Chile está a punto de activar uno de los cambios regulatorios más importantes de su economía digital. La Ley N° 21.719 —publicada en el Diario Oficial el 13 de diciembre de 2024— entra en vigencia el 1 de diciembre de 2026. Formalmente modifica la antigua ley de protección de datos N° 19.628, pero en la práctica reemplaza casi todo su articulado: las empresas que tratan datos personales de personas en Chile están frente a una legislación genuinamente nueva.
La ley sigue deliberadamente el modelo europeo. Como señala un informe de la Biblioteca del Congreso Nacional (Serie Informes N° 12-25, de Víctor Soto Martínez), su estándar de consentimiento, su catálogo de derechos, los deberes de los responsables de datos y su sistema de sanciones se acercan mucho al Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
Un nuevo regulador con atribuciones reales
La ley crea la Agencia de Protección de Datos Personales, un servicio público descentralizado dirigido por un Consejo Directivo de tres consejeros, designados por el Presidente de la República con acuerdo del Senado, por seis años y sin posibilidad de renovación. La Agencia dicta instrucciones obligatorias, fiscaliza el cumplimiento, resuelve los reclamos de los titulares, sanciona las infracciones y administra un Registro Nacional de Sanciones y Cumplimiento de acceso público.
Nuevos derechos y un consentimiento más estricto
Los titulares adquieren derechos exigibles de acceso, rectificación, supresión, oposición, bloqueo temporal del tratamiento y portabilidad de sus datos. El consentimiento pasa a ser la base general de licitud y debe ser libre, informado, específico, previo e inequívoco, y siempre revocable. Una lista taxativa de excepciones (obligaciones legales, ejecución de contratos y causales similares) permite tratar datos sin consentimiento, pero la carga de acreditar la licitud recae en el responsable.
Los responsables asumen además deberes al estilo del RGPD: publicación de información de transparencia, medidas de seguridad adecuadas, notificación a la Agencia de las vulneraciones de seguridad, evaluaciones de impacto para tratamientos de alto riesgo, y la opción de designar un delegado de protección de datos y certificar un programa de cumplimiento ante la Agencia.
Multas de hasta el 4% de los ingresos anuales
Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM, respectivamente (el tramo superior supera con creces el millón de dólares). Para las grandes empresas, las infracciones graves y gravísimas pueden sancionarse con hasta el 2% o el 4% de los ingresos anuales. La reincidencia puede triplicar la multa, y no implementar las medidas correctivas dentro de 60 días agrega un recargo del 50%.
Un punto clave: la ley se aplica de forma extraterritorial. También alcanza a organizaciones establecidas fuera de Chile cuyo tratamiento de datos está destinado a ofrecer bienes o servicios a personas en el país.
Por qué importa para los proyectos de IA
Chile discute en paralelo un proyecto de ley de inteligencia artificial (Boletín N° 16.821-19) inspirado en el AI Act europeo, y se prevé que su cumplimiento sea fiscalizado por la misma nueva Agencia. Una buena gobernanza de datos se está convirtiendo en el requisito de entrada para cualquier iniciativa de IA o automatización que toque el mercado chileno.
Si sus flujos de trabajo, su CRM o sus sistemas de IA tratan datos personales de personas en Chile, la ventana de transición se está cerrando: diciembre de 2026 está a la vuelta de la esquina. Mapear hoy sus flujos de datos, bases de licitud y medidas de seguridad es mucho más barato que hacerlo a última hora, presionados por el plazo del regulador.