La Ley N.º 21.719 comenzará a regir el 1 de diciembre de 2026. Su implementación exige mucho más que actualizar una política de privacidad: las organizaciones necesitan conocer qué datos personales utilizan, justificar su tratamiento, protegerlos y demostrar que cumplen sus responsabilidades.
La protección de datos personales se ha convertido en una responsabilidad que atraviesa prácticamente todas las áreas de una organización.
Los equipos comerciales administran información de clientes. Recursos Humanos procesa antecedentes de colaboradores. Tecnología mantiene aplicaciones y repositorios. Las áreas operacionales comparten información con proveedores y plataformas externas.
Cada una de estas actividades puede involucrar obligaciones relacionadas con la privacidad, la seguridad y los derechos de las personas.
La Ley N.º 21.719, publicada en diciembre de 2024, modifica la Ley N.º 19.628 y establece un marco reforzado para el tratamiento de datos personales en Chile, junto con una nueva autoridad especializada de fiscalización: la Agencia de Protección de Datos Personales.
El desafío no es únicamente comprender la regulación. Es convertir sus exigencias en procesos, responsabilidades y controles que funcionen en la operación real del negocio.
La nueva regulación fortalece los derechos de las personas sobre sus datos y establece mayores responsabilidades para las organizaciones que los recopilan, utilizan, almacenan o comunican.
Entre los cambios principales destacan:
Una distinción importante es que la ley no exige consentimiento para absolutamente todos los tratamientos. También contempla otras bases de licitud, como determinadas obligaciones legales, relaciones contractuales e intereses legítimos bajo las condiciones establecidas.
Cada organización debe identificar cuál corresponde a las actividades que efectivamente realiza.
El primer paso es construir un inventario de tratamientos.
No basta con saber dónde están las bases de datos. Es necesario comprender qué información se recopila, para qué se utiliza, quién accede a ella, cuánto tiempo se conserva y con quién se comparte.
El inventario debe considerar clientes, colaboradores, prospectos, proveedores y otras personas cuyos datos intervienen en los procesos del negocio.
Por dónde empezar: selecciona un proceso relevante e identifica sus datos, sistemas, responsables, destinatarios y plazos de conservación.
El resultado esperado es una visión trazable del recorrido de la información, desde su recopilación hasta su eliminación.
Una organización no puede asumir que todos los usos de información personal están autorizados porque existe una relación comercial o porque obtuvo una aceptación general.
Cada finalidad necesita una justificación jurídica adecuada.
Esto obliga a revisar formularios, contratos, campañas comerciales, procesos internos y actividades que reutilizan información para propósitos distintos de aquellos para los que fue recopilada.
Cuando el tratamiento se basa en consentimiento, también se necesita gestionar correctamente su obtención, registro y eventual revocación.
Por dónde empezar: relaciona cada tratamiento del inventario con su finalidad, base de licitud y evidencia correspondiente.
Esta evaluación debe contar con validación jurídica.
La ley reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo temporal en los supuestos correspondientes.
Para hacerlos efectivos, no basta con habilitar una dirección de correo electrónico.
La organización necesita un procedimiento capaz de recibir solicitudes, verificar la identidad de quien las presenta, localizar la información, evaluar su procedencia y ejecutar las acciones correspondientes.
El plazo general para pronunciarse es de 30 días corridos, con posibilidad de una prórroga por una sola vez y bajo las condiciones legales.
Por dónde empezar: prueba una solicitud ficticia de acceso a datos personales.
¿Puedes identificar dónde se encuentran los antecedentes? ¿Quién decide la respuesta? ¿Qué sistemas deben intervenir? ¿Existe evidencia de que el procedimiento se completó?
Este ejercicio puede revelar dependencias que no aparecen en las políticas escritas.
Muchas organizaciones utilizan servicios externos para almacenar, procesar o administrar información personal.
La contratación de una plataforma en la nube no elimina las responsabilidades del cliente respecto de los tratamientos que realiza.
Es necesario identificar el rol de cada participante, revisar las instrucciones contractuales, las medidas de seguridad, la subcontratación y las condiciones bajo las que se comparten o transfieren datos.
Las transferencias internacionales también requieren examinar los mecanismos jurídicos y las garantías correspondientes.
Por dónde empezar: identifica los proveedores que acceden a datos personales y revisa qué información reciben, con qué finalidad y bajo qué condiciones.
Prioriza aquellos que tratan información sensible, grandes volúmenes de datos o intervienen en procesos críticos.
Disponer de herramientas de ciberseguridad no demuestra, por sí solo, que los datos personales estén adecuadamente protegidos.
La organización debe adoptar medidas proporcionales a los riesgos de los tratamientos y comprobar su efectividad.
Entre las capacidades que corresponde evaluar se encuentran:
El objetivo no es acumular controles, sino verificar que protegen efectivamente la información en los procesos donde se utiliza.
Por dónde empezar: selecciona los tratamientos prioritarios y comprueba si sus controles están implementados, operan correctamente y cuentan con evidencia vigente.
Una vulneración de datos personales puede requerir acciones técnicas, legales y comunicacionales en paralelo.
La Ley N.º 21.719 contempla obligaciones de reporte a la autoridad cuando exista un riesgo razonable para los derechos y libertades de los titulares, así como comunicaciones a las personas afectadas en determinados supuestos.
No todas las alertas tecnológicas constituyen automáticamente una vulneración notificable.
Por eso, el procedimiento debe permitir investigar qué ocurrió, identificar los datos y personas potencialmente afectados, determinar las consecuencias y decidir qué notificaciones corresponden.
Por dónde empezar: realiza un ejercicio en el que se detecta acceso indebido a un repositorio con información personal.
Comprueba cómo participan seguridad, tecnología, asesoría jurídica, comunicaciones y la dirección. Verifica que exista claridad sobre responsabilidades, escalamiento y preservación de evidencia.
La adecuación no puede quedar exclusivamente en manos del área legal o del equipo de ciberseguridad.
Las áreas que utilizan información personal deben participar en la definición de procesos, en la aplicación de controles y en la corrección de brechas.
La organización necesita responsables identificados, plazos, decisiones documentadas y mecanismos para comprobar el funcionamiento de las medidas adoptadas.
La ley contempla un modelo voluntario de prevención de infracciones que incluye la designación de un delegado de protección de datos. Esto no significa que todas las organizaciones estén obligadas, de manera general, a designar uno.
Por dónde empezar: establece un plan de adecuación con responsables de negocio, asesoría jurídica, seguridad y tecnología, incluyendo evidencia que permita verificar cada avance.
La privacidad y la CiberResiliencia están estrechamente relacionadas, pero no son equivalentes.
La protección de datos personales establece derechos y responsabilidades respecto de la información de las personas.
La CiberResiliencia considera la capacidad de una organización para comprender los riesgos que amenazan su operación, mantener una protección efectiva, detectar y responder frente a incidentes y continuar generando valor.
Una organización puede tener buenas políticas de privacidad y mantener controles técnicos insuficientes. También puede disponer de tecnología avanzada y presentar brechas jurídicas u operacionales en sus tratamientos.
Por eso, una preparación completa necesita ambas perspectivas.
CRI by Widefense permite comprender riesgos, verificar la protección y medir la capacidad de detectar y responder, convirtiendo esa información en un Nivel de CiberResiliencia respaldado por evidencia.
Estas capacidades pueden aportar información relevante para la gestión de los riesgos de ciberseguridad asociados a datos personales, sin sustituir la evaluación jurídica ni constituir una certificación de cumplimiento de la ley.
Antes de diciembre de 2026, la Alta Dirección debería poder responder:
Si alguna de estas preguntas todavía no tiene respuesta, existe una oportunidad concreta para actuar.
La entrada en vigencia de la nueva regulación exige revisar cómo se utiliza y protege la información personal, pero su valor no termina en el cumplimiento formal.
Conocer los tratamientos, controlar los accesos, establecer responsabilidades y comprobar la efectividad de las medidas de protección contribuye a gestionar mejor los riesgos y fortalecer la confianza.
La diferencia entre tener políticas y estar preparado está en poder demostrar que los procesos y controles realmente funcionan.
La recomendación es comenzar por un tratamiento prioritario, identificar las brechas y convertirlas en un plan verificable que después pueda extenderse al resto de la organización.
Conoce tu Nivel de CiberResiliencia
Descubre cómo CRI by Widefense ayuda a comprender riesgos, verificar controles y demostrar la capacidad de respuesta de tu organización.
Nota editorial: publicado originalmente el 5 de mayo de 2025 por Widefense. Versión actualizada en octubre de 2026 para incorporar el marco de la Ley N.º 21.719 y su entrada en vigencia prevista para diciembre de 2026. Contenido informativo; no sustituye asesoría jurídica especializada.