La ley no exige ser una empresa grande ni tratar datos "sensibles". Su ámbito de aplicación (Artículo 1° bis) es amplio a propósito: alcanza a toda organización establecida en Chile que trate datos de personas naturales, e incluso a empresas extranjeras que ofrezcan bienes o servicios a personas en Chile o que monitoreen su comportamiento, aunque su servidor esté en otro país.

Tampoco te libera de responsabilidad delegar el trabajo. Si contratas a un tercero —un "encargado del tratamiento"— para administrar esos datos (por ejemplo, tu proveedor de CRM o de nómina), tú sigues siendo el responsable ante la ley. Y si ese tercero usa los datos para un fin distinto al que le encargaste, la ley lo convierte también en responsable, obligado a responder solidariamente por los daños causados (Artículo 15 bis).

Si reincides y tu empresa no califica como "menor tamaño" (Ley N° 20.416), la multa puede llegar al 2% o 4% de tus ingresos anuales por ventas y servicios (Artículo 35). La fiscalizadora es la Agencia de Protección de Datos Personales, un organismo autónomo que puede investigar de oficio —sin que nadie denuncie— y publicar el nombre de las empresas sancionadas en un Registro Nacional de Sanciones y Cumplimiento, de acceso público (Artículo 39).