Ley 21.719: cuándo entra en vigencia y qué debes hacer

Tienes una planilla con los correos y los teléfonos de tus clientes. Probablemente también sus RUT, las direcciones de despacho, el historial de lo que compraron y una carpeta con los currículums de la última vez que contrataste.

El 1 de diciembre de 2026 esa planilla deja de ser un archivo interno y pasa a ser algo de lo que tienes que responder ante un organismo del Estado.

No es una ley para empresas grandes. No hay mínimo de trabajadores ni de ventas: si tienes datos de personas, te aplica.

Qué cambia de verdad

La ley que rige hoy los datos personales en Chile es de 1999. Se escribió antes de WhatsApp, antes del comercio electrónico, antes de que cualquier pyme tuviera un CRM. Y tenía un problema mayor: nadie estaba a cargo de hacerla cumplir. Si una empresa hacía cualquier cosa con tus datos, el único camino era ir a tribunales por tu cuenta.

La Ley 21.719 cambia las dos cosas. Actualiza las reglas y crea la Agencia de Protección de Datos Personales, un organismo que fiscaliza, recibe reclamos y aplica multas.

Ese es el cambio real. No es que antes se pudiera hacer cualquier cosa; es que ahora hay quien mire.

La fecha, y por qué escuchaste que se postergaba

La ley se publicó en diciembre de 2024 con dos años de plazo para prepararse. Ese plazo vence el 1 de diciembre de 2026.

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto para correr la fecha al 1 de diciembre de 2027. El motivo es práctico: la Agencia que debía estar funcionando a mediados de este año todavía no se instala, y sin Agencia no hay quien dicte los reglamentos que faltan ni responda las dudas que la propia ley deja abiertas.

El proyecto va con suma urgencia, pero a la fecha de este artículo sigue en el Senado, sin votarse.

Qué significa eso para ti

• Mientras no se apruebe y se publique, la fecha vigente es el 1 de diciembre de 2026.
• Si se aprueba, ganas doce meses. No desaparece ninguna obligación: las reglas son las mismas, corridas un año.
• Planificar dando por hecha la postergación es apostar a algo que todavía no ocurre.

Las cinco cosas que te van a pedir

1. Saber qué datos tienes y para qué

Parece obvio y casi nadie lo tiene. Los datos de una pyme suelen estar repartidos entre la planilla del vendedor, el correo, el sistema de boletas, el formulario de la web, el WhatsApp del negocio y un par de carpetas en Drive.

El primer ejercicio es hacer esa lista: dónde están, quién los puede ver y por qué los tienes.

Ojo con una categoría especial. La ley trata como datos sensibles los de salud, los biométricos —huella, cara— y, algo muy chileno, la situación socioeconómica. Si evalúas a un cliente antes de darle crédito o revisas su historial comercial, estás tratando datos sensibles, con reglas más estrictas.

2. Tener una razón válida para tenerlos

Ya no basta con que el dato haya llegado a tus manos. Necesitas una base legal: que la persona te haya autorizado, que los datos sean necesarios para un contrato que tienes con ella, o alguna de las otras causales que la ley reconoce.

El permiso tiene que ser claro y específico. Una casilla premarcada no sirve. El silencio no sirve. «Me dieron la tarjeta en una feria» tampoco sirve para inscribir a alguien en tu lista de correos.

3. Poder responder cuando el cliente pregunta

Cualquier persona va a poder pedirte que le muestres qué datos suyos tienes, que los corrijas, que los borres, que dejes de usarlos para publicidad o que se los entregues para llevárselos a otro proveedor.

Tienes 30 días corridos para responder, prorrogables una sola vez por otros 30 si avisas antes de que se cumpla el primer plazo. Y si además te piden bloquear los datos mientras se resuelve, el plazo baja a dos días hábiles.

Si no contestas, la persona puede reclamar directamente ante la Agencia. El silencio no es una salida.

4. Cuidarlos, y avisar si se filtran

La ley exige medidas de seguridad proporcionales a lo que manejas. Para la mayoría de las pymes eso es bastante terrenal: contraseñas que no se comparten por WhatsApp, cuentas que se cierran cuando alguien deja la empresa, respaldos, y no tener la base de clientes completa en el computador personal de alguien.

Si igual ocurre una filtración, hay que avisar sin demora a la Agencia y, cuando el riesgo es alto o hay datos sensibles de por medio, también a las personas afectadas.

5. Responder por tus proveedores

Este es el que más sorprende. Si le pasas tu base de clientes a una agencia, a la plataforma de correos masivos, al contador o al que te hizo el sistema, esos datos siguen siendo tu responsabilidad.

Lo que corresponde es dejarlo por escrito: qué pueden hacer con esos datos, qué no, y qué pasa con ellos cuando la relación termina.

Cuánto cuesta equivocarse

Las multas se cuentan en UTM y suben según la gravedad: hasta 5.000 UTM las infracciones leves, hasta 10.000 las graves y hasta 20.000 las gravísimas. Con la UTM de septiembre de 2026 —$71.721— la más baja de esas tres ya llega a unos 358 millones de pesos.

Hay un matiz importante para las empresas chicas: durante el primer año de vigencia, las empresas de menor tamaño pueden recibir una amonestación por escrito en lugar de una multa. Es un respiro, no un permiso. La amonestación queda registrada y las obligaciones son exactamente las mismas que para una empresa grande.

Qué hacer esta semana

Una hora, sin abogados, para saber en qué pie estás:

• Haz la lista. Todos los lugares donde tu empresa guarda datos de personas: planillas, CRM, correo, formularios de la web, WhatsApp, carpetas compartidas.
• Revisa tus formularios. ¿Dicen para qué vas a usar el dato? ¿Hay una casilla que la persona tiene que marcar, y no viene marcada de antes?
• Mira tu lista de correos. ¿De dónde salió cada contacto? La parte que no sabes explicar es tu problema real.
• Define quién contesta. Si mañana llega un correo pidiendo «bórrenme de sus registros», ¿a quién le cae y qué hace? Que esté escrito, aunque sea en un párrafo.
• Anota a tus proveedores. Quién más tiene acceso a esos datos y con qué contrato.

Si esa hora te deja incómodo, es información valiosa. Es mejor descubrirlo ahora que cuando llegue un reclamo.

La regla de fondo

Es fácil leer esto como un trámite más, otra carga para el que ya está corriendo. Pero el fondo de la ley es bastante razonable: los datos de una persona son de esa persona, y quien los usa para vender tiene que poder explicar cómo llegaron ahí.

La mayoría de las empresas que van a tener problemas no son las que hacen algo turbio. Son las que nunca se preguntaron de dónde salió su base de datos.

Y hay algo que la ley no obliga pero el mercado sí está premiando: la empresa que le escribe solo a quien quiere que le escriban vende más, le rebotan menos correos y no gasta energía persiguiendo a gente que nunca pidió nada. Ordenar los datos, en la práctica, es ordenar la venta.