión. El bloqueo no afecta el almacenamiento seguro de la información: los datos se congelan, no se destruyen.

El bloqueo tiene un plazo especial que casi siempre se pasa por alto: 2 días hábiles para responder (lo detallamos más abajo). Es el plazo más corto de toda la ley y el que más sorprende a las empresas que no tienen un proceso armado.

ARCO chileno vs GDPR: la comparación que evita confusiones

Muchas empresas chilenas ya escucharon hablar de los derechos del GDPR europeo y asumen que “ya los tienen cubiertos”. La lógica es parecida, pero los detalles operativos son chilenos y ahí es donde se equivocan:

Las diferencias que importan en el día a día son tres:

1. El plazo. Chile fija 30 días corridos (prorrogables una vez por otros 30); el GDPR exige responder “sin dilación indebida” y a más tardar en un mes. “Corridos” significa que los fines de semana y feriados cuentan: un plazo que cae un sábado no se corre al lunes.
2. El bloqueo. En Chile el bloqueo cautelar se responde en 2 días hábiles, un plazo sumario que no tiene equivalente directo en el GDPR.
3. Las sanciones. Chile multa en UTM (hasta 5.000 la leve, 10.000 la grave y 20.000 la gravísima, con reincidencia que puede llegar a 2% o 4% de los ingresos anuales en grandes empresas); el GDPR usa hasta 20 millones de euros o 4% del volumen de negocio global.

La conclusión práctica: no traduzcas el GDPR al chileno. Las bases conceptuales se parecen, pero los plazos, las causales y las sanciones son de la Ley 21.719, no de Bruselas.

Cómo ejercerlos en la práctica: el flujo de los 30 días

Cuando una persona ejerce un derecho ARCO, se activa un procedimiento reglado. Así funciona, paso a paso:

1. Ingreso por un canal oficial. La solicitud se presenta por escrito a través de los medios que la empresa tenga dispuestos: un correo específico para estos efectos, un formulario de contacto digital o un medio electrónico equivalente. Si tu empresa no tiene un canal definido, la solicitud entra igual, pero por donde la persona pueda.
2. Contenido mínimo y acreditación de identidad. La solicitud debe individualizar al titular, acreditar su identidad (según los procedimientos que fije la Agencia), indicar un domicilio o correo para recibir la respuesta y precisar qué datos o tratamientos se ejercen. Para el acceso basta la individualización; para rectificación, supresión u oposición se acompañan los fundamentos.
3. Acuse de recibo inmediato. El responsable debe acusar recibo de la solicitud al momento de recibirla.
4. Plazo de 30 días corridos. La empresa debe pronunciarse dentro de los 30 días corridos desde el ingreso de la solicitud, prorrogables una sola vez por otros 30 corridos con razones justificadas.
5. Respuesta por escrito, con respaldo. La respuesta se envía al domicilio o correo indicado y debe quedar respaldada: la empresa debe conservar la prueba del envío, su fecha exacta y el contenido íntegro. La carga de la prueba del cumplimiento recae en la empresa.
6. Denegación fundada. Si se rechaza total o parcialmente, la respuesta debe indicar la causa legal. Además, la empresa debe informar al titular que tiene 30 días hábiles para reclamar ante la Agencia mediante la tutela de derechos.
7. Caso especial: bloqueo en 2 días hábiles. Si la solicitud pide el bloqueo temporal, la empresa tiene 2 días hábiles para pronunciarse, y mientras no resuelva no puede realizar ninguna operación de tratamiento sobre esos datos. Si rechaza el bloqueo, debe fundar la respuesta y comunicar electrónicamente el rechazo a la Agencia.

El detalle que separa a las empresas que cumplen de las que no: el plazo se cuenta desde que la solicitud ingresa al canal, no desde que alguien la lee. Una solicitud que queda dos semanas en un buzón general ya consumió la mitad del plazo antes de que nadie la abriera. Para el paso a paso de cómo se gestiona una solicitud de este tipo, revisa nuestra guía de la solicitud ARCO+.

Qué pasa si no respondes (o respondes incompleto)

No responder, responder incompleto o responder fuera de plazo está tipificado como infracción leve (artículo 34 bis, letra c). Las consecuencias escalan rápido:

• Multa leve. Hasta 5.000 UTM por omitir la respuesta o responder incompleto.
• Tutela ante la Agencia. El titular puede reclamar mediante la tutela de derechos. La resolución de la Agencia es vinculante.
• Desacato. Si la Agencia ordena responder y la empresa no lo hace, la falta escala a infracción gravísima, con multas de hasta 20.000 UTM.
• Reincidencia. Dos o más sanciones en 30 meses pueden triplicar la multa, y en grandes empresas reincidentes el tope se calcula como 2% o 4% de los ingresos anuales por ventas.
• Responsabilidad civil. El titular puede demandar indemnización por daño patrimonial y moral.

En resumen: una solicitud olvidada no es un trámite menor, es la puerta de entrada a un proceso sancionatorio y, en el peor de los casos, a un problema de confianza con un mandante que te pidió exactamente esto.

Por qué Excel, el correo y el abogado externo no alcanzan

No es que sean malas herramientas: es que ninguna resuelve lo que la ley exige demostrar, que es el cumplimiento operativo y su prueba.

• Excel: mutable. No guarda una huella fiable de qué se respondió, cuándo, ni con qué versión de la política. Un archivo editable no sirve como evidencia ante la Agencia o ante un mandante.
• Correo: no calcula los 30 días corridos y las solicitudes se pierden en buzones generales. El plazo corre desde que entra, no desde que lo lees.
• Abogado externo: define el “qué legal” pero deja intacto el “cómo operativo”. Un PDF firmado no genera el registro, el timestamp ni la asignación de responsables que la ley espera.
• Ticketing genérico: entiende tickets, no derechos ARCO. No conoce los plazos chilenos, ni las causales de rechazo, ni las plantillas con base legal.

La diferencia entre cumplir y no cumplir no es conocer la ley: es tener un proceso que reciba toda solicitud, calcule el plazo, asigne un responsable y deje registro de cada paso.

Qué se ve bien operativamente

Cuando el proceso funciona, no se nota por una pantalla bonita, sino por resultados medibles:

• Ninguna solicitud sin respuesta. Toda solicitud entra a un solo canal, se asigna a un responsable y tiene un plazo calculado desde el día uno.
• Cero vencimientos por descuido. El sistema alerta antes de que corra el plazo, no después, y distingue el caso especial del bloqueo (2 días hábiles).
• Respuesta con base legal. Cada respuesta usa la causal correcta (incluidas las excepciones de supresión) y deja registro con timestamp.
• Evidencia entregable. Lo que pide un mandante o la Agencia se exporta en minutos, no se rearma a mano.

Si tu empresa ya recibe solicitudes de clientes grandes (o las va a recibir con la vigencia plena), este es el estándar mínimo que tu operación necesita alcanzar. No porque sea bonito, sino porque es lo que se audita. Para ver cómo se ve un proceso que calcula el plazo, asigna responsable y deja registro de cada paso, revisa la solución de gestión de solicitudes ARCO+; y si el costo es lo que te frena, los planes están pensados para equipos como el tuyo.

Preguntas frecuentes

¿Qué son los derechos ARCO? Son los derechos que le permiten a una persona controlar sus datos personales: Acceso, Rectificación, Cancelación o supresión y Oposición. Con la Ley 21.719 se suman Portabilidad y Bloqueo, por lo que se habla de derechos ARCO+.

¿El término ARCO+ está en la ley? No. La Ley 21.719 habla de los “derechos del titular” y los consagra en el Título I de la normativa que reforma. “ARCO+” es la sigla de mercado para referirse a los cuatro derechos clásicos más la portabilidad y el bloqueo.

¿En qué artículos se regulan los derechos ARCO? En la normativa reformada por la Ley 21.719: acceso (artículo 5°), rectificación (artículo 6°), cancelación o supresión (artículo 7°), oposición (artículo 8°), portabilidad (artículo 9°) y bloqueo (artículo 8° ter).

¿Cuántos días tengo para responder una solicitud ARCO? 30 días corridos desde el ingreso de la solicitud, prorrogables una sola vez por otros 30 corridos con razones justificadas. Si la solicitud pide el bloqueo temporal, el plazo es de 2 días hábiles.

¿Puedo negarme a borrar los datos de un cliente? Solo con fundamento legal. La supresión procede en seis causales, pero el responsable puede denegarla justificadamente cuando el tratamiento es necesario para cumplir una obligación legal, ejecutar un contrato, defenderse en reclamaciones o ejercer la libertad de informar, entre otras excepciones.

¿Qué pasa si no respondo una solicitud a tiempo? No responder o responder incompleto es una infracción leve (hasta 5.000 UTM). El titular puede reclamar ante la Agencia mediante la tutela de derechos, y si desacatas la orden, la falta escala a gravísima (hasta 20.000 UTM o 2% a 4% de los ingresos anuales en grandes empresas reincidentes).

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Este contenido es informativo y operativo; no reemplaza la asesoría de tu abogado o de tu Delegado de Protección de Datos (DPD) para tu caso específico.

Para este artículo me apoyé en IA para revisar la redacción.

Fuentes

• Biblioteca del Congreso Nacional (BCN) — Ley N° 21.719, texto oficial.
• Biblioteca del Congreso Nacional (BCN) — Ley N° 19.628, sobre protección de la vida privada, texto vigente (arts. 5° a 11).
• Arco Legal — Ley 21.719: qué cambia con la nueva ley de datos en Chile.
• Arco Legal — Qué es una solicitud ARCO+ en Chile.

Este año Chile tiene en marcha dos normativas que suelen mencionarse juntas —y confundirse como si fueran una sola—: la Ley 21.719 de Protección de Datos Personales y la Ley 21.663, Marco de Ciberseguridad. Ambas se inspiran en estándares internacionales tipo GDPR y NIS2, pero regulan cosas distintas, obligan a actores distintos y se activan por motivos distintos. Tratarlas como sinónimos es el error de cumplimiento más común que estamos viendo.

Ley 21.719 · Protección de Datos — Aplica a: todas las empresas que traten datos personales.

Ley 21.663 · Ciberseguridad — Aplica a: solo Servicios Esenciales y Operadores de Importancia Vital.

Dónde se desmarcan por completo

No se solapan, se complementan: varias medidas técnicas que exige la Ley 21.663 (control de accesos, cifrado, gestión de vulnerabilidades) son justamente las que ayudan a cumplir la Ley 21.719. Pero cumplir una no significa cumplir la otra — y confundirlas es la forma más rápida de dejar un vacío de cumplimiento sin darte cuenta.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — art. 35 (multas) (BCN)
• Ley N° 21.663, Ley Marco de Ciberseguridad, texto oficial (BCN)
• Agencia Nacional de Ciberseguridad (ANCI) — Ley Marco de Ciberseguridad
• Secretaría de Gobierno Digital — Guía práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales (wikiguías)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Tiempo restante: 141 días hasta la vigencia

La Ley 21.719 entra en vigor el 1 de diciembre de 2026. No hay período de gracia: las sanciones aplican desde el primer día.

La Agencia todavía no está operativa, pero eso no elimina el riesgo — solo cambia de dónde viene la presión.

Las multas, según el nivel de infracción

La multa no es lo único que arriesgas

Reincidencia

Si vuelves a infringir la ley, la multa puede triplicarse o aplicarse un porcentaje de tus ingresos anuales — lo que sea mayor.

⚠️ Hasta 4% de ingresos anuales en infracciones gravísimas

Suspensión del tratamiento de datos

La Agencia puede ordenar detener el tratamiento de datos hasta por 30 días, o prohibirlo temporal o permanentemente.

⚠️ Puede paralizar CRM, facturación y marketing

La sanción se hace pública

Las resoluciones sancionatorias se publican. Tus clientes ya te exigen evidencia de cumplimiento — una sanción pública puede costarte contratos.

⚠️ Riesgo reputacional, no solo económico

Uso malicioso de la ley por terceros

Un competidor o un tercero con interés puede usar una denuncia para afectarte, incluso antes de que la Agencia fiscalice activamente.

⚠️ El riesgo no depende solo del regulador

“No pasa nada el 1 de diciembre” es un mito

• Las sanciones ya son ley desde ese día — no hay período de gracia.
• Bancos, aseguradoras y telcos ya exigen evidencia de cumplimiento a sus proveedores, y esa presión llega antes que cualquier fiscalización.
• Una denuncia de un titular o un tercero puede activar un proceso, aunque la Agencia recién esté formándose.

El riesgo no depende de que te fiscalicen primero. Depende de que no puedas demostrar que cumples cuando alguien te lo pida.

Las multas son solo una parte del riesgo. La otra parte es no poder demostrar que hiciste las cosas bien.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — arts. 35, 36, 38 y 39 (BCN)
• SII — valor de la UTM 2026

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

No necesitas ser un banco, una clínica ni una gran corporación para que esto te aplique. Basta con que tu empresa guarde el nombre, el RUT, el correo o el teléfono de un cliente para que, desde el punto de vista legal, hoy seas responsable de esos datos. La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, reforma la Ley N° 19.628 y entra en plena vigencia el 1 de diciembre de 2026. Con ella nace una figura legal —el “responsable de datos”— que asigna obligaciones concretas y consecuencias económicas reales a cualquier persona, natural o jurídica, que decida qué hacer con los datos personales de otros.

Así lo define la ley — Artículo 2°, letra n)

“Responsable de datos o responsable: toda persona natural o jurídica, pública o privada, que decide acerca de los fines y medios del tratamiento de datos personales, con independencia de si los datos son tratados directamente por ella o a través de un tercero mandatario o encargado.”

Traducido: Si tu empresa decide qué datos recolecta, para qué los usa y cómo los guarda, eres “responsable de datos” —sin importar tu tamaño, tu sector, ni si el trabajo técnico lo hace un tercero, como un proveedor de software, una consultora de RRHH o un contador externo.

¿Por qué esto te aplica a ti (sí, a ti)?

La ley no exige ser una empresa grande ni tratar datos “sensibles”. Su ámbito de aplicación (artículo 1.º bis) es amplio a propósito: alcanza a toda organización establecida en Chile que trate datos de personas naturales, e incluso a empresas extranjeras que ofrezcan bienes o servicios a personas en Chile o que monitoreen su comportamiento, aunque su servidor esté en otro país.

Tampoco te libera de responsabilidad delegar el trabajo. Si contratas a un tercero —un “encargado del tratamiento”— para administrar esos datos (por ejemplo, tu proveedor de CRM o de nómina), tú sigues siendo el responsable ante la ley. Y si ese tercero usa los datos para un fin distinto al que le encargaste, la ley lo convierte también en responsable, obligado a responder solidariamente por los daños causados (Artículo 15 bis).

Qué obligaciones trae este nuevo título

Principio de responsabilidad

Art. 3°, letra e). Respondes legalmente por el cumplimiento de todos los principios y obligaciones de la ley, no solo cuando algo sale mal.

Seguridad desde el diseño

Art. 14 quater y quinquies. Debes aplicar medidas técnicas y organizativas antes de tratar los datos. Ante un incidente, eres tú quien debe acreditar que esas medidas existían.

Reportar filtraciones

Art. 14 sexies. Si hay una vulneración de seguridad con riesgo para los titulares, debes reportarla a la Agencia sin dilación. Omitirlo a propósito es infracción gravísima.

Responsabilidad civil

Art. 47. Si el tratamiento de datos causa daño patrimonial o moral a una persona, debes indemnizarla, independiente de cualquier multa administrativa.

El costo de no asumir esta responsabilidad

Multa máxima por infracción gravísima: hasta $1.433 millones CLP (20.000 UTM, valor julio 2026), cerca de USD 1,4 millones —sin excepción de tamaño de empresa ni sector.

• Hasta $358M — infracción leve (5.000 UTM)
• Hasta $716M — infracción grave (10.000 UTM)
• Hasta $1.433M — infracción gravísima (20.000 UTM)

Si reincides y tu empresa no califica como “menor tamaño” (Ley N° 20.416), la multa puede llegar al 2% o 4% de tus ingresos anuales por ventas y servicios (Artículo 35). La fiscalizadora es la Agencia de Protección de Datos Personales, un organismo autónomo que puede investigar de oficio —sin que nadie denuncie— y publicar el nombre de las empresas sancionadas en un Registro Nacional de Sanciones y Cumplimiento, de acceso público (Artículo 39).

La condición de “responsable de datos” no empieza a existir el 1 de diciembre de 2026: ya existe hoy, desde el momento en que tu empresa trata datos de una persona. Lo que ocurre el 1 de diciembre es que la Agencia empieza a exigir evidencia de que cumples, no buenas intenciones. Según la propia guía de implementación del Gobierno, prepararse en serio —levantar qué datos tratas, definir una política y protocolos internos— toma varios meses, no unos días.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — arts. 1° bis, 2° letra n), 3° letra e), 14 quater/quinquies/sexies, 15 bis, 35, 39 y 47 (BCN)
• Secretaría de Gobierno Digital — Guía práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales (wikiguías)
• SII — valor de la UTM 2026

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

En una reunión reciente, una empresa proveedora de tótems para una cadena de farmacias me planteó una duda operativa que se repite más de lo que parece: “Nos llegó una solicitud de una persona que usó el tótem. Quiere saber qué datos tenemos de ella. ¿Quién responde, nosotros o nuestro cliente?”

El caso. La cadena de farmacias define para qué se usan los datos; es el responsable. El proveedor del tótem solo captura un RUT y un nombre para imprimir un número de atención; es el encargado. Bajo la Ley 21.719, vigente desde el 1 de diciembre de 2026, los derechos del titular se ejercen ante el responsable. Legalmente, la pelota no es del proveedor. Pero la solicitud ya está en su mesa —y el plazo ya empezó a correr.

Como encargado de datos, la solicitud que llega a tu mesa no te pertenece legalmente. Pero operativamente, sí. Si tienes tres preguntas respondidas antes de que llegue la primera —qué le digo al titular, qué dice mi contrato con mi cliente, qué evidencia guardo—, el resto se resuelve con tiempo de sobra.

Pregunta 1: ¿Qué le digo al titular?

La lectura literal de la ley dice que basta con informar al titular que tú no eres el responsable y remitirlo a los canales oficiales de tu cliente. Punto. No tienes que entregar, borrar ni modificar nada. El plazo de 30 días corridos —ampliable a 60 con justificación— recae en el responsable.

Esa lectura es legalmente correcta, pero operativamente insuficiente. Si solo informas y remites, pasan tres cosas:

• El titular no sabe a quién escribirle. Es probable que nunca haya usado el canal ARCO+ de tu cliente y no lo va a buscar solo porque tú le digas “diríjase a ellos”.
• El plazo sigue corriendo. Aunque el responsable demore semanas en responder, la Agencia mide el cumplimiento desde que la solicitud entró al sistema del primer interviniente —probablemente tú.
• No tienes registro de nada. Si el titular reclama porque nunca le respondieron, ¿cómo demuestras que tú cumpliste tu parte?

En el caso del proveedor de tótems, la respuesta se construyó así —y quedó funcionando sin nuevos tropiezos:

Estimado/a [nombre]: Confirmamos la recepción de su solicitud sobre datos personales. Le informamos que, de acuerdo con la Ley 21.719, [nuestra empresa] actúa como tercero mandatario o encargado tecnológico para [cliente]. La entidad responsable del tratamiento de los datos que usted proporcionó al usar nuestros tótems es [cliente]. Hemos derivado su solicitud a [cliente] para su gestión. Usted también puede ejercer sus derechos directamente ante ellos a través de los canales oficiales dispuestos en su Política de Privacidad.

Cinco puntos no negociables de esa plantilla: identifica tu rol, identifica al responsable, deriva explícitamente la solicitud, ofrece el canal alternativo del responsable y guarda copia exacta con timestamp. Lo que no debes hacer: responder de fondo, entregar datos, modificar información, ni esperar pasivamente a que el cliente haga su parte.

Pregunta 2: ¿Qué dice mi contrato con mi cliente responsable?

Esta es la pregunta que los proveedores B2B chilenos descubren cuando ya están en problemas. La Ley 21.719 obliga a que el tratamiento de datos por encargo se rija por un contrato entre responsable y encargado que incluya al menos seis elementos obligatorios:

01. El objeto del encargo

Qué servicio específico entregas como encargado (ej.: emitir números de atención).

02. La duración del encargo

Período durante el cual estás autorizado a tratar los datos.

03. La finalidad del tratamiento

Propósito exacto para el que se usan los datos; cualquier otro uso está prohibido.

04. El tipo de datos tratados

Cuáles datos específicamente: RUT, nombre, número de atención, etc.

05. Categorías de titulares

Qué grupo de personas aplica (ej: clientes de la farmacia).

06. Derechos y obligaciones

Protocolo de derivación ARCO+, medidas de seguridad, reportes de vulneraciones y confidencialidad.

Hay tres cláusulas adicionales que suelen quedar fuera de contratos firmados antes de la ley:

• Prohibición de subcontratar sin autorización escrita del responsable (si subcontratas con autorización, sigues siendo solidariamente responsable).
• Devolución o supresión de datos al término del servicio.
• Acceso del encargado solo bajo instrucciones del responsable, nunca por iniciativa propia.

El problema real: la mayoría de estos contratos se firmaron antes del 1 de diciembre de 2026. Muchos ni siquiera mencionan “datos personales”. Esperar a ver si fiscalizan primero es la peor estrategia; renegociar en caliente deja una posición de negociación pésima.

¿Qué hacer ahora, a menos de seis meses de la vigencia?

1. Saca una lista de tus cinco clientes corporativos más grandes. Para cada uno, identifica si tu contrato actual cubre los seis elementos.
2. Si los cubre, ya tienes el 80% del trabajo hecho —falta internalizar el protocolo de derivación con tu equipo.
3. Si no los cubre (el caso más común), levanta un addendum específico o un DPA nuevo. No hace falta renegociar todo el contrato, basta un anexo de protección de datos.
4. Define por escrito el procedimiento exacto de derivación de solicitudes ARCO+ y los SLA de respuesta (5 días para informar, 30 para responder).

Este trabajo suele caer entre dos sillas —legal lo trata como un contrato más, comercial no quiere abrir la conversación— y termina sin hacerse hasta que llega la primera solicitud. Plataformas como ARCO Legal ya integran gestión de DPAs y derivación con plantillas listas para los seis elementos obligatorios; la alternativa de un abogado para un proyecto único que después no se mantiene no funciona para una ley con vigencia indefinida.

30/60 días corridos. Plazo legal para responder al titular (30 días, ampliable a 60 con justificación), pero la Agencia mide el cumplimiento desde que la solicitud entró al sistema del primer interviniente, no desde que la recibe el responsable.

Pregunta 3: ¿Qué evidencia guardo?

“No soy responsable de los datos” no es una defensa, es una frase. Ante la Agencia, lo único que la sostiene es evidencia auditable de cómo informaste, cómo derivaste y cómo no usaste los datos para fines distintos del encargo.

La nueva Agencia de Protección de Datos Personales —autónoma, con facultades sancionatorias desde el primer día de vigencia— puede fiscalizar a cualquier empresa. Si llega una queja diciendo “nadie me respondió”, la primera pregunta va a ser: muéstrame el registro.

La bitácora mínima que te salva:

• Fecha y hora exacta de recepción de la solicitud.
• Identificación del responsable interno asignado a gestionarla.
• Tipo de solicitud: acceso, rectificación, supresión, oposición, portabilidad o bloqueo (los seis derechos ARCO+).
• Fecha y contenido de la derivación al cliente responsable.
• Fecha y contenido de la respuesta enviada al titular.
• Identificación del cliente responsable al que se derivó y canal usado.
• Estado final (cerrada por derivación, en seguimiento, escalada a agencia).

Lo que no debes hacer: reenviar la solicitud por correo y confiar en que el archivo bastará. Un correo suelto no es evidencia auditable; es un archivo más en la bandeja de alguien.

Las 3 preguntas, en checklist

Antes de la primera solicitud que llegue a tu mesa, esto es lo que necesitas tener resuelto.

Qué le digo al titular

• Identifica explícitamente si eres responsable o encargado en ese caso.
• Define una plantilla de respuesta estándar: rol, responsable, derivación, canal alternativo, copia.
• Responde en menos de 5 días corridos desde la recepción.
• Conserva copia inmutable de la respuesta enviada, con timestamp exacto.
• No respondas de fondo. No entregues, borres ni modifiques datos.
• Alerta a tu cliente responsable por canal escrito (no solo correo informal).

Qué dice mi contrato con tu cliente responsable

• Revisa si tu contrato actual cubre los 6 elementos obligatorios de la Ley 21.719.
• Si no los cubre, prioriza renegociar con tus 5 clientes corporativos más grandes.
• Incluye explícitamente el procedimiento de derivación de solicitudes ARCO+.
• Define cláusulas de subcontratación (autorización escrita del responsable).
• Define cláusulas de devolución o supresión de datos al término del servicio.
• Firma addendum o DPA específico antes del 1 de diciembre de 2026.

Qué evidencia guardo

• Implementa una bitácora auditable con timestamps por cada solicitud.
• Captura inmutable de la respuesta enviada al titular.
• Identificación del responsable interno asignado a cada solicitud.
• Identificación del cliente responsable al que se derivó.
• Política de retención mínima de 5 años después del cierre.
• Acceso en modo solo-lectura para auditores externos si te lo piden.

La ley te obliga a informar al titular, no a responder de fondo. Pero la Agencia te va a pedir que demuestres cómo informaste, cómo derivaste y cómo no usaste los datos para fines distintos del encargo. Y la multa empieza en 5.000 UTM, no en una llamada de advertencia.

Si eres proveedor B2B chileno y operas como encargado de datos, el tiempo de prepararte corre. La vigencia es el 1 de diciembre de 2026. Antes de esa fecha, las tres preguntas de este artículo deberían tener respuesta cerrada en tu organización.

En las próximas entregas vamos a cubrir el escenario inverso —qué hacer cuando tú eres el responsable de los datos— y a fondo qué debería incluir un certificado mensual de cumplimiento que puedas mostrarles a tus mandantes corporativos como evidencia recurrente de compliance.

Mientras tanto, revisa el contrato con tu cliente responsable más grande. Hoy. Antes de que llegue la primera solicitud.

Notas

• ARCO+ son los seis derechos del titular bajo la Ley 21.719: Acceso, Rectificación, Cancelación/Supresión, Oposición, Portabilidad y Bloqueo.
• En español común, encargado y responsable se confunden permanentemente: el responsable decide para qué se usan los datos; el encargado los trata por cuenta del primero. Si no estás seguro de cuál eres en un caso concreto, probablemente eres encargado.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — art. 11 (plazos 30/60 días corridos) y art. 15 bis (contrato responsable-encargado) (BCN)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

Chile moderniza su normativa de privacidad con una ley que regula cómo las empresas y personas tratan los datos personales de cualquier persona natural. No es una reforma cosmética: redefine qué se puede hacer con los datos que ya tienes guardados, y establece consecuencias económicas reales para quien no cumpla.

Riesgo máximo por infracción: hasta USD 1,4 millones. Es la multa tope que contempla la Ley 21.719 para las infracciones más graves — sin excepción de tamaño de empresa ni sector.

Los 6 principios que sostienen toda la ley

Toda obligación específica de la Ley 21.719 se desprende de estos seis principios. Entenderlos es entender la ley completa.

Licitud y Lealtad

Los datos solo pueden tratarse de manera lícita y leal. El responsable debe poder acreditar siempre la licitud del tratamiento.

Finalidad

Los datos se recolectan con fines específicos, explícitos y lícitos. No pueden usarse después para fines distintos a los informados.

Proporcionalidad

Solo se tratan los datos estrictamente necesarios y pertinentes para los fines declarados. Sin excedentes ni “por si acaso”.

Seguridad

El responsable garantiza estándares adecuados contra acceso no autorizado, pérdida o filtración de los datos.

Transparencia

El responsable entrega al titular toda la información para ejercer sus derechos, de forma precisa, clara y gratuita.

Responsabilidad

Quienes tratan datos son legalmente responsables del cumplimiento de todos los principios y obligaciones de la ley.

Estos seis principios no son declaraciones abstractas: son el estándar contra el que la Agencia va a medir cada proceso, cada formulario y cada base de datos de tu empresa. Cumplirlos en el papel y poder demostrarlo son cosas distintas — y la segunda es la que realmente importa ante una fiscalización.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente (BCN)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

El error más común: pensar que cumplir es instalar un software o redactar una política de privacidad. El cumplimiento tiene tres pilares: procesos claros, protocolos definidos y evidencia de que todo ocurrió como debía. El software es una herramienta — no el plan.

El roadmap en 5 pasos

1. Diagnóstico: ¿qué datos tienes y con qué rol?

Antes de hacer cualquier cosa, necesitas saber con qué estás trabajando.

• ¿Qué datos guardas? Nombres, RUTs, correos, historial, datos de salud
• ¿Eres Responsable o Encargado? Define tu rol en cada relación de datos
• ¿Dónde están esos datos? CRM, RRHH, Drive, sistemas legacy
• ¿Hay datos sensibles? Menores, salud, datos financieros

Prioridad práctica: empieza por los datos de tus colaboradores (eres Responsable) y los contratos con clientes grandes (eres Encargado). Son los dos frentes de mayor presión inmediata.

2. Priorización: ¿dónde está el mayor riesgo?

No todo necesita resolverse el mismo día. Ordena por exposición real:

• ¿Tienes clientes grandes (banca, telco) que ya te piden evidencia de cumplimiento? → Prioridad alta
• ¿Manejas datos sensibles (salud, menores, financiero)? → Prioridad alta
• ¿No tienes canal para recibir solicitudes ARCO+? → Tu primera tarea

Clave: la presión comercial del mercado llegará antes que la fiscalización formal de la Agencia. Los clientes grandes presionarán a sus proveedores antes de diciembre.

3. Higiene de datos: elimina lo que no necesitas

La mejor forma de reducir el riesgo es no tener más datos de los necesarios.

• Revisa bases de datos antiguas: ¿tienes contactos de hace 5 años que ya no son clientes?
• Define políticas de retención: ¿por cuánto tiempo guardas cada tipo de dato?
• Elimina datos sin propósito definido
• Asegura que la eliminación sea irreversible — no basta con “archivar”

Dato clave: cuando alguien pide que elimines sus datos, debes hacerlo en todos los sistemas donde estén almacenados, no solo en uno.

4. Implementación por frentes

Con el diagnóstico hecho y los datos ordenados, construye la infraestructura. Cuatro frentes críticos:

• Canal de recepción ARCO+ — Formulario oficial donde cualquier persona pueda ejercer sus derechos
• Accesos por rol — Permisos por rol, no por persona. Un cambio que resuelve gran parte de la normativa
• Gestión del consentimiento — Fecha, hora, IP y versión de política — un checkbox simple no es suficiente
• Trazabilidad y logs — Quién accedió a qué dato, cuándo y con qué propósito

5. Documentación y evidencia

Todo lo que hagas debe quedar registrado. La carga de la prueba está en ti.

• Registro de cada solicitud ARCO+ recibida y su resolución
• Comprobantes de respuesta con fecha y plazo de cumplimiento
• Versiones de políticas de privacidad y fechas de actualización
• Contratos con Encargados que especifiquen el mandato sobre datos
• Logs de acceso a sistemas con datos sensibles

Principio: la mitad del cumplimiento es hacer las cosas bien. La otra mitad es poder demostrar que las hiciste bien.

Roadmap hasta diciembre 2026

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — arts. 11, 12 y 15 bis (BCN)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

La Ley 21.719 cambia radicalmente la carga de la prueba:

Si alguien disputa que no dio su consentimiento, debes demostrar que sí lo hizo — no ellos demostrar que no.

El consentimiento válido cumple 4 condiciones simultáneas

Libre

No puede estar condicionado a recibir un servicio o cerrar una venta. No puede ser “obligatorio para continuar”.

Explícito

La persona debe aceptar activamente. No vale pre-marcar un checkbox, ni asumir aceptación por uso del servicio.

Informado

Debe saber qué datos se recopilan, para qué fines específicos y con quién se van a compartir.

Trazable

Debe quedar registro verificable de que fue el titular quien lo otorgó — con metadatos que lo demuestren.

¿Qué es y qué NO es suficiente?

No es suficiente

• Checkbox pre-marcado por defecto
• “Al usar este sitio aceptas nuestros términos”
• Base de datos importada sin historial
• Registro sin fecha, IP o versión de política
• Consentimiento atado a una venta obligatoria

Lo que sí vale

• Checkbox vacío que la persona marca activamente
• Propósito específico declarado antes de aceptar
• Registro con metadatos completos auditables
• Versión de política que estaba vigente al momento
• Opción clara para retirar el consentimiento

Un consentimiento válido debe registrar obligatoriamente:

El detalle que nadie quiere ver: los datos que ya tienes

Los datos recopilados antes de diciembre de 2026 no quedan automáticamente validados. Si tus consentimientos actuales no cumplen los nuevos estándares, debes actualizarlos. Esto significa que:

1. Parte de tu base de datos puede quedar sin base legal a partir de dic 2026
2. Usarla sin base legal es una infracción desde el primer día de vigencia
3. Debes revisar y actualizar tus mecanismos de consentimiento antes de esa fecha

La cadena de riesgo

Si no puedes demostrar consentimiento válido frente a una solicitud de supresión:

Solicitud de supresión → sin consentimiento válido → denuncia ante la Agencia → tratamiento de datos sin base legal = infracción grave

La pregunta no es si vas a tener que actualizar tus consentimientos. Es si lo harás antes o después de que alguien te lo exija.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente (BCN)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

El error más común: pensar que cumplir es instalar un software o redactar una política de privacidad. El cumplimiento tiene tres pilares: procesos claros, protocolos definidos y evidencia de que todo ocurrió como debía. El software es una herramienta — no el plan.

El roadmap en 5 pasos

1. Diagnóstico: ¿qué datos tienes y con qué rol?

Antes de hacer cualquier cosa, necesitas saber con qué estás trabajando.

• ¿Qué datos guardas? Nombres, RUTs, correos, historial, datos de salud
• ¿Eres Responsable o Encargado? Define tu rol en cada relación de datos
• ¿Dónde están esos datos? CRM, RRHH, Drive, sistemas legacy
• ¿Hay datos sensibles? Menores, salud, datos financieros

Prioridad práctica: empieza por los datos de tus colaboradores (eres Responsable) y los contratos con clientes grandes (eres Encargado). Son los dos frentes de mayor presión inmediata.

2. Priorización: ¿dónde está el mayor riesgo?

No todo necesita resolverse el mismo día. Ordena por exposición real:

• ¿Tienes clientes grandes (banca, telco) que ya te piden evidencia de cumplimiento? → Prioridad alta
• ¿Manejas datos sensibles (salud, menores, financiero)? → Prioridad alta
• ¿No tienes canal para recibir solicitudes ARCO+? → Tu primera tarea

Clave: la presión comercial del mercado llegará antes que la fiscalización formal de la Agencia. Los clientes grandes presionarán a sus proveedores antes de diciembre.

3. Higiene de datos: elimina lo que no necesitas

La mejor forma de reducir el riesgo es no tener más datos de los necesarios.

• Revisa bases de datos antiguas: ¿tienes contactos de hace 5 años que ya no son clientes?
• Define políticas de retención: ¿por cuánto tiempo guardas cada tipo de dato?
• Elimina datos sin propósito definido
• Asegura que la eliminación sea irreversible — no basta con “archivar”

Dato clave: cuando alguien pide que elimines sus datos, debes hacerlo en todos los sistemas donde estén almacenados, no solo en uno.

4. Implementación por frentes

Con el diagnóstico hecho y los datos ordenados, construye la infraestructura. Cuatro frentes críticos:

• Canal de recepción ARCO+ — Formulario oficial donde cualquier persona pueda ejercer sus derechos
• Accesos por rol — Permisos por rol, no por persona. Un cambio que resuelve gran parte de la normativa
• Gestión del consentimiento — Fecha, hora, IP y versión de política — un checkbox simple no es suficiente
• Trazabilidad y logs — Quién accedió a qué dato, cuándo y con qué propósito

5. Documentación y evidencia

Todo lo que hagas debe quedar registrado. La carga de la prueba está en ti.

• Registro de cada solicitud ARCO+ recibida y su resolución
• Comprobantes de respuesta con fecha y plazo de cumplimiento
• Versiones de políticas de privacidad y fechas de actualización
• Contratos con Encargados que especifiquen el mandato sobre datos
• Logs de acceso a sistemas con datos sensibles

Principio: la mitad del cumplimiento es hacer las cosas bien. La otra mitad es poder demostrar que las hiciste bien.

Roadmap hasta diciembre 2026

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente — arts. 11, 12 y 15 bis (BCN)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.

La regla general: toda organización que trate datos personales de personas naturales en Chile está obligada a cumplir la Ley 21.719. Sin excepción de tamaño ni sector.

¿Qué significa “tratar datos personales”?

Si tu empresa hace cualquiera de estas cosas, estás dentro del alcance de la ley:

• Guardas nombres, RUTs o correos de clientes
• Usas un CRM con contactos
• Tienes colaboradores en planilla
• Procesas pagos de personas
• Almacenas imágenes o geolocalización
• Compartes datos con proveedores SaaS

Los dos roles que define la ley

Responsable del dato

Quien decide qué datos recolectar, para qué y cómo usarlos. Carga con la mayor responsabilidad regulatoria.

Ejemplos: Tiendas de retail, clínicas, colegios, startups con base de usuarios, empresas de seguros.

Encargado del dato

Quien procesa datos por instrucción del Responsable. Si se sale del mandato, asume responsabilidad directa.

Ejemplos: Empresas tech, SaaS, proveedores de nómina, agencias de marketing digital.

Una misma empresa puede ser Responsable y Encargada al mismo tiempo.

¿Tu empresa está alcanzada?

• Empresa con trabajadores — Como Responsable de los datos de tus colaboradores. ✅ Sí
• Tienda online o retail — Datos de clientes, historial de compras, tarjetas. ✅ Sí
• Empresa de tecnología o SaaS — Como Encargado de datos de tus clientes, y Responsable de tus propios empleados. ✅ Sí
• Clínica, colegio o aseguradora — Datos sensibles — exigencia más alta por tipo de dato. ✅ Sí
• Banco, Telco o gran empresa — Fiscalización prioritaria por la Agencia desde el inicio. ✅ Sí (primeros)

Riesgo económico por incumplimiento

• 🟡 Infracción Leve — 5.000 UTM
• 🟠 Infracción Grave — 10.000 UTM
• 🔴 Infracción Gravísima — 20.000 UTM (~USD 1.4M)
• 🔴 Reincidencia Sistemática — 2–4% ingresos anuales

Una sola solicitud respondida fuera de plazo ya es infracción leve. El incumplimiento sistemático escala a gravísima.

¿Y si soy una PyME?

La ley no hace excepciones por tamaño. Sin embargo, el riesgo práctico varía: las PyMEs tienen menor exposición inicial a la fiscalización directa, pero alta exposición comercial — los clientes grandes ya están exigiendo evidencia de cumplimiento a sus proveedores.

En ambos casos, una solicitud mal manejada genera el mismo riesgo legal.

ARCO Legal

Plataforma todo-en-uno para gestionar solicitudes ARCO+, consentimientos y el RAT. Cumplimiento Asistido con base legal documentada en cada paso.

Prepara a tu empresa ahora

Para este artículo me apoyé en investigación asistida por IA y NotebookLM para estructurar el borrador y contrastar las referencias regulatorias con las fuentes oficiales citadas.

Fuentes y referencias

• Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, texto oficial (BCN)
• Ley N° 19.628, sobre protección de la vida privada, texto vigente (BCN)

Esta información es operativa y referencial; para tu caso específico, consulta con tu abogado o DPD.