La Ley N.º 21.719 comenzará a regir el 1 de diciembre de 2026. Su implementación exige mucho más que actualizar una política de privacidad: las organizaciones necesitan conocer qué datos personales utilizan, justificar su tratamiento, protegerlos y demostrar que cumplen sus responsabilidades.
La protección de datos personales se ha convertido en una responsabilidad que atraviesa prácticamente todas las áreas de una organización.
Los equipos comerciales administran información de clientes. Recursos Humanos procesa antecedentes de colaboradores. Tecnología mantiene aplicaciones y repositorios. Las áreas operacionales comparten información con proveedores y plataformas externas.
Cada una de estas actividades puede involucrar obligaciones relacionadas con la privacidad, la seguridad y los derechos de las personas.
La Ley N.º 21.719, publicada en diciembre de 2024, modifica la Ley N.º 19.628 y establece un marco reforzado para el tratamiento de datos personales en Chile, junto con una nueva autoridad especializada de fiscalización: la Agencia de Protección de Datos Personales.
El desafío no es únicamente comprender la regulación. Es convertir sus exigencias en procesos, responsabilidades y controles que funcionen en la operación real del negocio.
¿Qué cambia con la Ley N.º 21.719?
La nueva regulación fortalece los derechos de las personas sobre sus datos y establece mayores responsabilidades para las organizaciones que los recopilan, utilizan, almacenan o comunican.
Entre los cambios principales destacan:
- La ampliación y fortalecimiento de los derechos de los titulares, incluida la portabilidad.
- El establecimiento de distintas bases jurídicas que permiten el tratamiento de datos personales bajo condiciones específicas.
- Mayores exigencias de información, transparencia y responsabilidad.
- La obligación de implementar medidas de seguridad adecuadas al riesgo del tratamiento.
- Reglas para comunicar determinadas vulneraciones de seguridad.
- Nuevas condiciones para las transferencias internacionales de datos.
- Un régimen de fiscalización y sanciones a cargo de una autoridad especializada.
Una distinción importante es que la ley no exige consentimiento para absolutamente todos los tratamientos. También contempla otras bases de licitud, como determinadas obligaciones legales, relaciones contractuales e intereses legítimos bajo las condiciones establecidas.
Cada organización debe identificar cuál corresponde a las actividades que efectivamente realiza.
Siete acciones para preparar a tu organización
1. Identificar qué datos personales utiliza el negocio
El primer paso es construir un inventario de tratamientos.
No basta con saber dónde están las bases de datos. Es necesario comprender qué información se recopila, para qué se utiliza, quién accede a ella, cuánto tiempo se conserva y con quién se comparte.
El inventario debe considerar clientes, colaboradores, prospectos, proveedores y otras personas cuyos datos intervienen en los procesos del negocio.
Por dónde empezar: selecciona un proceso relevante e identifica sus datos, sistemas, responsables, destinatarios y plazos de conservación.
El resultado esperado es una visión trazable del recorrido de la información, desde su recopilación hasta su eliminación.
2. Revisar las finalidades y bases jurídicas del tratamiento
Una organización no puede asumir que todos los usos de información personal están autorizados porque existe una relación comercial o porque obtuvo una aceptación general.
Cada finalidad necesita una justificación jurídica adecuada.
Esto obliga a revisar formularios, contratos, campañas comerciales, procesos internos y actividades que reutilizan información para propósitos distintos de aquellos para los que fue recopilada.
Cuando el tratamiento se basa en consentimiento, también se necesita gestionar correctamente su obtención, registro y eventual revocación.
Por dónde empezar: relaciona cada tratamiento del inventario con su finalidad, base de licitud y evidencia correspondiente.
Esta evaluación debe contar con validación jurídica.
3. Preparar la atención de los derechos de las personas
La ley reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal en los supuestos correspondientes.
Para hacerlos efectivos, no basta con habilitar una dirección de correo electrónico.
La organización necesita un procedimiento capaz de recibir solicitudes, verificar la identidad de quien las presenta, localizar la información, evaluar su procedencia y ejecutar las acciones correspondientes.
El plazo general para pronunciarse es de 30 días corridos, con posibilidad de una prórroga por una sola vez y bajo las condiciones legales.
Por dónde empezar: prueba una solicitud ficticia de acceso a datos personales.
¿Puedes identificar dónde se encuentran los antecedentes? ¿Quién decide la respuesta? ¿Qué sistemas deben intervenir? ¿Existe evidencia de que el procedimiento se completó?
Este ejercicio puede revelar dependencias que no aparecen en las políticas escritas.
4. Revisar proveedores, contratos y transferencias de datos
Muchas organizaciones utilizan servicios externos para almacenar, procesar o administrar información personal.
La contratación de una plataforma en la nube no elimina las responsabilidades del cliente respecto de los tratamientos que realiza.
Es necesario identificar el rol de cada participante, revisar las instrucciones contractuales, las medidas de seguridad, la subcontratación y las condiciones bajo las que se comparten o transfieren datos.
Las transferencias internacionales también requieren examinar los mecanismos jurídicos y las garantías correspondientes.
Por dónde empezar: identifica los proveedores que acceden a datos personales y revisa qué información reciben, con qué finalidad y bajo qué condiciones.
Prioriza aquellos que tratan información sensible, grandes volúmenes de datos o intervienen en procesos críticos.
5. Verificar que los controles de seguridad funcionan
Disponer de herramientas de ciberseguridad no demuestra, por sí solo, que los datos personales estén adecuadamente protegidos.
La organización debe adoptar medidas proporcionales a los riesgos de los tratamientos y comprobar su efectividad.
Entre las capacidades que corresponde evaluar se encuentran:
- Gestión de identidades, autenticación y privilegios.
- Protección de equipos, servidores y aplicaciones.
- Cifrado y protección de información sensible.
- Registro y revisión de accesos.
- Respaldo, recuperación y eliminación segura.
- Detección y respuesta frente a accesos no autorizados.
El objetivo no es acumular controles, sino verificar que protegen efectivamente la información en los procesos donde se utiliza.
Por dónde empezar: selecciona los tratamientos prioritarios y comprueba si sus controles están implementados, operan correctamente y cuentan con evidencia vigente.
6. Preparar la respuesta ante vulneraciones de seguridad
Una vulneración de datos personales puede requerir acciones técnicas, legales y comunicacionales en paralelo.
La Ley N.º 21.719 contempla obligaciones de reporte a la autoridad cuando exista un riesgo razonable para los derechos y libertades de los titulares, así como comunicaciones a las personas afectadas en determinados supuestos.
No todas las alertas tecnológicas constituyen automáticamente una vulneración notificable.
Por eso, el procedimiento debe permitir investigar qué ocurrió, identificar los datos y personas potencialmente afectados, determinar las consecuencias y decidir qué notificaciones corresponden.
Por dónde empezar: realiza un ejercicio en el que se detecta acceso indebido a un repositorio con información personal.
Comprueba cómo participan seguridad, tecnología, asesoría jurídica, comunicaciones y la dirección. Verifica que exista claridad sobre responsabilidades, escalamiento y preservación de evidencia.
7. Asignar responsabilidades y demostrar avances
La adecuación no puede quedar exclusivamente en manos del área legal o del equipo de ciberseguridad.
Las áreas que utilizan información personal deben participar en la definición de procesos, en la aplicación de controles y en la corrección de brechas.
La organización necesita responsables identificados, plazos, decisiones documentadas y mecanismos para comprobar el funcionamiento de las medidas adoptadas.
La ley contempla un modelo voluntario de prevención de infracciones que incluye la designación de un delegado de protección de datos. Esto no significa que todas las organizaciones estén obligadas, de manera general, a designar uno.
Por dónde empezar: establece un plan de adecuación con responsables de negocio, asesoría jurídica, seguridad y tecnología, incluyendo evidencia que permita verificar cada avance.
¿Cómo se relaciona la protección de datos con la CiberResiliencia?
La privacidad y la CiberResiliencia están estrechamente relacionadas, pero no son equivalentes.
La protección de datos personales establece derechos y responsabilidades respecto de la información de las personas.
La CiberResiliencia considera la capacidad de una organización para comprender los riesgos que amenazan su operación, mantener una protección efectiva, detectar y responder frente a incidentes y continuar generando valor.
Una organización puede tener buenas políticas de privacidad y mantener controles técnicos insuficientes. También puede disponer de tecnología avanzada y presentar brechas jurídicas u operacionales en sus tratamientos.
Por eso, una preparación completa necesita ambas perspectivas.
CRI by Widefense permite comprender riesgos, verificar la protección y medir la capacidad de detectar y responder, convirtiendo esa información en un Nivel de CiberResiliencia respaldado por evidencia.
Estas capacidades pueden aportar información relevante para la gestión de los riesgos de ciberseguridad asociados a datos personales, sin sustituir la evaluación jurídica ni constituir una certificación de cumplimiento de la ley.
Una lista de verificación para comenzar
Antes de diciembre de 2026, la Alta Dirección debería poder responder:
- ¿Sabemos qué datos personales tratamos y con qué finalidad?
- ¿Hemos identificado la base jurídica aplicable a cada tratamiento?
- ¿Contamos con mecanismos para gestionar las solicitudes de los titulares?
- ¿Conocemos a los proveedores que acceden a información personal?
- ¿Podemos demostrar que nuestros controles de seguridad funcionan?
- ¿Tenemos un procedimiento probado para investigar y comunicar vulneraciones?
- ¿Existe un plan de adecuación con responsables, fechas y evidencias?
Si alguna de estas preguntas todavía no tiene respuesta, existe una oportunidad concreta para actuar.
Prepararse no es solamente cumplir una fecha
La entrada en vigencia de la nueva regulación exige revisar cómo se utiliza y protege la información personal, pero su valor no termina en el cumplimiento formal.
Conocer los tratamientos, controlar los accesos, establecer responsabilidades y comprobar la efectividad de las medidas de protección contribuye a gestionar mejor los riesgos y fortalecer la confianza.
La diferencia entre tener políticas y estar preparado está en poder demostrar que los procesos y controles realmente funcionan.
La recomendación es comenzar por un tratamiento prioritario, identificar las brechas y convertirlas en un plan verificable que después pueda extenderse al resto de la organización.
Conoce tu Nivel de CiberResiliencia
Descubre cómo CRI by Widefense ayuda a comprender riesgos, verificar controles y demostrar la capacidad de respuesta de tu organización.
Nota editorial: publicado originalmente el 5 de mayo de 2025 por Widefense. Versión actualizada en octubre de 2026 para incorporar el marco de la Ley N.º 21.719 y su entrada en vigencia prevista para diciembre de 2026. Contenido informativo; no sustituye asesoría jurídica especializada.