El 13 de diciembre de 2024 se publicó la Ley 21.719, que moderniza por completo la antigua Ley 19.628 sobre protección de la vida privada. Tuvo un período de adecuación de 24 meses, y ese período termina ahora: el 1 de diciembre de 2026 la ley entra en plena vigencia.
Si tu organización trata datos de personas —clientes, trabajadores, estudiantes, pacientes—, esto te aplica. Veamos qué cambia en la práctica.
Lo que cambia ese día
Aparece un fiscalizador con dientes. La Agencia de Protección de Datos Personales podrá recibir reclamos de las personas, fiscalizar y sancionar. Hasta ahora, reclamar exigía ir a tribunales, y casi nadie lo hacía.
Las multas dejan de ser simbólicas. Las infracciones se clasifican en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM respectivamente, y montos mayores en caso de reincidencia.
Las sanciones se vuelven públicas. Quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento. Para una empresa o un colegio, el daño reputacional puede pesar más que la multa.
La carga de la prueba se invierte. El principio de responsabilidad obliga a la organización a demostrar que cumple. No basta con no haber tenido problemas.
Lo que no cambia
La ley no te obliga a comprar un software específico ni a contratar a una consultora gigante. Exige medidas apropiadas al riesgo y al tamaño de cada organización. Una PyME con una base de clientes no necesita lo mismo que una clínica.
Un plan realista para lo que queda de 2026
Con pocos meses por delante, conviene priorizar lo que más reduce el riesgo:
- Haz el inventario. Qué datos tienes, para qué, dónde están, quién accede y cuánto tiempo los guardas. Todo lo demás depende de esto.
- Cierra los accesos. Revisa quién tiene acceso a qué, activa la autenticación multifactor en cuentas críticas y da de baja las cuentas de quienes ya no están.
- Enciende los registros. Asegúrate de que tus sistemas registren quién accede a datos personales y cuándo. Sin registros, no puedes investigar un incidente.
- Prepara el procedimiento de incidentes. Quién decide, cómo se evalúa el riesgo y cómo se reporta. Pruébalo con un simulacro.
- Habilita el canal de derechos. Un correo o formulario claro y un procedimiento interno para responder a tiempo.
- Actualiza la política de privacidad para que describa lo que realmente haces, idealmente con tu asesoría legal.
El error más común
Pensar que el cumplimiento es un documento. La política de privacidad es necesaria, pero describe compromisos. Lo que una fiscalización revisa es si tu operación los cumple: la evidencia técnica.
Si quieres una guía completa, revisa nuestra guía práctica de la Ley 21.719, que incluye una checklist descargable.
Este artículo es informativo y no constituye asesoría legal.