El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, que reemplaza a la Ley 19.628 y pone a Chile en línea con el estándar europeo. Se publicó en diciembre de 2024, así que hubo dos años de plazo. A la fecha de esta nota quedan menos de cuatro meses.
Casi todo lo que vas a leer sobre el tema está escrito por abogados. Esto está escrito desde el otro lado: qué tiene que poder hacer tu sistema para que el cumplimiento sea posible.
Lo que cambia, en corto
- Nace una Agencia de Protección de Datos Personales con facultades de fiscalización y sanción. Antes no había un organismo con dientes.
- Las personas pasan a tener derechos ARCO completos: acceso, rectificación, cancelación y oposición, más portabilidad.
- Las brechas de seguridad se notifican dentro de 72 horas desde que tomás conocimiento.
- Las multas llegan a 20.000 UTM, y hasta el 4% de los ingresos en caso de reincidencia.
- Aplica a toda organización que trate datos personales en Chile, sin importar el tamaño.
Hay un respiro: durante el primer año, entre diciembre de 2026 y diciembre de 2027, las pymes quedan sujetas a amonestaciones y no a multas. Es tiempo para ordenarse, no para ignorar la ley.
Dónde esto deja de ser un tema legal
Tres de esas obligaciones no se resuelven con un documento. Se resuelven con software.
1. Responder un derecho ARCO en plazo
Si una persona pide todos sus datos, tu sistema tiene que poder juntarlos. Si pide que los borres, tiene que poder borrarlos sin romper la contabilidad ni los registros que otras leyes te obligan a conservar. Esto es una funcionalidad, y si el sistema no la tiene hay que construirla.
La pregunta concreta para tu proveedor de software es: ¿puedo exportar y eliminar todos los datos de una persona sin abrir la base de datos a mano? Si la respuesta es que lo hace el equipo técnico caso por caso, no vas a poder sostener el plazo.
2. Detectar una brecha para poder avisar en 72 horas
El plazo corre desde que tomás conocimiento. Si no hay registro de accesos, no hay forma de saber qué se filtró ni a quién avisarle. Un sistema sin bitácora de accesos y cambios convierte una brecha chica en una imposible de acotar.
3. Mantener el registro de actividades de tratamiento
Hay que documentar qué datos tratás, para qué, con qué base legal, cuánto tiempo los guardás y con quién los compartís. Se hace una vez y después se mantiene. Lo que no se puede es inventarlo el día que llega la fiscalización.
Si tratás datos de salud, el listón sube
Los datos de salud son datos sensibles y tienen un régimen más estricto. Cualquier centro médico laboral, mutual o empresa que guarde resultados de exámenes ocupacionales está en la categoría más exigente de la ley.
Lo escribimos aparte porque el caso lo conocemos bien: GesLaboral gestiona centros médicos laborales en Chile y ahí cada informe, cada batería de exámenes y cada encuesta de salud es un dato sensible con nombre y RUT al lado.
Por dónde empezar esta semana
- Hacé el inventario. Qué sistemas guardan datos personales. Incluí las planillas de Excel y los grupos de WhatsApp: también cuentan.
- Revisá quién tiene acceso a qué. Si todos en la empresa ven todo, ese es el primer arreglo.
- Preguntale a cada proveedor de software cómo resuelve exportación, eliminación y registro de accesos. Por escrito.
- Definí quién responde. La ley pide un Delegado de Protección de Datos en organizaciones que traten datos de forma significativa; aunque no te aplique, alguien tiene que ser el responsable.
Si en el paso 3 te queda claro que el sistema no llega, todavía hay margen para adaptarlo. En diciembre ya no.
En egobytes construimos software a medida para empresas en Chile y Costa Rica. Si querés revisar si tus sistemas llegan a diciembre, escribinos.
Fuentes: Ley 21.719 — Biblioteca del Congreso Nacional · Ministerio de Ciencia, Tecnología, Conocimiento e Innovación