Protección de datos en Chile: cumplimiento para empresas 2026

Chile acaba de reemplazar la Ley 19.628 de 1999 con la Ley 21.719, la reforma de protección de datos más importante en 25 años. Publicada en el Diario Oficial en diciembre de 2024 y con plena vigencia en 2026, esta ley eleva radicalmente el estándar de privacidad exigido a organizaciones públicas y privadas que traten datos personales de residentes chilenos, sin importar dónde estén constituidas.

Para las empresas que operan en Chile, el cambio no es cosmético. La Ley 21.719 crea una autoridad supervisora independiente con poderes reales de investigación y sanción, establece multas de hasta 10.000 UTM (aproximadamente USD $1 millón) para las infracciones más graves, obliga a notificar brechas en 72 horas y exige la figura del Delegado de Protección de Datos en ciertas organizaciones. Es, en términos prácticos, el equivalente chileno del GDPR europeo.

Esta guía está dirigida a responsables legales, de cumplimiento y de tecnología en empresas que operan en Chile. Explica qué cambió, qué obligaciones son inmediatas, cuáles son los plazos reales y cómo el pentesting —la prueba técnica de seguridad por excelencia— se convierte en evidencia directa de cumplimiento ante la nueva autoridad.

---

De la Ley 19.628 a la Ley 21.719: qué cambió

La Ley 19.628, vigente desde 1999, fue una norma pionera para su época en América Latina, pero quedó ampliamente rebasada por la evolución tecnológica y las mejores prácticas internacionales. Sus limitaciones estructurales eran bien conocidas:

• Sin autoridad independiente: la supervisión recaía en el Consejo para la Transparencia (CPLT), un órgano enfocado principalmente en transparencia gubernamental, sin presupuesto ni atribuciones diseñadas para la protección de datos privados.
• Sanciones mínimas: las multas eran tan bajas que para muchas empresas incumplir era más barato que adecuarse.
• Sin DPO ni brechas obligatorias: no se exigía un responsable de protección de datos ni notificación de incidentes a ninguna autoridad ni a los titulares afectados.
• Derechos limitados: los titulares solo tenían derecho de acceso y modificación, sin portabilidad, sin derecho al olvido, sin oposición al tratamiento.

La Ley 21.719 corrige todos estos vacíos de forma sistemática. Toma como referencia el GDPR europeo pero adapta su arquitectura institucional a la realidad chilena. Los principales cambios son:

Aspecto	Ley 19.628 (1999)	Ley 21.719 (2024/2026)
Autoridad supervisora	CPLT (rol transitorio)	Agencia de Protección de Datos Personales (nueva)
Sanciones máximas	Multas menores	10.000 UTM (~USD $1M)
DPO	No requerido	Obligatorio para ciertas entidades
Notificación de brechas	No exigida	72 horas a la Agencia e individuos afectados
Transferencias internacionales	Sin regulación robusta	Requieren garantías o decisión de adecuación
Derechos del titular	Acceso y corrección	Acceso, rectificación, supresión, portabilidad, oposición, no automatización

Durante el período de transición —mientras la nueva Agencia entra en operaciones—, el CPLT mantiene un rol supervisor. Las empresas que ya han gestionado consultas o reclamos ante el CPLT deben entender que ese canal coexiste temporalmente con los mecanismos de la nueva ley.

---

La nueva Agencia de Protección de Datos Personales

La Agencia de Protección de Datos Personales es el pilar institucional de la Ley 21.719. Es un servicio público descentralizado, con personalidad jurídica y patrimonio propios, técnicamente independiente del gobierno de turno. Sus atribuciones principales son:

• Investigar denuncias y de oficio a organizaciones que traten datos personales.
• Sancionar con multas escalonadas según gravedad, tamaño de la empresa y número de titulares afectados.
• Emitir instrucciones y guías vinculantes sobre cómo aplicar la ley en sectores específicos.
• Llevar el Registro Nacional de Responsables: ciertas categorías de responsables del tratamiento deben inscribirse.
• Certificar esquemas de cumplimiento y códigos de conducta sectoriales.

La Agencia opera de forma plena a partir de 2026. Las organizaciones que traten datos personales a gran escala, que procesen datos sensibles (salud, orientación sexual, biometría, datos financieros detallados, creencias religiosas o políticas) o que sean organismos públicos tienen la obligación de inscribirse en el Registro Nacional. Las entidades del sector bancario y financiero deben además considerar las obligaciones adicionales descritas en el análisis de las regulaciones del sector financiero en Chile, que se superponen a la Ley 21.719.

---

Régimen de sanciones: infracciones y multas

La Ley 21.719 establece un sistema de infracciones en tres niveles. La UTM (Unidad Tributaria Mensual) vale aproximadamente $65 USD en 2026, lo que hace que las sanciones máximas sean económicamente significativas incluso para grandes corporaciones.

Tipo de infracción	Ejemplos	Sanción máxima
Leves	Errores menores de procedimiento, omisiones formales sin impacto real	100 UTM (~USD $6.500)
Graves	Medidas de seguridad inadecuadas, tratamiento sin base de licitud, incumplimiento de derechos del titular	5.000 UTM (~USD $325.000)
Gravísimas	Vulneraciones deliberadas, brechas de datos sensibles sin notificación, reincidencia agravada	10.000 UTM (~USD $650.000)

La Agencia aplica factores agravantes al calcular la sanción efectiva: el tamaño económico de la empresa (las grandes empresas pagan más), el número de titulares afectados, si los datos involucrados son sensibles, si hubo beneficio económico del incumplimiento y si existe reincidencia. Una empresa de retail con millones de clientes que sufra una brecha de tarjetas de crédito y no la notifique en 72 horas puede enfrentar la sanción máxima más factores agravantes que la superan.

---

Obligaciones clave para empresas en Chile

1. Delegado de Protección de Datos (DPO)

La Ley 21.719 obliga a designar un Delegado de Protección de Datos en tres supuestos principales:

1. Organismos del sector público que traten datos personales.
2. Empresas privadas que realicen tratamiento a gran escala (la Agencia definirá umbrales específicos por sector).
3. Entidades cuya actividad principal involucre el tratamiento habitual y sistemático de datos sensibles.

El DPO puede ser un empleado interno o un servicio externo contratado (outsourcing del rol). Sus responsabilidades incluyen: asesorar a la organización en el cumplimiento de la ley, ser el punto de contacto ante la Agencia, supervisar las evaluaciones de impacto en privacidad (EIPD) y gestionar los derechos de los titulares. La persona designada debe tener conocimientos acreditables en protección de datos y no puede estar sujeta a conflictos de interés con el tratamiento que supervisa.

2. Notificación de brechas en 72 horas

Cuando ocurra una brecha de seguridad que afecte datos personales y genere un riesgo para los derechos y libertades de los titulares, la organización debe:

• Notificar a la Agencia dentro de las 72 horas de haber tenido conocimiento del incidente, incluyendo: naturaleza de la brecha, categorías y número aproximado de titulares afectados, probable consecuencia, medidas adoptadas y datos de contacto del DPO.
• Notificar a los titulares afectados sin dilación indebida cuando la brecha pueda suponer un alto riesgo para sus derechos (robo de identidad, pérdidas financieras, daño reputacional).

Las empresas que no tengan un proceso de detección, contención y notificación de incidentes documentado y probado están en riesgo de incumplir el plazo de 72 horas por simple desconocimiento interno del incidente. El pentesting periódico y los ejercicios de respuesta a incidentes reducen directamente esta probabilidad.

3. Derechos de los titulares

Los titulares de datos (clientes, trabajadores, proveedores) tienen ahora derechos ampliados que las empresas deben poder ejercer de forma efectiva:

• Acceso: conocer qué datos se tratan, con qué finalidad, durante cuánto tiempo y a quién se transfieren.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión (derecho al olvido): solicitar la eliminación de datos cuando ya no sean necesarios para la finalidad original o se retire el consentimiento.
• Oposición: oponerse al tratamiento en casos específicos, incluyendo el marketing directo.
• Portabilidad: recibir los datos en formato estructurado y legible por máquina para transferirlos a otro responsable.
• No ser objeto de decisiones automatizadas: derecho a no estar sujeto a decisiones con efectos jurídicos significativos basadas únicamente en tratamiento automatizado, incluido el perfilamiento.

Las organizaciones necesitan procesos internos claros —con plazos definidos de respuesta— para canalizar estas solicitudes. La falta de respuesta o una respuesta tardía a una solicitud legítima es, por sí sola, una infracción sancionable.

4. Transferencias internacionales de datos

La Ley 21.719 regula explícitamente la transferencia de datos a terceros países. Para transferir datos al extranjero de forma lícita, se necesita al menos una de estas bases:

• Que el país destinatario cuente con una decisión de adecuación emitida por la Agencia (nivel de protección equivalente al chileno).
• Que se implementen garantías adecuadas: cláusulas contractuales tipo aprobadas por la Agencia, normas corporativas vinculantes (BCR), o certificaciones reconocidas.
• Que aplique alguna de las excepciones tasadas (consentimiento explícito del titular, ejecución de un contrato con el titular, intereses vitales, etc.).

Esto tiene implicaciones directas para las empresas que usan servicios en la nube con infraestructura fuera de Chile. Usar AWS us-east-1, Azure Europe o Google Cloud Iowa para procesar datos de clientes chilenos requiere documentar la base jurídica de esa transferencia. Los proveedores de nube ofrecen sus propias cláusulas contractuales tipo, pero la empresa responsable debe asegurarse de que están vigentes y correctamente firmadas.

5. Medidas técnicas y organizativas (Artículo 38)

El Artículo 38 de la Ley 21.719 obliga a implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento. Esta es la obligación donde el pentesting tiene mayor relevancia directa.

Las medidas técnicas exigidas incluyen —sin ser exhaustivas— la seudonimización y cifrado de datos personales, la capacidad de garantizar la confidencialidad, integridad y disponibilidad de los sistemas, y la capacidad de restaurar el acceso tras un incidente. El criterio de "apropiado al riesgo" significa que una empresa que trata datos de salud de millones de pacientes tiene una exigencia técnica mucho más alta que una PYME con una base de 500 clientes.

El pentesting —prueba de penetración— es la herramienta técnica más reconocida internacionalmente para verificar que las defensas de seguridad realmente funcionan. Ante la Agencia, un informe de pentesting reciente y las evidencias de remediación son la prueba más directa de que la organización toma en serio sus obligaciones del Artículo 38.

---

Plazos de adecuación y hoja de ruta

La Ley 21.719 fue publicada en diciembre de 2024 con un período de vacancia de 24 meses para la mayoría de las obligaciones, lo que sitúa la plena vigencia en diciembre de 2026. No obstante, algunos plazos son más cortos y las empresas no deben esperar hasta el último momento.

Hoja de ruta práctica en 6 pasos:

1. Inventario de datos (ahora): Mapear qué datos personales se tratan, con qué base de licitud, durante cuánto tiempo y a qué terceros se comparten o transfieren. Esto es la base de todo lo demás.

2. Análisis de brechas legales (Q3 2026): Comparar el estado actual del inventario contra los requisitos de la Ley 21.719. Identificar tratamientos sin base legal suficiente, transferencias internacionales sin documentar y derechos de titulares sin proceso de respuesta.

3. Designación del DPO (Q3 2026): Determinar si la organización está en los supuestos de obligatoriedad y, de ser así, nombrar o contratar el Delegado antes de la entrada en vigor plena.

4. Evaluación técnica de seguridad / pentesting (Q3-Q4 2026): Realizar una prueba de penetración de los sistemas que tratan datos personales. El informe resultante es la evidencia técnica del cumplimiento del Artículo 38. Las vulnerabilidades identificadas deben remediarse antes del cierre del año.

5. Actualización de políticas y contratos (Q4 2026): Revisar avisos de privacidad, formularios de consentimiento, contratos con encargados del tratamiento (procesadores) y acuerdos de transferencia internacional. Actualizar la política interna de seguridad de la información.

6. Plan de respuesta a incidentes documentado (antes de diciembre 2026): Tener un procedimiento escrito, aprobado y conocido internamente que permita detectar, contener y notificar una brecha en menos de 72 horas. Practicarlo con un simulacro antes de la entrada en vigor.

---

Cómo el pentesting apoya el cumplimiento de la Ley 21.719

El Artículo 38 de la Ley 21.719 no especifica tecnologías concretas, pero sí exige que las medidas de seguridad sean "apropiadas al riesgo" y verificables. En la práctica supervisora de autoridades equivalentes (AEPD española, CNIL francesa, ICO británica), el pentesting ha sido citado repetidamente como evidencia de diligencia debida técnica. La Agencia chilena seguirá el mismo estándar.

Las razones concretas por las que el pentesting es relevante para el cumplimiento son:

• Detecta vulnerabilidades reales antes que los atacantes. Un escaneo de vulnerabilidades automatizado encuentra problemas conocidos; un pentesting con metodología ofensiva encuentra encadenamiento de vulnerabilidades, errores de configuración complejos y problemas de lógica de negocio que los escáneres no ven.
• Reduce la probabilidad de brechas notificables. Cada vulnerabilidad remediada antes de que sea explotada es un incidente que no sucede, evitando el coste legal, reputacional y sancionador de una brecha real.
• Genera documentación para la Agencia. Un informe de pentesting bien estructurado —con hallazgos, nivel de criticidad, evidencias técnicas y plan de remediación— es exactamente el tipo de documentación que una autoridad supervisora pide cuando investiga si una organización cumple el Artículo 38.
• Valida controles existentes. Las empresas que ya tienen firewalls, WAF, cifrado y controles de acceso necesitan verificar que esos controles realmente funcionan. El pentesting es esa verificación.
• Cubre el perímetro completo. Aplicaciones web, APIs, infraestructura de red, Active Directory, configuraciones de nube —un pentesting integral revisa todos los vectores de ataque que un atacante real usaría para llegar a los datos personales.

WhiteJaguars, empresa de pentesting con sede en Costa Rica, opera con metodología documentada (PTES + OWASP + MITRE ATT&CK) y equipo certificado en OSCP, CISSP, CEH y CISM, entre otras. Sus evaluaciones incluyen retests ilimitados para verificar la efectividad de los controles y reportes que relacionan los hallazgos con los requisitos del Artículo 38, aptos para su presentación ante la Agencia.

---

Preguntas frecuentes

¿Aplica la Ley 21.719 a empresas extranjeras que operan en Chile?

Sí. La Ley 21.719 tiene alcance extraterritorial similar al GDPR: aplica a cualquier organización que trate datos personales de titulares ubicados en Chile, independientemente de dónde esté constituida o dónde estén alojados sus servidores. Una empresa española, estadounidense o colombiana que tenga clientes o empleados en Chile y trate sus datos personales está sujeta a la Ley 21.719. Deben designar un representante en Chile si no tienen presencia física en el país y el tratamiento es a gran escala.

¿Cuándo debo nombrar un DPO bajo la Ley 21.719?

La obligación de designar un Delegado de Protección de Datos aplica, en términos generales, a: (1) organismos del sector público que traten datos personales, (2) empresas privadas cuya actividad principal requiera tratamiento a gran escala de datos personales (los umbrales concretos serán fijados por la Agencia mediante instrucción general), y (3) organizaciones cuya actividad core involucre el tratamiento habitual de datos sensibles (salud, biometría, datos financieros, creencias). Si su empresa opera en sectores como salud, seguros, banca, retail de escala nacional o gestión de recursos humanos para grandes plantillas, es muy probable que deba nombrar un DPO antes de diciembre de 2026. Si hay duda, el análisis de brechas legales (paso 2 de la hoja de ruta) debe resolverla.

¿Qué diferencia hay entre la Ley 21.719 y el GDPR europeo?

La Ley 21.719 tomó al GDPR como referencia técnica y de política, pero existen diferencias importantes. En cuanto a similitudes: ambas crean una autoridad supervisora independiente, exigen base de licitud para el tratamiento, regulan transferencias internacionales, reconocen los mismos derechos de titulares y establecen la obligación de medidas técnicas y organizativas. Las diferencias más relevantes son: (1) el GDPR exige notificación de brechas en 72 horas a la autoridad y "sin dilación indebida" a los titulares, mientras la Ley 21.719 fija 72 horas para ambos en algunos supuestos; (2) el GDPR no exige registro de responsables en general, mientras la Ley 21.719 crea un Registro Nacional para ciertas categorías; (3) las multas del GDPR llegan hasta el 4% de la facturación global anual (lo que puede superar los 10.000 UTM chilenos para empresas grandes); (4) el GDPR es más desarrollado en regulación de IA y decisiones automatizadas. Para empresas que ya cumplen GDPR, el esfuerzo de adaptación a la Ley 21.719 es significativamente menor, pero no es automático.

¿Cómo debo documentar las medidas técnicas de seguridad ante la Agencia?

La Agencia no prescribe un formato único, pero las mejores prácticas internacionales —y lo que las autoridades equivalentes han requerido en investigaciones— apuntan a: (1) un inventario de activos que tratan datos personales, (2) una evaluación de riesgos documentada, (3) las medidas técnicas implementadas (cifrado, controles de acceso, segmentación de red, monitoreo), (4) evidencias de pruebas de seguridad periódicas —aquí entran los informes de pentesting—, (5) un registro de incidentes y (6) evidencias de formación del personal. El informe de pentesting anual, acompañado de la documentación de remediación de sus hallazgos, es el documento técnico más potente para acreditar el cumplimiento del Artículo 38 ante una investigación supervisora.

---

Proteja su empresa con pentesting orientado al cumplimiento

La Ley 21.719 no es solo un riesgo legal: es una señal de madurez regulatoria que el mercado y los clientes chilenos comenzarán a exigir. Las empresas que se adelanten a la adecuación construyen una ventaja competitiva real frente a quienes esperan al último momento.

WhiteJaguars, empresa de pentesting con sede en Costa Rica, opera con metodología documentada (PTES + OWASP + MITRE ATT&CK), retests ilimitados y equipo certificado en OSCP, CISSP, CEH y CISM, entre otras, lo que facilita generar la evidencia técnica que el DPO necesita para acreditar cumplimiento del Artículo 38 ante la Agencia.

Si su organización necesita evaluar su postura técnica de seguridad antes de la entrada en vigor plena de la Ley 21.719, puede revisar las empresas de pentesting disponibles en Chile con cobertura local documentada para determinar qué controles son prioritarios según el tipo de datos que trata su organización.