Ley 21.719: lo que tu organización
necesita saber
La reforma más importante a la protección de datos personales en Chile. Nueva autoridad fiscalizadora, multas significativas y obligaciones concretas para todas las organizaciones que traten datos personales.
Última actualización: 21 de mayo de 2026 · Contenido preparado por el equipo de Kulvio (Solutoria SpA).
Multas que exigen preparación
La Agencia de Protección de Datos Personales tendrá facultades reales de fiscalización y sanción. Las infracciones se clasifican en tres niveles.
Infracciones Leves
5.000 UTM
Amonestación escrita o multa. Incumplimientos formales y de información.
Infracciones Graves
10.000 UTM
Multa de hasta 10.000 UTM.
Infracciones Gravísimas
20.000 UTM
Multa de hasta 20.000 UTM o hasta el 4% de las ventas anuales para empresas.
Las multas se expresan en UTM, tal como las fija la Ley 21.719. Las sanciones se inscriben en el Registro Nacional de Sanciones por hasta 5 años.
Implementación de la ley
A la fecha, el único reglamento dictado corresponde al relativo a los modelos de prevención de infracciones (asociado al artículo 49 de la ley), publicado en el Diario Oficial el miércoles 9 de septiembre de 2026. En cuanto a la composición del Consejo Directivo de la Agencia de Protección de Datos Personales, el proyecto de ley identificado con el Boletín N.º 18.623-07 propone aumentar sus integrantes de tres a cinco consejeros.
Información actualizada al 16 de octubre de 2026.
¿Qué debe hacer tu organización?
Las principales obligaciones que introduce la Ley 21.719 y cómo Kulvio te ayuda a cumplirlas.
Registro de Actividades de Tratamiento
Debes poder acreditar la licitud de cada tratamiento y publicar sus finalidades, base de legitimidad y plazos de conservación. La ley no lo llama «RAT», pero mantener ese registro es la forma estándar de cumplirlo (Arts. 3° a, 14 a y 14 ter).
Módulo RAT de KulvioEvaluación de Impacto (EIPD)
Obligatoria para tratamientos de alto riesgo: perfilamiento sistemático, tratamiento masivo de datos, vigilancia de zonas públicas, datos sensibles sin consentimiento.
Módulo EIPD de KulvioNotificación de brechas
Notificar a la Agencia sin dilación indebida cuando exista riesgo razonable para los derechos de los titulares. Si la brecha afecta datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales, también se avisa a cada titular (Art. 14 sexies).
Módulo Brechas de KulvioDerechos de los titulares
Responder solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal en un plazo de 30 días corridos, prorrogable una sola vez (Arts. 5°-11°).
Módulo ARSOPB de KulvioTransferencias internacionales
Las transferencias de datos al extranjero requieren mecanismos habilitantes: decisiones de adecuación, cláusulas contractuales modelo, BCR o certificaciones (Arts. 27-28).
Módulo Transferencias de KulvioPrincipio de accountability
Las organizaciones deben poder demostrar cumplimiento con evidencia documentada: políticas, registros, evaluaciones y auditoría trazable.
Módulo Auditoría de KulvioTodas las organizaciones
que traten datos personales
La ley aplica a toda persona natural o jurídica, pública o privada, que realice tratamiento de datos personales. Incluye aplicación extraterritorial para organizaciones que traten datos de residentes chilenos.
Sector financiero
Bancos, aseguradoras, AFP, AGF y corredoras de bolsa. Alto volumen de datos sensibles y financieros.
Salud
Isapres, clínicas, laboratorios y prestadores. Datos de salud son datos sensibles por definición legal.
Retail, telecomunicaciones y SaaS
Empresas con bases de clientes masivas, programas de fidelización, marketing directo y plataformas digitales.