PDP Suite y la Ley 21.719: guía completa 2026 — qué es, plazos y multas.

La Ley 21.719 es la nueva Ley de Protección de Datos Personales de Chile que modifica a la antigua Ley 19.628, vigente desde 1999. Esta guía reúne, en un solo lugar, lo que cualquier empresa en Chile necesita saber antes de esa fecha: qué cambia, qué derechos tienen los titulares, qué plazos aplican, cuánto se puede pagar en multas y por dónde conviene empezar. Antes de contar con los servicios de nuestro SaaS PDP Suite, es importante hacer este repaso.

¿Qué es la Ley 21.719 y por qué es tan relevante?

Publicada en el Diario Oficial el 13 de diciembre de 2024, la Ley 21.719 moderniza íntegramente los estándares chilenos en la protección de datos personales. De esta manera se afina con los modelos internacionales del rubro, como el GDPR aplicado en Europa. El gran aporte de esta reforma implica la creación de la Agencia de Protección de Datos Personales (APDP), el cual tendrá un poder de sanción efectivo.

En otras palabras, se daría paso a un cambio tanto jurídico como cultural en torno al uso de los datos personales. Las empresas podrán tratarlos dentro de sus operaciones con sus clientes, pero bajo una base legal concreta que entrega más derechos a los titulares —por ejemplo, mediante solicitudes ARSOPB— para limitar cualquier intervención sobre su información.

Esta ley de Protección de Datos Personales se aplica a toda organización, pública o privada, sin importar su tamaño, que trate datos personales de personas en Chile. Es decir, clientes, trabajadores, proveedores, postulantes o cualquier otro contacto, sin importar el tamaño de la empresa.

¿Cuándo entra en vigor la Ley 21.719?

• 1 de diciembre de 2026: entrada en plena vigencia, incluida la facultad sancionatoria completa de la Agencia.
• La APDP ya se encuentra operativa antes de esa fecha, dictando normas técnicas y preparando su capacidad fiscalizadora.
• IMPORTANTE: Para las pequeñas empresas (según Ley 20.416): dentro de los primeros 12 meses de vigencia plena (diciembre 2026 – diciembre 2027), reciben una amonestación escrita en su primera infracción en lugar de multa.

¿Qué obligaciones concretas impone la ley de Protección de Datos Personales a las organizaciones?

• Registro de Actividades de Tratamiento (RAT): documentar qué datos se tratan, con qué finalidad, bajo qué base legal y por cuánto tiempo se conservan. Es, en la práctica, la base sobre la que se construye todo lo demás.
• Designación de unDelegado de Protección de Datos (DPO/DPD) : obligatorio cuando el tratamiento es a gran escala o involucra datos sensibles de forma habitual; recomendable en cualquier organización que quiera ordenar su cumplimiento. El Delegado de Protección de Datos es, en la práctica, quien centraliza la respuesta a las solicitudes ARSOPB de los titulares.
• Evaluaciones de Impacto en Privacidad (DPIA): exigidas para tratamientos de alto riesgo, como uso de datos sensibles, perfilamiento o monitoreo masivo.
• Notificación de brechas de seguridad: reportar a la Agencia y, si corresponde, a los titulares afectados, dentro de plazos acotados (72 horas es la referencia más citada por especialistas) desde que la organización toma conocimiento del incidente.
• Modelo de Prevención de Infracciones: de carácter voluntario, pero con un incentivo concreto — adoptarlo y certificarlo ante la Agencia opera como circunstancia atenuante frente a una eventual sanción.
• Responsabilidad proactiva (accountability): el principio que atraviesa toda la ley. No basta con cumplir; hay que poder demostrarlo con evidencia disponible, no reconstruida manualmente al momento de la fiscalización.

¿Cómo ayuda PDP Suite para el cumplimiento de la ley deProtección de Datos Personales ?

Para la mayoría de las organizaciones, el desafío radica en procesar distintas operaciones: mantener el RAT actualizado, coordinar al DPO, documentar evaluaciones de impacto y responder a una brecha dentro de las 72 horas, todo con evidencia trazable y disponible para una eventual fiscalización. PDP Suite es una SaaS que nace para resolver justamente ese problema.

• Registro de Actividades de Tratamiento vivo, no estático: en lugar de un documento que se actualiza una vez al año, esta SaaS ofrece una plataforma donde el RAT se mantiene sincronizado con los procesos reales de tratamiento de datos, reduciendo el riesgo de llegar a una fiscalización con un registro desactualizado.
• Soporte operativo al rol de DPO/DPD: centraliza la gestión y automatiza la respuesta a las solicitudes ARSOPB (acceso, rectificación, supresión, oposición, portabilidad, bloqueo), con plazos y flujos de aprobación, de modo que el DPO pueda demostrar cumplimiento con evidencia y no reconstruir procesos manualmente.
• Gestión de brechas de seguridad: flujos predefinidos para documentar, clasificar y notificar incidentes dentro de los plazos que exige la ley, con trazabilidad hacia la Agencia y, cuando corresponde, hacia los titulares afectados.
• Integración nativa con entornos SAP: dado que gran parte de los datos personales de una empresa mediana o grande en Chile vive en sistemas SAP (clientes, trabajadores, proveedores), esta SaaS se posiciona como una capa de "privacy operations" que conecta el cumplimiento normativo directamente con los sistemas donde los datos realmente se procesan, en lugar de tratarlo como un ejercicio documental aislado del área legal. Por otro lado, PDP Suite es compatible en entornos no SAP, permitiendo a organizaciones con arquitecturas mixtas o completamente ajenas a SAP, centralizando de igual manera su cumplimiento, en lugar de tratarlo como un ejercicio documental aislado del área legal.
• Apoyo al Modelo de Prevención de Infracciones: la plataforma ayuda a generar y mantener la evidencia necesaria para sustentar un Modelo de Prevención certificable ante la Agencia, lo que opera como atenuante frente a una eventual sanción.

En definitiva, PDP Suite traduce las obligaciones de la Ley 21.719 — RAT, DPO, DPIA, ARSOPB, brechas y accountability— en procesos operativos concretos de protección de datos personales, integrados con los sistemas donde ya vive el dato, en vez de sumar una capa administrativa adicional para las áreas legales y de cumplimiento.

¿Cuáles son las multas de la Ley de Protección de Datos Personales?

• Infracciones leves: hasta 5.000 UTM.
• Infracciones graves: hasta 10.000 UTM.
• Infracciones gravísimas: hasta 20.000 UTM (cifra que ronda los 1.400-1.900 millones de pesos según el valor de la UTM vigente).
• Reincidencia: la multa puede escalar significativamente, con referencias de mercado que la sitúan hasta en el 4% de los ingresos anuales de la organización en los casos más severos.

Más allá del monto, una sanción queda publicada en el Registro Nacional de Sanciones y Cumplimiento, con impacto reputacional que en varios sectores —salud, servicios financieros, comercio electrónico— puede costar más en confianza de clientes que la multa misma.

Preguntas frecuentes sobre la Ley de Protección de Datos Personales

¿A quién aplica la Ley 21.719? A cualquier organización, pública o privada, que trate datos personales de personas en Chile, sin importar su tamaño ni su sector.

¿Qué pasa si mi empresa ya cumple conlos estándaresestablecidos? La brecha de adecuación es menor. La LeyProtección de Datos Personales está fuertemente inspirada con el GDPR europeo, por lo que buena parte de las políticas, registros de tratamiento y procedimientos ya existentes pueden reutilizarse como base.

¿Es obligatorio tener un DPO? Es obligatorio en organizaciones que tratan datos a gran escala o datos sensibles de forma habitual. Fuera de esos casos, sigue siendo altamente recomendable como forma de ordenar el cumplimiento y de gestionar de forma ágil las solicitudes ARSOPB.

¿Qué es el Modelo de Prevención de Infracciones? Es un programa interno de cumplimiento, de adopción voluntaria, que puede certificarse ante la Agencia. Contar con él funciona como atenuante si la organización enfrenta una investigación o sanción.

No se trata solamente simplemente de que una organización evite una multa. En nuestro SaaS PDP Suite comprendemos que la protección de datos personales deje de existir como un trámite legal aislado y se convierta en una práctica operativa sostenible, integrada a los sistemas donde los datos estén disponibles y evidenciados en cualquier momento, no tan solo el día de una fiscalización. Esa es, en el fondo, la diferencia entre cumplir la Ley 21.719 por obligación y construir con ella una relación de confianza más sólida con clientes, trabajadores, proveedores y la Agencia.