Ley de Protección de Datos en Chile 2026: Todo lo que tu PYME necesita saber

Chile se pone al día: dos leyes que cambian las reglas del juego digital

Hasta 2024, Chile operaba con una ley de protección de datos personales —la Ley 19.628— que databa de 1999. Fue promulgada cuando internet comercial tenía cuatro años, antes de Google, antes de Facebook, antes de los smartphones, antes de la inteligencia artificial generativa. Durante 27 años, el país funcionó con un marco legal que la mayoría de los expertos consideraba uno de los más débiles de América Latina.

Eso cambió drásticamente. En 2024 se aprobaron dos cuerpos legales que, juntos, redefinen completamente las obligaciones de cualquier organización que maneje datos o sistemas informáticos en Chile. Si tu empresa tiene clientes, empleados, un sitio web o un sistema de facturación, esto te afecta directamente.

Ley 21.719: Protección de Datos Personales

Publicada en el Diario Oficial el 13 de diciembre de 2024 y con vigencia desde el 1 de diciembre de 2026, la Ley 21.719 viene a reemplazar completamente a la antigua Ley 19.628. Su texto está disponible en la Biblioteca del Congreso Nacional y representa la reforma más profunda en materia de privacidad en la historia del país.

¿Qué cambia realmente? La ley introduce seis elementos estructurales que no existían antes:

1. Agencia de Protección de Datos Personales (APDP). Por primera vez, Chile contará con un organismo autónomo dedicado exclusivamente a fiscalizar, interpretar y sancionar en materia de datos personales. La APDP puede investigar de oficio, aplicar multas, ordenar la suspensión del tratamiento de datos y mantener un Registro Nacional de Sanciones y Cumplimiento de carácter público. No es un ente decorativo: sus facultades son comparables a las de las agencias europeas.

2. Derechos ARSOP (antes ARCO). La ley amplía los derechos clásicos de acceso, rectificación, supresión y oposición, e incorpora la portabilidad de datos. El titular tiene derecho a recibir sus datos en un formato estructurado y transferirlos a otro responsable. Se añade además el bloqueo temporal como mecanismo de protección urgente, con un plazo de respuesta de 2 días hábiles.

3. Consentimiento explícito y no tácito. El consentimiento debe ser libre, específico, informado e inequívoco. Las casillas pre-marcadas, el silencio o la inacción ya no constituyen consentimiento válido. Cada formulario que recolecte datos en tu web —desde un formulario de contacto hasta una cotización— debe contar con una declaración explícita del usuario.

4. Privacidad desde el diseño y por defecto. Los sistemas y procesos deben incorporar la protección de datos desde su concepción, no como un agregado posterior. El responsable debe aplicar medidas técnicas y organizativas adecuadas considerando el estado de la técnica, los costos y los riesgos asociados. Por defecto, solo deben tratarse los datos estrictamente necesarios para cada finalidad.

5. Notificación obligatoria de brechas. Ante una vulneración de seguridad que represente un riesgo para los derechos de los titulares, el responsable debe informar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas.

6. Multas de hasta 20.000 UTM. Las sanciones se clasifican en leves, graves y gravísimas. Las infracciones gravísimas —como el tratamiento fraudulento de datos, la vulneración del deber de secreto sobre datos sensibles o la omisión deliberada de reportes de brechas— pueden alcanzar las 20.000 UTM (aproximadamente $1.300 millones de pesos chilenos). Se consideran atenuantes la autodenuncia, la colaboración en la investigación y contar con un modelo de prevención certificado.

Ley 21.663: Marco de Ciberseguridad

La Ley 21.663, publicada en el Diario Oficial el 8 de abril de 2024, crea la Agencia Nacional de Ciberseguridad (ANCI) y establece los requisitos mínimos para que los organismos del Estado y las empresas de sectores críticos enfrenten incidentes de ciberseguridad. A diferencia de la Ley 21.719, la 21.663 ya está vigente desde marzo de 2025.

La ANCI tiene atribuciones equivalentes a las de las agencias de ciberseguridad europeas. Su labor incluye la coordinación de la respuesta a incidentes a través del CSIRT Nacional, la fiscalización de servicios esenciales y operadores de importancia vital, y la aplicación de sanciones por incumplimiento de las obligaciones de seguridad.

A partir de diciembre de 2026, las organizaciones que manejen datos personales enfrentan obligaciones simultáneas ante dos entidades: la ANCI (por ciberseguridad) y la APDP (por protección de datos). Un mismo incidente de seguridad puede activar ambas vías de notificación, con requisitos y plazos distintos en cada una.

¿Qué tiene que tener tu web para cumplir con la Ley 21.719?

Si tienes un sitio web —ya sea informativo, con formularios de contacto, una tienda online o un sistema de cotización— la ley exige que implementes los siguientes elementos:

Política de privacidad accesible y completa. Debe describir qué datos se recopilan, con qué finalidad, por cuánto tiempo se conservan, con qué terceros se comparten (incluyendo Google Analytics, Meta Pixel, herramientas de email marketing) y cómo el titular puede ejercer sus derechos ARSOP. Debe estar publicada en tu sitio web de forma permanente.

Consentimiento mediante acción afirmativa. Los formularios de contacto y registro deben incluir una casilla de verificación no pre-marcada donde el usuario autorice explícitamente el tratamiento de sus datos.

Gestión de cookies. Si tu sitio usa cookies de rastreo, publicitarias o de terceros, debes implementar un banner que permita al usuario aceptar o rechazar cada categoría de forma granular.

Medios para ejercer derechos ARSOP. Debes habilitar un canal de contacto (correo electrónico o formulario) donde los usuarios puedan solicitar acceso, rectificación, supresión, oposición o portabilidad de sus datos.

Medidas de seguridad técnicas y organizativas. La ley exige cifrado, seudonimización, evaluaciones periódicas y un proceso de verificación regular de la eficacia de las medidas adoptadas.

Un dato importante que pocos mencionan

A julio de 2026, la Agencia de Protección de Datos Personales aún no tiene directores. El Senado rechazó la terna de consejeros propuesta por el Ejecutivo el 20 de mayo de 2026. La ley entra en vigencia el 1 de diciembre de todas formas, pero la fiscalización comenzará una vez que se constituya el Consejo Directivo. Esto significa que las empresas tienen una ventana —acotada— para ponerse al día antes de que la Agencia empiece a operar con su capacidad sancionadora completa.

Fuentes oficiales consultadas:
- Ley 21.719 — Biblioteca del Congreso Nacional de Chile: bcn.cl/leychile (Ley 21.719)
- Ley 21.663 — Biblioteca del Congreso Nacional de Chile: bcn.cl/leychile (Ley 21.663)
- Diario Oficial de la República de Chile — Publicación Ley 21.719 (13 diciembre 2024): diariooficial.cl
- Diario Oficial — Publicación Ley 21.663 (8 abril 2024): diariooficial.cl
- Agencia Nacional de Ciberseguridad (ANCI): anci.gob.cl