Ley 21.719 — contexto legal para PDP Suite
Revisado el 1 de agosto de 2026
Sección titulada «Revisado el 1 de agosto de 2026»La Ley 21.719 modifica la Ley 19.628, regula la protección y el tratamiento de datos personales y crea la Agencia de Protección de Datos Personales. Fue publicada el 13 de diciembre de 2024 y sus modificaciones entran en vigencia el 1 de diciembre de 2026.
| Dato | Valor |
|---|---|
| Norma | Ley 21.719 |
| Publicación | 13 de diciembre de 2024 |
| Entrada en vigencia | 1 de diciembre de 2026 |
| Ley modificada | Ley 19.628 sobre protección de datos personales |
| Autoridad creada por la ley | Agencia de Protección de Datos Personales |
1. Principios del tratamiento
Sección titulada «1. Principios del tratamiento»El artículo 3 establece los principios que rigen el tratamiento de datos personales. Para la operación de PDP Suite son especialmente relevantes:
- Licitud y lealtad, artículo 3, letra a): el responsable debe poder acreditar la licitud del tratamiento.
- Finalidad, letra b): los datos deben recolectarse para fines específicos, explícitos y lícitos.
- Proporcionalidad, letra c): deben tratarse solo los datos necesarios, adecuados y pertinentes, y conservarse únicamente durante el período necesario.
- Responsabilidad, letra e): quienes tratan datos son legalmente responsables del cumplimiento de los principios, obligaciones y deberes de la ley.
- Seguridad, letra f): las medidas de seguridad deben ser apropiadas al tratamiento, la naturaleza de los datos y sus riesgos.
- Transparencia e información, letra g): la información necesaria para ejercer derechos debe ser accesible, clara y gratuita.
PDP Suite aporta trazabilidad, control de versiones y evidencia operativa. Esas capacidades ayudan a organizar el cumplimiento, pero usar la plataforma no acredita por sí solo que un tratamiento sea lícito.
2. Fuentes de licitud
Sección titulada «2. Fuentes de licitud»El consentimiento es la regla general del artículo 12. El artículo 13 contempla otras fuentes que permiten tratar datos sin consentimiento:
| Fuente de licitud | Artículo | Alcance resumido |
|---|---|---|
| Consentimiento | Art. 12 | Manifestación libre, informada, específica, previa e inequívoca. Puede revocarse. |
| Obligaciones económicas, financieras, bancarias o comerciales | Art. 13, letra a) | Solo en conformidad con las reglas especiales del Título III. |
| Obligación legal | Art. 13, letra b) | Cuando el tratamiento es necesario para cumplir una obligación legal o la ley lo dispone. |
| Contrato o medidas precontractuales | Art. 13, letra c) | Cuando es necesario para celebrar o ejecutar un contrato o adoptar medidas solicitadas por el titular. |
| Interés legítimo | Art. 13, letra d) | Cuando es necesario para un interés legítimo y no se afectan los derechos y libertades del titular. |
| Formulación, ejercicio o defensa de derechos | Art. 13, letra e) | Ante tribunales de justicia u órganos públicos. |
El tratamiento de datos sensibles está sujeto a las reglas reforzadas de los artículos 16 y siguientes. La selección de una fuente de licitud debe revisarse según el contexto concreto del tratamiento.
3. Consentimiento y revocación
Sección titulada «3. Consentimiento y revocación»El artículo 12 exige que el consentimiento sea libre, informado, específico, previo e inequívoco. El responsable debe poder probar que lo obtuvo y que el tratamiento fue lícito, leal y transparente.
El titular puede revocarlo en cualquier momento, sin expresión de causa y mediante medios similares o equivalentes a los usados para otorgarlo. La revocación no tiene efecto retroactivo.
PDP Suite registra la aceptación o revocación con la versión del documento, fecha, hora y estado. Si cambia un aviso o una finalidad, corresponde evaluar si debe publicarse una nueva versión y si es necesario recabar nuevamente el consentimiento; no todo cambio documental produce automáticamente esa obligación.
4. Derechos de los titulares
Sección titulada «4. Derechos de los titulares»La ley reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
| Derecho | Artículo | Síntesis |
|---|---|---|
| Acceso | Art. 5 | Conocer si se tratan datos, acceder a ellos y obtener la información prevista por la ley. |
| Rectificación | Art. 6 | Corregir o completar datos inexactos, desactualizados o incompletos. |
| Supresión | Art. 7 | Solicitar la eliminación cuando concurra una causal legal. |
| Oposición | Art. 8 | Oponerse en los casos previstos por la ley. |
| Bloqueo | Art. 8 ter | Solicitar la suspensión temporal del tratamiento en las hipótesis legales. |
| Portabilidad | Art. 9 | Recibir y, cuando sea técnicamente posible, transmitir datos en formato estructurado. |
El procedimiento del artículo 11 fija, entre otras reglas:
- respuesta del responsable dentro de 30 días corridos, prorrogable una vez por hasta otros 30 días corridos;
- respuesta al bloqueo temporal fundado dentro de 2 días hábiles;
- gratuidad de rectificación, supresión y oposición;
- acceso gratuito, al menos, una vez por trimestre.
Consulta el flujo en Derechos ARSO y la operación en Solicitudes ARSO.
5. Obligaciones del responsable
Sección titulada «5. Obligaciones del responsable»Los artículos 14 a 14 sexies regulan, entre otras materias:
| Obligación | Artículo |
|---|---|
| Informar y poner a disposición antecedentes que acrediten la licitud | Art. 14, letra a) |
| Secreto o confidencialidad | Art. 14 bis |
| Información y transparencia | Art. 14 ter |
| Protección desde el diseño y por defecto | Art. 14 quáter |
| Medidas de seguridad | Art. 14 quinquies |
| Reporte de vulneraciones de seguridad | Art. 14 sexies |
Los módulos de PDP Suite sirven para organizar información y evidencia relacionada con estas obligaciones. La configuración debe ajustarse a la realidad de cada responsable y a los estándares diferenciados que correspondan.
6. RAT como mecanismo de evidencia
Sección titulada «6. RAT como mecanismo de evidencia»La ley no utiliza expresamente el nombre Registro de Actividades de Tratamiento (RAT) ni ordena un registro con ese título. PDP Suite usa el RAT como mecanismo de inventario y evidencia para apoyar, entre otras, las obligaciones de acreditar la licitud, informar sobre los tratamientos y evaluar sus riesgos.
Esta relación es una inferencia operativa a partir de los artículos 3, letras a) y e), 14, letra a), 14 ter y 15 ter. El historial del RAT debe entenderse como trazabilidad de la plataforma, no como una certificación automática de cumplimiento.
Consulta Módulo RAT.
7. Tratamiento encargado a terceros
Sección titulada «7. Tratamiento encargado a terceros»El artículo 15 bis dispone que el tratamiento realizado por un tercero mandatario o encargado se rija por un contrato. Este debe establecer, entre otros elementos, el objeto, duración y finalidad del encargo, los tipos de datos, las categorías de titulares y los derechos y obligaciones de las partes.
PDP Suite utiliza el estado “Firmado vigente” para representar el estado esperado en su flujo de Gestión de Terceros. Es una etiqueta del producto; determinar si una situación concreta constituye infracción requiere revisar el contrato, el tratamiento efectivo y las normas aplicables.
8. Evaluación de impacto
Sección titulada «8. Evaluación de impacto»El artículo 15 ter exige una evaluación de impacto antes de iniciar operaciones cuando sea probable que el tratamiento produzca un alto riesgo para los derechos de los titulares. La evaluación se requiere siempre en las hipótesis que enumera la ley, incluidas ciertas decisiones automatizadas, tratamientos masivos, monitoreo sistemático de zonas públicas y determinados tratamientos de datos sensibles.
La ficha o asociación implementada en PDP Suite ayuda a documentar este análisis; no sustituye la evaluación sustantiva.
9. Conservación, transferencias y cookies
Sección titulada «9. Conservación, transferencias y cookies»- Conservación: el artículo 3, letra c), limita la conservación al período necesario para la finalidad. Luego corresponde suprimir o anonimizar, salvo excepción legal.
- Transferencias internacionales: los artículos 27 a 29 contemplan decisiones de adecuación, garantías adecuadas y supuestos específicos. El análisis depende del destino, instrumento jurídico y condiciones de la transferencia.
- Cookies: la Ley 21.719 no establece una regla autónoma para toda cookie. Cuando una cookie implica tratamiento de datos personales, debe identificarse una fuente de licitud y cumplirse los deberes aplicables. Si se utiliza consentimiento, este debe satisfacer el artículo 12.
La cadena cookie → consentimiento → aviso o política → propósito → RAT es un modelo de trazabilidad de PDP Suite, no una estructura impuesta literalmente por la ley.
10. Infracciones y sanciones
Sección titulada «10. Infracciones y sanciones»El artículo 35 establece los siguientes máximos:
| Clasificación | Sanción máxima general |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
En casos de reincidencia se aplican reglas especiales. Para ciertas empresas que reincidan en infracciones graves o gravísimas, la multa puede alcanzar el monto más gravoso entre el régimen general agravado y hasta el 2 % o 4 % de los ingresos anuales, respectivamente.
No se incluyen equivalencias en pesos porque el valor de la UTM cambia mensualmente. La clasificación y sanción aplicable a un caso concreto corresponde determinarla conforme a los artículos 34 bis a 37.