Ley 21.719: lo que una pyme debería tener listo, se postergue o no

La fecha: 1 de diciembre de 2026, con un proyecto que la mueve a 2027

La ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. Sus modificaciones a la ley 19.628 rigen desde el primer día del mes vigésimo cuarto posterior a esa publicación, es decir, desde el 1 de diciembre de 2026.

En septiembre de 2026 el Gobierno presentó en el Senado un proyecto de ley (boletín 18.623-07) que traslada esa fecha al 1 de diciembre de 2027. Al 13 de septiembre sigue en primer trámite, en la Comisión de Constitución, con suma urgencia. Mientras no se apruebe y se publique, la fecha vigente es la de diciembre de 2026.

Una postergación mueve el plazo, no la lista de tareas.

A quién aplica: también a la pyme

La ley se aplica a quien trate datos de personas identificables: nombre, RUT, correo, teléfono, dirección, historial de compras. No hay una exención por tamaño. Una ferretería con su base de clientes para despachos, una consulta con las fichas de sus pacientes o una empresa de servicios con los datos de sus trabajadores están dentro.

El tamaño sí pesa en dos puntos. El artículo 14 septies encarga a la Agencia de Protección de Datos Personales fijar, por instrucción general, exigencias de información y de seguridad diferenciadas según el tipo de dato, la actividad y el tamaño de la empresa, con las categorías de la ley 20.416. Y un artículo transitorio permite que, durante los primeros doce meses de vigencia, la Agencia sancione a una empresa de menor tamaño con una amonestación por escrito en lugar de una multa. Es una facultad de la Agencia, no un derecho de la empresa, y la amonestación queda registrada. El proyecto de postergación propone extender esa facultad a todos los obligados por la ley.

Lo que tiene que estar a la vista: la política y un canal

El artículo 14 ter obliga a mantener publicada, en el sitio web o en un medio equivalente, la política de tratamiento de datos, con su fecha y su versión. Tiene que decir, entre otras cosas, quién es el responsable y su representante legal, qué datos se tratan y para qué, con qué base de legitimidad, a quién se comunican, cuánto tiempo se conservan, si salen de Chile y cómo ejercer los derechos.

Además debe existir un canal operativo, un correo o un formulario, para que las personas pidan acceso, rectificación, supresión, oposición o portabilidad de sus datos. No publicar esa información o no tener el canal son infracciones leves (artículo 34 bis), y también son las más baratas de evitar.

Responder a tiempo: treinta días corridos

Cuando alguien pide ver sus datos o que se borren, la empresa debe acusar recibo y pronunciarse dentro de treinta días corridos, prorrogables una sola vez por otros treinta (artículo 11). La respuesta va por escrito, y hay que guardar respaldo de que se envió, cuándo y con qué contenido. Omitirla o responder fuera de plazo es una infracción leve.

En una pyme el problema rara vez es el plazo. Es encontrar los datos. Si el cliente está en el sistema de ventas, en la planilla de despacho y en el correo de un vendedor, borrarlo de uno solo no cumple. Es el mismo desorden que complica los reportes, y lo tratamos en la nota sobre sistemas que no se hablan entre sí.

Seguridad y vulneraciones: lo que hay que poder demostrar

El artículo 14 quinquies pide medidas de seguridad proporcionales al riesgo, al tipo de datos y a los costos de aplicarlas. Agrega un punto que cambia el peso de la prueba: ante un incidente, es el responsable quien debe acreditar que las medidas existían y funcionaban. Hacerlo bien sin poder mostrarlo no alcanza.

Si ocurre una vulneración con riesgo razonable para las personas, hay que reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas, y dejarla registrada (artículo 14 sexies). Si involucra datos sensibles, datos de menores de catorce años o datos sobre obligaciones económicas, financieras, bancarias o comerciales, también hay que avisar a las personas afectadas.

Los proveedores que tocan sus datos necesitan contrato

El contador externo, el sistema de ventas en la nube, la agencia que envía los correos masivos, quien arma sus reportes: todos tratan datos por encargo de su empresa. El artículo 15 bis exige que esa relación conste en un contrato con el objeto, la duración, la finalidad, el tipo de datos, las categorías de personas y los derechos y obligaciones de cada parte. El encargado no puede delegar el trabajo sin una autorización específica y por escrito, y al terminar debe devolver o suprimir los datos. La Agencia publicará modelos tipo de estos contratos en su sitio web.

Qué se sanciona y con cuánto

Las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM; las graves, con multa de hasta 10.000 UTM, y las gravísimas, de hasta 20.000 UTM (artículo 35). La reincidencia permite triplicar el monto. El tope de 2 % o 4 % de los ingresos anuales está reservado a empresas que no son de menor tamaño y que reinciden en infracciones graves o gravísimas.

Para una pyme, la lista de infracciones leves es la más útil, porque describe lo básico: no publicar la información exigida, no tener un canal de contacto operativo, no responder a tiempo. Tratar datos sin base legal, incumplir las obligaciones de seguridad u omitir el registro de una vulneración ya son infracciones graves (artículo 34 ter).

Por dónde empezar

El orden que rinde parte por lo que la empresa puede hacer sola. Primero, un inventario: qué datos de personas guarda, en qué sistemas y planillas, quién accede a cada uno y qué proveedores los procesan. Sin eso, ni la política ni los contratos se pueden escribir bien. Con el inventario en la mano, el abogado redacta la política y revisa los contratos, y la empresa publica el canal y decide quién responde las solicitudes.

Ese inventario incluye lo que no parece una base de datos: las planillas compartidas, los respaldos, los paneles y reportes de gestión que muestran clientes. Levantarlo es trabajo de integración de datos antes que jurídico, y es lo que después le permite al abogado escribir sobre hechos.

La ley no obliga a nombrar un delegado de protección de datos. El artículo 50 dice que el responsable «podrá» designarlo, y en las micro, pequeñas y medianas empresas el dueño o sus máximas autoridades pueden asumir esa función. Lo que sí sirve es que alguien quede a cargo de saber dónde están los datos.