Ley N.º 21.719
Protección de Datos Personales

La Ley N.º 21.719 regula la protección y el tratamiento de los datos personales en Chile y crea la Agencia de Protección de Datos Personales. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entrará en plena vigencia el 1 de diciembre de 2026, tras un período de transición de 24 meses destinado a que las organizaciones adecúen sus procesos, políticas y controles técnicos. La ley modifica y moderniza la antigua Ley N.º 19.628, sobre Protección de la Vida Privada, vigente desde 1999.

Según su ámbito de aplicación territorial, la ley se aplica cuando el responsable o su mandatario están establecidos en territorio chileno, cuando el tratamiento se realiza a nombre de un responsable establecido en Chile, o incluso cuando el responsable no está establecido en el país pero sus operaciones ofrecen bienes o servicios a personas que se encuentran en Chile. En la práctica, esto alcanza a cualquier empresa que use sitios web, formularios, ecommerce, CRM o plataformas de soporte para tratar datos de clientes, usuarios, colaboradores o proveedores en Chile.

Se entiende por dato personal cualquier información referida a una persona natural identificada o identificable: nombre, RUT, dirección, correo electrónico, teléfono, dirección IP, ubicación, fotografía, voz, hábitos de consumo o historial de navegación, entre otros. La ley distingue además los datos sensibles (por ejemplo, salud, origen étnico, orientación sexual o afiliación sindical), que reciben un nivel de protección reforzado.

La ley establece ocho principios rectores, que dejan de ser meras declaraciones y pasan a ser obligaciones exigibles cuyo incumplimiento genera responsabilidad administrativa y civil:

• Licitud y lealtad: el tratamiento debe tener una base legal válida (consentimiento, contrato, obligación legal, interés legítimo u otra causa reconocida) y ser leal con el titular.
• Finalidad: los datos se recogen para fines determinados, explícitos y legítimos, y no pueden usarse luego de forma incompatible con ese propósito.
• Proporcionalidad: solo se recolectan los datos estrictamente necesarios para la finalidad declarada.
• Calidad: los datos deben ser exactos, completos y estar actualizados.
• Responsabilidad (accountability): el responsable debe poder demostrar activamente que cumple la ley, no basta con declararlo.
• Seguridad: se deben aplicar medidas técnicas y organizativas para proteger los datos frente a tratamiento no autorizado, pérdida o filtración.
• Transparencia: informar a los titulares de manera clara y accesible sobre el tratamiento de sus datos.
• Confidencialidad: quienes tratan datos personales están sujetos a un deber de secreto.

Cuando la base de licitud del tratamiento es el consentimiento del titular, este debe otorgarse mediante una manifestación de voluntad libre, específica, informada e inequívoca, generalmente a través de una acción afirmativa clara (como marcar una casilla no premarcada). El titular puede otorgarlo para unas finalidades y no para otras, y puede revocarlo en cualquier momento, de forma tan simple como al otorgarlo.

La ley amplía y consolida los derechos ARCO: Acceso a la información que se trata sobre el titular, Rectificación de datos inexactos, Cancelación (eliminación) de datos, y Oposición al tratamiento para determinadas finalidades. Además, incorpora el derecho a la portabilidad de los datos personales, permitiendo al titular solicitar que sus datos sean transferidos a otro responsable en un formato estructurado.

Cuando ocurre una vulneración de seguridad que afecte datos personales (brecha, acceso no autorizado, pérdida o destrucción), la ley exige notificar a la Agencia de Protección de Datos Personales dentro de las 72 horas siguientes a que el responsable tenga conocimiento del incidente. Si la vulneración implica un riesgo alto para los derechos de los titulares, también debe notificarse a los propios titulares afectados sin dilación indebida.

La ley crea la Agencia de Protección de Datos Personales (APDP) como autoridad de control independiente, con facultades de fiscalización, investigación y sanción. La Agencia puede iniciar investigaciones de oficio, aplicar multas, ordenar la suspensión de tratamientos de datos y publicar un Registro Nacional de Sanciones y Cumplimiento. Antes de esta ley, Chile no contaba con un organismo especializado de este tipo, por lo que las infracciones debían perseguirse por la vía judicial.

El régimen sancionatorio contempla multas de hasta 20.000 UTM (equivalente aproximado a 1.400 millones de pesos chilenos), y en casos de reincidencia la sanción puede alcanzar hasta el 4% de los ingresos anuales de la organización infractora. La Agencia fiscaliza evidencia operativa concreta (registros, logs, inventarios de datos), no la sola existencia de políticas o documentos formales.

Cuando un tratamiento de datos personales, por su naturaleza, alcance o fines, pueda afectar significativamente la privacidad de los titulares (por ejemplo, tratamientos masivos de datos sensibles, perfilamiento intensivo o decisiones automatizadas de alto impacto), la ley exige realizar una Evaluación de Impacto previa, similar a las DPIA del Reglamento General de Protección de Datos europeo (RGPD).

La Ley 21.719 se alinea estrechamente con el Reglamento General de Protección de Datos (RGPD) de la Unión Europea: comparte el enfoque de consentimiento libre e informado, los derechos del titular, la responsabilidad proactiva (accountability), las evaluaciones de impacto y la notificación de brechas de seguridad. Esta alineación busca facilitar el intercambio de datos con países que ya cumplen altos estándares internacionales de protección de datos.

La Ley 21.719 introduce modificaciones a la Ley N.º 19.628, sobre Protección de la Vida Privada, vigente desde 1999. En lugar de derogarla íntegramente, reescribe gran parte de su articulado para incorporar la Agencia de Protección de Datos, los derechos ARCO ampliados, el régimen de brechas de seguridad y el nuevo esquema de sanciones.