La Ley 21.719 cambia las reglas sobre datos personales en Chile a partir del 1 de diciembre de 2026, y aplica también a las pymes. Si tu empresa usa un agente de WhatsApp, un formulario web, una planilla de clientes conectada a una herramienta de IA o una agenda en línea, estás tratando datos personales y te corresponden obligaciones concretas.
Estado al 18 de octubre de 2026. La fecha legal de vigencia es el 1 de diciembre de 2026. Existe un proyecto del Ejecutivo para postergarla (Boletín 18.623-07), que se encuentra en tramitación en el Senado. Su estado oficial a esta fecha no está confirmado. Mientras no se apruebe, promulgue y publique, la fecha sigue siendo el 1 de diciembre de 2026. Revisaremos esta nota a medida que el proyecto avance.
Este artículo no es asesoría legal. Resume lo que dicen fuentes oficiales y lo traduce a tareas prácticas. Para tu caso específico, sobre todo si tratas datos de salud u otros datos sensibles, revísalo con un abogado. Si quieres ver cómo encaja el cumplimiento dentro de un plan de implementación completo, lee la guía para implementar IA en una pyme.
¿Qué es la Ley 21.719 y desde cuándo rige?
Es la nueva ley de protección de datos personales. Según el informe de la Biblioteca del Congreso Nacional (BCN) de abril de 2025:
- Se promulgó el 25 de noviembre de 2024 y se publicó en el Diario Oficial el 13 de diciembre de 2024.
- Entra en vigencia el 1 de diciembre de 2026. Hasta esa fecha sigue rigiendo la Ley 19.628.
- Técnicamente modifica la Ley 19.628, pero reemplaza casi todo su articulado. Por eso seguirás viendo que se la menciona como “ley N° 19.628”.
- Crea la Agencia de Protección de Datos Personales, con funciones normativas, fiscalizadoras y sancionadoras, y de resolución de reclamos.
Puedes consultar el texto en la ficha oficial de la ley en BCN.
¿Se va a postergar?
No está decidido. El mensaje presidencial del Boletín 18.623-07, fechado el 31 de agosto de 2026, propone:
- Postergar la entrada en vigencia al 1 de diciembre de 2027.
- Ampliar el Consejo Directivo de la Agencia de 3 a 5 integrantes.
- Suprimir la referencia a las empresas de menor tamaño en el régimen transitorio de amonestación (lo explicamos más abajo).
El proyecto está en tramitación. No conviene planificar como si la postergación ya estuviera aprobada. Lo prudente es prepararse para el 1 de diciembre de 2026: lo que hagas ahora te sirve de todas formas.
¿Aplica a mi pyme aunque sea pequeña?
Sí. La ley aplica a todo responsable de datos establecido en Chile, y no tiene una exención general por tamaño. Si tu empresa decide para qué y cómo se usan los datos de sus clientes, trabajadores o proveedores, es responsable de esos datos.
La diferencia para las empresas de menor tamaño está en las sanciones, no en las obligaciones. Lo vemos en la sección de multas.
¿Qué es un dato personal y qué es un dato sensible?
Un dato personal es cualquier información sobre una persona identificada o identificable: nombre, teléfono, correo, RUT, dirección, una patente asociada a un nombre, el historial de compras de un cliente.
Un dato sensible es una categoría con protección reforzada. Según el informe de la BCN, incluye, entre otros, los datos de salud, el perfil biológico, los datos biométricos y la situación socioeconómica.
En la práctica:
- Centros de salud: casi todo lo que tratas sobre pacientes es sensible. Ver centros de salud.
- Restaurantes: una alergia anotada en una reserva puede ser un dato de salud. Minimiza.
- Servicios en terreno: la geolocalización de tus técnicos y las direcciones de tus clientes son datos personales. Ver servicios en terreno.
¿Con qué base legal puedes tratar datos?
Necesitas una base legal para cada uso de los datos. La más conocida es el consentimiento, que según la ley debe ser libre, informado, específico, previo, inequívoco y revocable. Los medios para darlo o retirarlo deben ser expeditos, gratuitos y estar permanentemente disponibles.
Pero el consentimiento no es la única base. La ley establece una lista cerrada de casos en que no se requiere, entre ellos el cumplimiento de una obligación legal, la ejecución de un contrato y la defensa de derechos. Por ejemplo, emitir la factura de una venta suele apoyarse en el contrato o en una obligación legal; enviar promociones por WhatsApp, en cambio, normalmente requiere consentimiento. Confirma tus casos con un abogado.
Qué hacer: haz una lista de cada uso que das a los datos (agendar, cotizar, facturar, enviar promociones, analizar ventas con IA) y anota al lado qué base legal lo respalda. Los casos dudosos son los que debes revisar con un abogado.
¿Qué tienes que publicar en tu sitio web?
La ley exige un deber de información y transparencia. Entre otros puntos, debes publicar de forma permanente en tu sitio web:
- Tu política de tratamiento de datos.
- Las categorías de datos que tratas.
- Los destinatarios a quienes comunicas datos.
- Las finalidades del tratamiento.
- Tus políticas de seguridad.
Si tu sitio tiene un formulario de contacto o cotización, el aviso debe estar visible antes de que la persona envíe sus datos. Si usas un agente de WhatsApp, una línea al inicio de la conversación con el enlace a tu política es un buen punto de partida.
¿Qué derechos tienen tus clientes y cómo debes atenderlos?
Los titulares tienen derecho de acceso, rectificación, supresión, oposición, bloqueo del tratamiento y portabilidad. Las solicitudes se dirigen al correo, formulario u otro medio electrónico que el responsable establezca para ese fin.
Qué hacer:
- Define un canal único, por ejemplo un correo exclusivo para solicitudes de datos, y publícalo en tu política.
- Nombra a una persona que lo revise.
- Ten claro dónde están los datos de cada cliente: si un cliente pide que borres sus datos, tienes que saber en qué planillas, sistemas y herramientas de IA están.
¿Qué medidas de seguridad pide y qué pasa si hay una vulneración?
La ley exige al responsable adoptar medidas de seguridad y mantener la confidencialidad de los datos. Además, si ocurre una vulneración de seguridad, debes reportarla a la Agencia.
Medidas razonables para una pyme:
- Acceso a cada sistema con usuario propio, nunca cuentas compartidas.
- Verificación en dos pasos en correo, WhatsApp Business y herramientas en la nube.
- Respaldos periódicos y probados.
- Quitar accesos el mismo día en que una persona deja la empresa.
- Saber a quién llamar y qué hacer si se filtra o se pierde información.
¿Qué cambia cuando usas IA o automatización?
La ley no tiene un capítulo aparte para la IA, pero usar IA con datos de clientes activa varias de sus obligaciones a la vez. Estas son las preguntas que debes poder responder:
- ¿Qué proveedores procesan los datos? Un agente de WhatsApp puede pasar las conversaciones por un servicio de mensajería, un modelo de IA y una base de datos. Cada uno debe estar identificado.
- ¿Bajo qué condiciones? Revisa si el proveedor usa tus datos para entrenar sus modelos, dónde los guarda y por cuánto tiempo.
- ¿Estás pidiendo solo lo necesario? El principio de proporcionalidad obliga a no recolectar de más. Si el agente agenda una hora, no necesita la fecha de nacimiento.
- ¿El tratamiento es de alto riesgo? Cuando un tratamiento pueda implicar alto riesgo para las personas, la ley exige una evaluación de impacto. Usar IA con datos de salud es un candidato claro.
- ¿El sistema toma decisiones por sí solo? Si una automatización decide algo que afecta a una persona (rechazar una solicitud, asignar un precio distinto, descartar a un postulante), ese es un punto que la nueva normativa aborda y cuyo alcance exacto conviene revisar con un abogado antes de lanzarlo. Mientras tanto, mantén siempre una revisión humana.
- ¿Informaste este uso? La política de privacidad debe reflejar que usas herramientas automatizadas y para qué.
Si estás evaluando un agente de atención, revisa también qué puede hacer y qué no un agente de WhatsApp con IA, donde explicamos las reglas propias de Meta sobre permisos y datos de pago.
¿Cuáles son las sanciones y qué régimen tienen las empresas de menor tamaño?
Según el informe de la BCN (artículo 35 de la ley), las infracciones se clasifican así:
| Tipo de infracción | Sanción máxima |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
Hay un recargo de 50% si no se implementan en 60 días las medidas propuestas por la Agencia, y en caso de reincidencia la multa puede llegar al triple. Solo para empresas que no son de menor tamaño (según la Ley 20.416), la multa puede llegar al 2% o al 4% de sus ingresos anuales, según sea grave o gravísima.
Además, existe un Registro Nacional de Sanciones y Cumplimiento, público y gratuito, y el responsable debe indemnizar los daños patrimoniales y extrapatrimoniales que cause.
Régimen transitorio para empresas de menor tamaño: según la descripción que hace el propio mensaje del Boletín 18.623-07, el artículo sexto transitorio vigente limita a las empresas de menor tamaño la facultad de la Agencia de aplicar amonestación por escrito durante los primeros 12 meses de vigencia. El mismo proyecto propone extender esa facultad a todos los obligados. Como el texto exacto de ese artículo puede tener matices, confírmalo con un abogado antes de contar con él.
Lista de chequeo práctica
Puedes avanzar en esta lista sin contratar a nadie, y llegar a una conversación con un abogado mucho mejor preparado:
- Hice un inventario de qué datos personales trato, dónde están y quién accede.
- Identifiqué cuáles son datos sensibles.
- Anoté la base legal de cada uso (consentimiento, contrato, obligación legal u otra).
- Mi sitio web publica la política de tratamiento, las finalidades, los destinatarios y las medidas de seguridad.
- Mis formularios y mi WhatsApp muestran un aviso con enlace a esa política.
- Tengo un canal publicado para que las personas ejerzan sus derechos y alguien que lo atiende.
- Sé qué proveedores, incluidos los de IA, procesan datos de mis clientes y bajo qué condiciones.
- Pido solo los datos necesarios y definí cuánto tiempo los conservo.
- Cada persona tiene su propio usuario, con verificación en dos pasos.
- Tengo respaldos y sé qué hacer y a quién reportar si hay una vulneración.
- Si trato datos sensibles o uso decisiones automatizadas, lo revisé con un abogado.
¿Y la Ley 21.663 de ciberseguridad?
Es una ley distinta y no conviene confundirlas. La Ley 21.663 aplica a prestadores de servicios esenciales y operadores de importancia vital, calificados por la Agencia Nacional de Ciberseguridad. La mayoría de las pymes no es sujeto directo, aunque pueden serlo, por ejemplo, prestadores institucionales de salud o empresas de transporte, según la calificación de esa agencia. Puedes revisar la normativa en el sitio de la ANCI.
Cómo te puede ayudar Teralis
El Diagnóstico de procesos de Teralis incluye un chequeo de cumplimiento básico: identificamos qué datos personales circulan por tu empresa, dónde quedan y qué falta para cumplir lo esencial, junto con las mejoras de procesos priorizadas. No reemplaza a un abogado, pero te deja con una lista clara de pendientes. Y cuando implementamos una solución, cada cliente trabaja en su propio entorno y base de datos, con las credenciales fuera del código. Si estás calculando el costo total de un proyecto, considera el cumplimiento como un componente más, como explicamos en cuánto cuesta implementar IA en una pyme.
Fuentes
- Biblioteca del Congreso Nacional, “Descripción y síntesis de la ley N° 21.719”, Serie Informes N° 12-25, 8 de abril de 2025. Ver informe.
- Ley 21.719, ficha en LeyChile. Ver ficha.
- Senado, mensaje presidencial del Boletín 18.623-07, 31 de agosto de 2026. Ver documento.
- Agencia Nacional de Ciberseguridad, normativa. Ver sitio.
Fuentes consultadas el 18 de octubre de 2026.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026, según la Biblioteca del Congreso Nacional. Hasta esa fecha sigue rigiendo la Ley 19.628. Existe un proyecto de postergación (Boletín 18.623-07) en tramitación; mientras no se apruebe y publique, la fecha legal sigue siendo el 1 de diciembre de 2026.
¿La Ley 21.719 aplica a las pymes?
Sí. No hay una exención general por tamaño: las obligaciones aplican a todo responsable de datos establecido en Chile. Lo que distingue a las empresas de menor tamaño es el régimen de sanciones, que no incluye las multas calculadas como porcentaje de los ingresos anuales.
¿Siempre necesito el consentimiento de mis clientes para usar sus datos?
No siempre. La ley exige consentimiento libre, informado, específico, previo, inequívoco y revocable, pero también establece bases que no requieren consentimiento, como una obligación legal o la ejecución de un contrato. Cuál aplica depende de cada uso; revisa los casos específicos con un abogado.
¿Qué tengo que publicar en mi sitio web?
La ley exige publicar de forma permanente en el sitio web la política de tratamiento de datos, las categorías de datos que tratas, los destinatarios, las finalidades y las políticas de seguridad, entre otros puntos.
¿Cuáles son las multas de la Ley 21.719?
Según la Biblioteca del Congreso Nacional, las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM, con recargos por incumplimiento de medidas y reincidencia.
¿Usar IA con datos de clientes requiere algo adicional?
Requiere saber qué proveedores procesan esos datos y bajo qué condiciones, informar ese tratamiento, pedir solo lo necesario y, cuando el tratamiento pueda implicar alto riesgo, hacer una evaluación de impacto. Si el sistema toma decisiones automatizadas que afectan a personas, consúltalo con un abogado.
