La Ley 21.719 cambia la forma en que las empresas en Chile deben tratar los datos personales. Mucho de lo que se escribe sobre ella habla de contratos, políticas de privacidad y consentimientos. Esta guía mira el otro lado: qué significa la ley dentro de tus sistemas, es decir, en tus bases de datos, tus aplicaciones, tus respaldos y tus planillas.
Aviso: esta guía es información técnica general, no asesoría legal. La interpretación de la ley para tu caso concreto corresponde a un abogado.
Qué es la Ley 21.719
La Ley 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. No es una ley aparte: modifica en profundidad la antigua Ley 19.628, sobre protección de la vida privada, que rige desde 1999.
Se publicó en el Diario Oficial el 13 de diciembre de 2024. Según su artículo primero transitorio, las modificaciones entran en vigencia “el día primero del mes vigésimo cuarto posterior a la publicación”, es decir, el 1 de diciembre de 2026.
A quién aplica
A toda persona natural o jurídica que trate datos personales, y a los órganos públicos, sin importar el tamaño. Si tu empresa guarda nombres, RUT, correos, teléfonos, direcciones, datos de salud o datos de pago de clientes, trabajadores o usuarios, la ley te aplica.
Lo que la ley pide y cómo se traduce en tus sistemas
La ley tiene muchos artículos. Aquí van los que más impacto tienen en el trabajo técnico, con su traducción práctica.
Principios: finalidad, proporcionalidad y calidad
La ley exige que los datos se traten para fines determinados, que se usen solo los necesarios para esos fines y que se mantengan exactos. En un sistema eso significa:
- Saber para qué guardas cada dato. Si un campo de la base de datos no tiene un uso claro, es candidato a desaparecer.
- No guardar “por si acaso”. Un formulario de contacto no necesita el RUT. Una app de reservas no necesita la fecha de nacimiento si no la usa.
- Definir plazos de retención. Un dato que ya cumplió su fin debe eliminarse o anonimizarse, también en los respaldos y en los ambientes de prueba.
Derechos de los titulares
Las personas pueden pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. Para responder en plazo, tus sistemas tienen que poder:
- Encontrar todos los datos de una persona. Si su correo aparece en la base de clientes, en el CRM, en una planilla compartida y en los registros del servidor, necesitas saberlo.
- Corregirlos o eliminarlos sin romper la integridad del sistema, por ejemplo cuando hay facturas o registros que sí debes conservar por otra obligación legal.
- Exportarlos en un formato estructurado si te piden portabilidad.
Si hoy responder una de estas solicitudes requiere que alguien revise a mano cinco sistemas, conviene diseñar el proceso antes de que llegue la primera.
Deber de seguridad (artículo 14 quinquies)
El responsable debe adoptar medidas técnicas y organizativas apropiadas, considerando “el estado actual de la técnica y los costos de aplicación, junto con la naturaleza, alcance, contexto y fines del tratamiento”. La ley menciona, entre otras, la seudonimización y el cifrado, la capacidad de asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restaurar el acceso a los datos tras un incidente y la verificación regular de que las medidas funcionan.
En la práctica, eso se ve así:
- Control de acceso por rol y mínimo privilegio. Cada persona y cada servicio ve solo lo que necesita.
- Autenticación de dos factores en paneles de administración, correo y nube.
- Cifrado en tránsito (HTTPS en todo) y en reposo para bases de datos y respaldos.
- Registro de actividad: quién accedió a qué y cuándo, para poder investigar un incidente.
- Respaldos probados: un respaldo cuenta cuando se ha restaurado con éxito.
- Revisiones periódicas de la configuración, de las dependencias y de los permisos.
La ley no exige una tecnología específica. Pide que las medidas sean proporcionales al riesgo, lo que obliga a conocer primero qué datos tienes y qué tan sensibles son.
Reporte de vulneraciones (artículo 14 sexies)
El responsable debe reportar a la Agencia, “por los medios más expeditos posibles y sin dilaciones indebidas”, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de datos personales, cuando exista un riesgo razonable para los derechos de los titulares. Si la vulneración afecta datos sensibles, datos de menores de 14 años o datos relativos a obligaciones económicas, también hay que comunicarla a los titulares afectados.
Para cumplir, necesitas poder detectar una vulneración (alertas, registros), dimensionarla (qué datos, de cuántas personas) y comunicarla con un procedimiento ya escrito. Sin registros de actividad, la segunda pregunta es casi imposible de responder.
Evaluación de impacto
La ley incorpora la evaluación de impacto en protección de datos para tratamientos que, por su naturaleza, alcance, contexto, tecnología o fines, puedan implicar un alto riesgo para los derechos de las personas. Si estás por lanzar un sistema que trata datos sensibles a gran escala, perfila personas o usa tecnología nueva sobre datos personales, conviene considerar esta evaluación desde el diseño y no al final.
Modelo de prevención de infracciones
La ley permite que los responsables adopten de forma voluntaria un modelo de prevención de infracciones, un programa de cumplimiento que incluye, entre otros elementos, la designación de un delegado de protección de datos. No es obligatorio, pero ordena el trabajo y puede servir para demostrar diligencia.
Por dónde partir: un plan técnico en cinco pasos
1. Inventario de datos
Haz una lista de cada sistema que trata datos personales: la base de datos de la app, el sitio web y sus formularios, el CRM, el correo, las planillas compartidas, los respaldos, los registros del servidor y los servicios de terceros (pasarela de pago, envío de correos, analítica). Para cada uno anota qué datos guarda, de quiénes, para qué, dónde se alojan y quién tiene acceso.
Este inventario es la base de todo lo demás. Sin él, no puedes responder una solicitud de acceso, dimensionar una vulneración ni decidir qué proteger primero.
2. Minimización
Con el inventario a la vista, marca los datos que no necesitas. Elimina campos de formularios, deja de copiar datos reales a ambientes de prueba y borra lo que ya cumplió su fin. Cada dato que no guardas es un dato que no se puede filtrar.
3. Retención y eliminación
Define por cuánto tiempo guardas cada tipo de dato y automatiza su eliminación o anonimización. Incluye los respaldos: si un dato se borra de la base pero vive dos años en un respaldo, sigue existiendo.
4. Controles de acceso y registro
Revisa quién tiene acceso a cada sistema, elimina cuentas compartidas y de personas que ya no trabajan contigo, activa la autenticación de dos factores y asegúrate de que los accesos a datos personales queden registrados.
5. Procedimientos
Escribe, en una página cada uno, cómo respondes una solicitud de un titular y cómo gestionas una vulneración: quién la detecta, quién decide, quién comunica y en qué plazo. Pruébalos con un ejercicio simple antes de necesitarlos.
Errores comunes
- Pensar que es solo un tema legal. Una política de privacidad bien redactada no sirve si el sistema no puede borrar los datos que la política promete borrar.
- Olvidar los proveedores. Si un tercero trata datos por ti (nube, correo, desarrollo), necesitas saber qué hace con ellos y dejarlo por escrito.
- Dejar datos reales en desarrollo. Las copias de producción en el computador de un desarrollador o en un ambiente de pruebas abierto son una fuente frecuente de filtraciones.
- Esperar a la fecha límite. El inventario y la minimización toman tiempo, y son más baratos antes de construir que después.
Preguntas frecuentes
¿La ley aplica a una pyme?
Sí. La ley aplica a quien trate datos personales, sin importar su tamaño. El tamaño sí puede influir en cómo se evalúan las medidas de seguridad, porque la ley pide que sean proporcionales al riesgo y a los costos.
¿Necesito un delegado de protección de datos?
La ley no lo exige a todas las empresas; forma parte del modelo de prevención de infracciones, que es voluntario. Aun así, conviene que alguien sea responsable de coordinar las solicitudes y los incidentes.
¿Tengo que cambiar mis sistemas o basta con documentos?
Depende de cómo estén construidos. Si hoy no puedes encontrar, corregir o eliminar los datos de una persona, o no sabes quién accede a ellos, vas a necesitar cambios técnicos además de documentos.
Cómo te podemos ayudar
En Kalfun Tech abordamos la Ley 21.719 desde lo técnico: inventario de qué datos personales tratas y dónde viven, minimización, retención y eliminación en tus sistemas, controles de acceso y registro, y un orden de trabajo según el riesgo. Si además tus clientes te piden demostrar tus controles, revisa nuestra guía para responder un cuestionario de ciberseguridad. Trabajamos junto a tu asesor legal, no en su reemplazo.
¿Quieres saber por dónde empezar en tu caso? Conversemos.