La Ley 21.719 representa uno de los cambios más importantes en materia de protección de datos personales en Chile. Su entrada en vigencia está establecida para el 1 de diciembre de 2026, por lo que las empresas que recopilan, almacenan, utilizan o procesan información de personas deben revisar desde ahora cómo administran y protegen esos datos.
La nueva normativa modifica sustancialmente la Ley 19.628 y establece un marco más exigente para el tratamiento de información personal. También crea la Agencia de Protección de Datos Personales, incorpora nuevos derechos para los titulares y fortalece las responsabilidades de quienes realizan tratamiento de datos.
Para las empresas chilenas, este cambio no debería analizarse exclusivamente desde una perspectiva legal. La ciberseguridad, la administración de accesos, el almacenamiento de información, la gestión de incidentes y la protección de sistemas pasan a tener una relación directa con la capacidad de una organización para demostrar que protege adecuadamente los datos que administra.
Por eso, prepararse para la Ley 21.719 implica conectar cumplimiento, procesos internos y seguridad tecnológica.
¿Qué es la Ley 21.719?
La Ley 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales.
Fue publicada el 13 de diciembre de 2024 y su entrada en vigencia está prevista para el 1 de diciembre de 2026.
Su objetivo es establecer las condiciones bajo las cuales puede efectuarse el tratamiento de datos personales, protegiendo los derechos y libertades de las personas.
Esto tiene consecuencias importantes para las organizaciones porque el concepto de tratamiento abarca mucho más que almacenar una base de datos.
Dentro de una empresa pueden existir datos personales en sistemas de clientes, CRM, plataformas de recursos humanos, correos electrónicos, formularios web, servicios cloud, aplicaciones, respaldos, herramientas comerciales y numerosos repositorios internos.
Por lo tanto, una primera pregunta para cualquier organización debería ser:
¿Sabemos realmente qué datos personales tenemos, dónde están almacenados, para qué los utilizamos y quién puede acceder a ellos?
Responder correctamente esa pregunta será fundamental para avanzar hacia un modelo adecuado de cumplimiento.
Nuevos principios para el tratamiento de datos personales
La nueva regulación establece principios que deben orientar el tratamiento de información.
Entre ellos se encuentran proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información y confidencialidad. La normativa establece además que quienes realizan tratamiento son legalmente responsables del cumplimiento de sus obligaciones.
Desde una perspectiva empresarial, esto significa que ya no resulta suficiente disponer de una política de privacidad publicada en un sitio web.
La organización necesita revisar el ciclo completo de la información.
Debe conocer qué recopila, por qué lo recopila, cuánto tiempo lo conserva, quién tiene acceso, con quién lo comparte y qué mecanismos utiliza para protegerlo.
Los titulares tendrán mayores derechos sobre sus datos
Uno de los cambios relevantes de la Ley 21.719 en Chile es el fortalecimiento de los derechos de las personas.
La normativa reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de los datos personales.
Esto obliga a las empresas a pensar en algo muy concreto: deben existir procesos capaces de responder cuando una persona ejerce uno de estos derechos.
Por ejemplo, si un cliente solicita conocer qué información mantiene una organización sobre él, la empresa necesita identificar esos datos.
Si solicita una rectificación, debe existir un mecanismo para modificar información incorrecta.
Y si corresponde una solicitud de supresión, la organización debe poder determinar dónde se encuentra la información y gestionar adecuadamente su eliminación.
La ley establece además que los responsables deben disponer de mecanismos y herramientas tecnológicas que permitan ejercer estos derechos de forma expedita, ágil y eficaz.
Seguridad de los datos: uno de los puntos críticos para las empresas
Aquí existe una conexión especialmente importante entre la nueva normativa y la ciberseguridad empresarial.
La Ley 21.719 incorpora expresamente un principio de seguridad. El responsable debe garantizar estándares adecuados para proteger los datos frente a tratamiento no autorizado o ilícito, pérdida, filtración, daño accidental o destrucción.
Además, el artículo 14 quinquies establece el deber de adoptar medidas de seguridad considerando factores como el estado de la técnica, naturaleza del tratamiento, contexto y riesgos.
Las medidas deben contribuir a garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas que procesan datos.
Esto transforma la protección de datos en un desafío que involucra directamente a las áreas de tecnología y ciberseguridad.
Una organización debería revisar, entre otros aspectos, su gestión de identidades, privilegios de acceso, protección de endpoints, monitoreo, cifrado, respaldos, políticas de seguridad y capacidad para detectar incidentes.
Protección de datos desde el diseño y por defecto
Otro concepto relevante es la protección desde el diseño y por defecto.
La ley establece que los responsables deben implementar medidas técnicas y organizativas adecuadas desde el diseño y durante el tratamiento de datos personales. Además, por defecto deberían tratarse únicamente los datos específicos y estrictamente necesarios para la actividad correspondiente.
Esto cambia la lógica tradicional.
La privacidad y la seguridad no deberían agregarse después de desarrollar una plataforma, aplicación o proceso. Deben considerarse desde el comienzo.
Si una empresa desarrolla un nuevo portal para clientes, por ejemplo, debería preguntarse desde su diseño qué información realmente necesita solicitar, quién podrá acceder a ella, durante cuánto tiempo será conservada y qué controles protegerán esos datos.
¿Qué deberían revisar las empresas durante 2026?
Prepararse correctamente requiere comenzar por un diagnóstico.
Una organización debería identificar las bases de datos y repositorios donde existe información personal y determinar qué tipo de información contiene cada uno.
Después debe analizar quién tiene acceso.
En muchas empresas existen permisos históricos que nunca fueron eliminados cuando una persona cambió de cargo o responsabilidad. Una estrategia moderna de IAM e IGA puede ayudar a gestionar identidades, permisos y gobernanza de accesos.
También resulta recomendable evaluar qué datos se encuentran en servicios cloud. Las organizaciones actuales pueden mantener información distribuida entre infraestructura propia, Microsoft 365, servicios SaaS, aplicaciones corporativas y diferentes proveedores.
Tecnologías como Data Security Posture Management (DSPM) pueden aportar visibilidad sobre dónde se encuentran los datos sensibles y cuál es su nivel de exposición.
Otro elemento fundamental es revisar las políticas de retención. La ley establece como principio que los datos deben conservarse solamente durante el tiempo necesario para cumplir con los fines del tratamiento, salvo las excepciones correspondientes.
Ciberseguridad y cumplimiento deben trabajar juntos
Un error sería considerar la Ley 21.719 exclusivamente como una responsabilidad del área legal.
El cumplimiento necesita coordinación entre distintas áreas de la organización.
Legal puede determinar las obligaciones normativas. Tecnología administra los sistemas. Ciberseguridad protege la infraestructura. Recursos Humanos maneja información de colaboradores. Marketing administra datos de prospectos y clientes.
Por esta razón, una estrategia efectiva requiere una visión transversal.
La empresa necesita saber qué información posee y establecer controles que permitan protegerla durante todo su ciclo de vida.
¿Qué tecnologías pueden ayudar a fortalecer la protección de datos?
No existe una única herramienta capaz de resolver todas las obligaciones de protección de datos.
La estrategia puede requerir diferentes tecnologías dependiendo de la infraestructura y riesgos de cada empresa.
Un sistema DLP (Data Loss Prevention) puede ayudar a controlar posibles fugas de información.
DSPM permite descubrir y evaluar datos sensibles distribuidos en diferentes repositorios.
IAM e IGA permiten controlar identidades, permisos y privilegios.
MFA añade protección frente al compromiso de credenciales.
Las soluciones EDR/XDR ayudan a detectar comportamientos maliciosos en endpoints y diferentes capas del entorno tecnológico.
Un SIEM y un SOC pueden entregar mayor capacidad de monitoreo y detección de incidentes.
La decisión sobre qué implementar debe surgir de una evaluación de riesgos y no de una lista genérica de herramientas.
Ley 21.719 y oportunidad para fortalecer la empresa
La entrada en vigencia de una nueva regulación suele interpretarse únicamente como una obligación.
Sin embargo, también representa una oportunidad para mejorar procesos que muchas organizaciones han postergado.
Conocer los datos disponibles, eliminar accesos innecesarios, actualizar políticas, mejorar la gestión de identidades y monitorear eventos de seguridad fortalece simultáneamente el cumplimiento y la postura de ciberseguridad.
Una organización que conoce y protege correctamente su información también se encuentra mejor preparada para enfrentar filtraciones, ransomware, compromiso de cuentas y amenazas internas.
Conclusión: diciembre de 2026 no debería ser el punto de partida
La Ley 21.719 de Protección de Datos Personales en Chile entra en vigencia el 1 de diciembre de 2026. Esperar hasta esa fecha para comenzar el proceso de adecuación puede dificultar una implementación ordenada.
El primer paso debería ser conocer el estado actual de la organización: qué información administra, dónde está, quién accede a ella y cuáles son los principales riesgos.
A partir de ese diagnóstico pueden definirse medidas técnicas, organizativas y de seguridad acordes con las necesidades de cada empresa.
CTA: En Infocorp ayudamos a las organizaciones a evaluar su postura de ciberseguridad y protección de información. Si tu empresa necesita prepararse tecnológicamente para el nuevo escenario de protección de datos en Chile, solicita una evaluación para identificar brechas, riesgos y oportunidades de mejora.
Interlinking sugerido: enlazar este artículo hacia contenidos de DSPM, DLP, IAM/IGA, Zero Trust, auditoría de ciberseguridad y seguridad de datos personales.
