La ley en simple
La Ley 21.719 moderniza la antigua Ley 19.628 sobre protección de la vida privada. Fija reglas para tratar datos personales, amplía los derechos de las personas y crea la Agencia de Protección de Datos Personales, que fiscaliza y puede sancionar.
Se publicó en el Diario Oficial el 13 de diciembre de 2024 y rige desde el 1 de diciembre de 2026 (artículo primero transitorio).
Aplica a cualquier persona, empresa u organismo público que decida para qué y cómo se tratan datos personales: la ley lo llama «responsable de datos» (art. 2, letra n).
Conceptos clave
Estas son las palabras que vas a ver una y otra vez:
- Dato personal
- Cualquier información de una persona identificada o identificable: nombre, RUT, correo, teléfono, dirección y mucho más (art. 2, letra f).
- Dato sensible
- Datos de salud, biométricos, origen étnico, situación socioeconómica, creencias, orientación sexual, afiliación política o sindical, entre otros. Tienen reglas más estrictas (art. 2, letra g).
- Titular
- La persona a quien se refieren los datos: tu cliente, tu colaborador, tu paciente.
- Responsable
- Quien decide para qué y cómo se usan los datos. Normalmente, tu empresa.
- Encargado
- Un tercero que trata datos por cuenta del responsable, por ejemplo un proveedor de software o de nube (art. 2, letra x).
- Seudonimización
- Tratar los datos de modo que ya no puedan atribuirse a una persona sin una información adicional, que se guarda por separado y protegida (art. 2, letra l).
Los principios que debes respetar
Todo tratamiento de datos debe cumplir estos principios (art. 3):
- Licitud y lealtad
- Tratar datos solo con una base legal: el consentimiento del titular u otra que la ley permita.
- Finalidad
- Usarlos solo para fines específicos, explícitos y lícitos.
- Proporcionalidad
- Usar solo los datos necesarios, y solo por el tiempo necesario.
- Calidad
- Mantenerlos exactos, completos y actualizados.
- Responsabilidad
- Quien trata los datos responde legalmente por cumplir los principios y deberes de la ley.
- Seguridad
- Protegerlos contra accesos no autorizados, pérdida o filtración.
- Transparencia e información
- Explicar a las personas qué se hace con sus datos.
- Confidencialidad
- Guardar secreto sobre los datos, incluso después de terminada la relación con el titular.
Los derechos de las personas
Cada persona puede pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos (art. 4). Son derechos irrenunciables.
Tu empresa debe responder dentro de 30 días corridos desde que recibe la solicitud, plazo que se puede prorrogar una sola vez por otros 30 (art. 11).
Qué tiene que hacer tu empresa
Además de los principios, la ley fija deberes concretos para el responsable:
- Informar
- Mantener a disposición del público, en su sitio web u otro medio, su política de tratamiento de datos, un canal para ejercer los derechos, qué datos trata, para qué y con qué base legal (art. 14 ter).
- Protección desde el diseño y por defecto
- Aplicar medidas técnicas y organizativas desde el inicio, y que por defecto se traten solo los datos estrictamente necesarios (art. 14 quáter).
- Seguridad
- Adoptar medidas de seguridad acordes al riesgo y al tipo de datos (art. 14 quinquies).
- Reportar vulneraciones
- Avisar a la Agencia sin dilaciones indebidas cuando una brecha genere un riesgo razonable, y llevar registro de esos avisos. Si afecta datos sensibles, de menores de 14 años o financieros, también hay que avisar a las personas afectadas (art. 14 sexies).
- Controlar a los encargados
- Quien trata datos por cuenta de tu empresa debe seguir tus instrucciones por contrato. Si los usa para otra cosa, pasa a responder como responsable (art. 15 bis).
- Evaluar el impacto
- Cuando un tratamiento puede generar un alto riesgo —por ejemplo, decisiones automatizadas con efectos significativos o tratamiento masivo— hay que hacer una evaluación de impacto antes de empezar (art. 15 ter).
Usar IA con datos de clientes
Cuando alguien pega en un chat de IA el nombre, el RUT o el diagnóstico de un cliente, tu empresa le está entregando esos datos a un tercero: el proveedor de la IA. Muchas veces, además, los procesa fuera de Chile.
La ley no prohíbe usar IA, pero esas situaciones tienen reglas: la comunicación de datos a terceros necesita base legal, y la transferencia internacional solo es lícita a países con protección adecuada o con garantías como cláusulas contractuales (arts. 27 y 28). Tratar datos innecesarios, comunicarlos sin consentimiento cuando se requiere o transferirlos al extranjero fuera de las reglas son infracciones graves (art. 34 ter).
Infracciones y sanciones
Las infracciones se clasifican en leves, graves y gravísimas (arts. 34 bis, 34 ter y 34 quáter). Las multas tienen estos topes (art. 35):
- Leves
- Amonestación escrita o multa de hasta 5.000 UTM.
- Graves
- Hasta 10.000 UTM. Por ejemplo: tratar datos sin base legal, usar datos innecesarios, fallar en las medidas de seguridad o transferir datos al extranjero fuera de las reglas.
- Gravísimas
- Hasta 20.000 UTM. Por ejemplo: tratar datos de forma fraudulenta, usar a sabiendas datos sensibles o de menores en contra de la ley, u ocultar deliberadamente una brecha.
- Si no corriges
- La Agencia indica qué medidas adoptar; si no se adoptan en 60 días, la multa sube un 50 % (art. 35).
- Reincidencia
- Ser sancionado dos o más veces en 30 meses permite multas de hasta tres veces el monto. Para empresas que no son de menor tamaño, en infracciones graves o gravísimas, la multa puede llegar al 2 % o al 4 % de sus ingresos anuales (arts. 35 y 36).
- Suspensión
- Ante infracciones gravísimas reiteradas en 24 meses, la Agencia puede suspender el tratamiento de datos hasta por 30 días (art. 38).
- Registro público
- Los sancionados quedan en el Registro Nacional de Sanciones y Cumplimiento, público por cinco años (art. 39).
Calendario
13 de diciembre de 2024: se publica la ley.
1 de diciembre de 2026: entra en vigencia. Durante los primeros 12 meses, a las empresas de menor tamaño la Agencia puede aplicarles solo una amonestación escrita (artículo sexto transitorio).
Hay un proyecto de ley (boletín 18.623-07) que propone postergar la entrada en vigencia al 1 de diciembre de 2027. Al 16 de octubre de 2026 sigue en trámite en el Senado: mientras no se apruebe y publique, la fecha vigente es el 1 de diciembre de 2026.
Por dónde empezar
Una lista práctica para preparar a tu empresa:
- 1. Inventario
- Qué datos personales tratas, de quién, para qué y dónde están.
- 2. Base legal
- Con qué fundamento tratas cada grupo de datos: consentimiento, contrato, obligación legal u otra.
- 3. Información a las personas
- Una política de privacidad clara y avisos donde recolectas datos.
- 4. Seguridad y uso de IA
- Medidas de seguridad acordes al riesgo y una política sobre qué herramientas de IA se pueden usar y cómo.
- 5. Derechos y brechas
- Un procedimiento para responder solicitudes en plazo y un plan para reportar vulneraciones.
- 6. Proveedores
- Contratos con tus encargados, incluidos los proveedores de IA y de nube.
Preguntas frecuentes
¿Aplica a las pymes?
Sí: aplica a todo responsable de datos. La Agencia fijará estándares diferenciados según el tamaño de la empresa (art. 14 septies), y el primer año las empresas de menor tamaño pueden recibir solo una amonestación escrita.
¿La ley prohíbe usar ChatGPT u otras IA?
No. Exige que el tratamiento de datos tenga base legal, sea proporcional y seguro, y que la comunicación y la transferencia de datos sigan las reglas.
¿Usar ChatPrivIA hace que mi empresa cumpla la ley?
No por sí solo: ninguna herramienta cumple por tu empresa. ChatPrivIA te ayuda en lo que toca al uso de IA: los datos reales no llegan al proveedor y queda registro de lo protegido.
¿Dónde leo la ley completa?
En la Biblioteca del Congreso Nacional; el enlace está en las fuentes, al final de esta guía.