La protección de datos personales en Chile entra en una nueva etapa. La Ley 21.719, publicada el 13 de diciembre de 2024, tiene vigencia diferida al 1 de diciembre de 2026 y modifica de manera profunda el marco de la Ley 19.628. El cambio no consiste solamente en agregar una política de privacidad al sitio web: exige que las organizaciones conozcan sus tratamientos, definan responsabilidades, gestionen riesgos y puedan demostrar cómo cumplen.
Este artículo resume qué debería entender un equipo directivo y por dónde comenzar.
Una precisión importante: reforma y texto consolidado
La Ley 21.719 debe leerse como una reforma normativa, no como un texto aislado. Su artículo primero modifica de manera extensa la Ley 19.628 —que pasa a denominarse sobre Protección de los Datos Personales—; además, sus artículos segundo y tercero introducen ajustes en las leyes 20.285 y 19.496.
Por eso, la referencia práctica para las obligaciones sustantivas que comenzarán a regir el 1 de diciembre de 2026 es el texto actualizado de la Ley 19.628 en Ley Chile, leído junto con la Ley 21.719 y las demás normas aplicables. En simple: la Ley 21.719 identifica la reforma, mientras que el texto actualizado de la Ley 19.628 ordena las reglas principales que se aplicarán desde esa fecha. Hasta el 30 de noviembre de 2026, debe revisarse cuál es la versión vigente para el caso concreto.
Ley 21.719: de una obligación documental a un sistema de gestión
El material de la Academia Judicial describe la reforma como un cambio estructural en la relación entre personas, información y poder. La idea es relevante para cualquier empresa: los datos personales ya no se miran como un archivo pasivo, sino como información que circula por formularios, CRM, ERP, correo, WhatsApp, plataformas de marketing, servicios cloud, proveedores y automatizaciones.
Por eso, el primer desafío no es redactar documentos. Es responder preguntas operacionales:
- ¿Qué datos personales tenemos?
- ¿De dónde provienen?
- ¿Para qué los usamos?
- ¿Qué áreas y proveedores acceden?
- ¿Cuánto tiempo los conservamos?
- ¿Qué ocurre si una persona pide corregirlos o eliminarlos?
- ¿Cómo reaccionamos ante una filtración?
Si la organización no puede contestar, todavía no tiene visibilidad suficiente para gestionar el riesgo.
Las principales novedades que debe considerar la dirección
La ley refuerza los derechos de las personas, incluyendo acceso, rectificación, supresión, oposición, portabilidad y bloqueo. También crea una Agencia de Protección de Datos Personales con funciones de fiscalización, orientación y sanción.
Además, el sistema incorpora obligaciones que impactan directamente en la operación:
- Definir finalidades específicas y lícitas para cada tratamiento.
- Recoger sólo los datos necesarios y pertinentes.
- Mantener la información exacta, completa y actualizada.
- Proteger los datos con medidas de seguridad adecuadas al riesgo.
- Entregar información clara y permanentemente accesible.
- Controlar a proveedores y encargados que tratan datos por cuenta de la empresa.
- Preparar procedimientos para solicitudes de titulares e incidentes.
- Conservar evidencia de las decisiones y controles aplicados.
El enfoque es proporcional. No todas las empresas tendrán el mismo nivel de complejidad, pero todas necesitarán entender qué hacen con los datos y por qué.
¿Qué áreas quedan involucradas?
Aunque la responsabilidad formal recaiga en la organización, la adecuación atraviesa varias áreas. Marketing debe revisar formularios, campañas, audiencias, fuentes de leads y automatizaciones. Ventas debe conocer el origen y el uso de los contactos en el CRM. TI debe revisar accesos, respaldos, integraciones y proveedores cloud. RR.HH. debe considerar trabajadores, postulantes y exempleados. Compras y administración deben identificar contratos y subcontrataciones.
El error habitual es delegar el tema exclusivamente a TI o a un abogado. La protección de datos requiere criterio jurídico, pero también conocimiento de procesos, sistemas y decisiones comerciales.
Cómo comenzar sin paralizar la empresa
Una ruta razonable puede dividirse en cuatro pasos:
- Descubrimiento: identificar áreas, sistemas, bases y prioridades.
- Mapa de datos: documentar tratamientos, flujos, finalidades, accesos y terceros.
- Análisis de brechas: comparar la situación actual con las exigencias y priorizar riesgos.
- Plan de adecuación: definir acciones, responsables, dependencias, plazos y evidencias.
Desde ahí, la empresa puede implementar procedimientos, ajustar formularios, ordenar contratos, revisar automatizaciones, capacitar equipos y establecer seguimiento. Este enfoque coincide con la lógica del Método PDP 360° que Marketing Integral presenta para conectar derecho, gestión, procesos, tecnología y datos.
Conclusión: prepararse es ordenar la operación
La Ley 21.719 no debe abordarse como una tarea de última hora ni como un proyecto aislado de cumplimiento. Es una oportunidad para entender mejor el activo informacional de la empresa, reducir riesgos y ordenar procesos que hoy suelen estar fragmentados.
El primer paso es conocer la brecha real. Solicita un diagnóstico de preparación para construir una hoja de ruta priorizada antes del 1 de diciembre de 2026.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
