Ley 21.719 de datos personales: qué revisar en sus sistemas antes de diciembre

La Ley 21.719, publicada en diciembre de 2024, cambia a fondo cómo las empresas chilenas deben tratar los datos personales de clientes, trabajadores y proveedores. Entra en vigencia el 1 de diciembre de 2026. Buena parte de lo que exige no se resuelve con un documento, sino en los sistemas, y ese trabajo toma tiempo.

Esta guía cubre la parte técnica. No es asesoría legal: para las bases jurídicas, las políticas y los contratos, consulte a un abogado.

Qué cambia, sin jerga

• Las personas tienen más derechos sobre sus datos: pueden pedir acceder a ellos, corregirlos, borrarlos, oponerse a ciertos usos o llevárselos a otra empresa.
• Hay una autoridad que fiscaliza. La ley crea la Agencia de Protección de Datos Personales, que puede investigar y sancionar con multas.
• Proteger los datos es un deber. La empresa tiene que tomar medidas de seguridad acordes al riesgo, y avisar cuando haya una vulneración que afecte datos personales.

El estado de la fecha

El Gobierno presentó un proyecto (boletín 18.623-07) para mover la entrada en vigencia al 1 de diciembre de 2027. A fines de octubre de 2026 sigue en primer trámite en el Senado. Mientras no se apruebe y publique, la fecha legal es el 1 de diciembre de 2026. Conviene prepararse para esa fecha y revisar el estado del proyecto en el sitio del Senado.

Lo que hay que revisar en sus sistemas

1. Qué datos personales tiene y dónde están. No solo en el ERP: también en planillas, en el correo, en grupos de WhatsApp, en respaldos antiguos y en los sistemas de sus proveedores. No se puede proteger lo que no se sabe que existe.
2. Quién accede a qué. Cuentas compartidas, ex trabajadores que aún entran, permisos que nadie revisa desde hace años. Cada persona debería ver solo lo que necesita para su trabajo, con verificación en dos pasos en lo importante.
3. Cómo se protegen. Respaldos que existen y se pueden restaurar, equipos y servidores actualizados, información sensible cifrada y nada expuesto a internet sin necesidad.
4. Qué hacen sus proveedores con los datos. El software en la nube, el contador externo, la empresa de despacho o la herramienta de IA que usa su equipo tratan datos por cuenta suya. Revise qué datos reciben, dónde los guardan y qué dicen los contratos.
5. Qué hacer si se filtran. Quién decide, a quién se avisa, cómo se documenta y cómo se corta la filtración. Escrito antes, no improvisado durante.
6. Cómo responder cuando una persona pide sus datos. Si un cliente pide ver, corregir o borrar su información, ¿pueden encontrarla en todos los sistemas donde está?
7. Qué se está pegando en asistentes de IA. Si su equipo copia datos de clientes o trabajadores en herramientas de IA, eso también es tratamiento de datos. Defina qué se puede y qué no.

Por dónde empezar si queda poco tiempo

Si solo alcanza para tres cosas, que sean estas:

• El inventario (punto 1): todo lo demás depende de él.
• Los accesos (punto 2): es lo más rápido de corregir y cierra los riesgos más grandes.
• Los respaldos y el plan ante filtraciones (puntos 3 y 5): son los que deciden si un incidente es un mal día o una crisis.

La parte técnica, con método

Revisar accesos, redes, respaldos y proveedores es lo que hacemos desde 2003 en seguridad informática para empresas: lo dejamos en un plan priorizado, con costos, para decidir con información. Si además usa o piensa usar IA, lea cómo empezar a usar inteligencia artificial en su empresa sin exponer datos.