Chile: Ley 21.719 y datos personales

Resumen ejecutivo

La Ley chilena N.º 21.719 entra en vigor el 1 de diciembre de 2026 y establece un cambio estructural en la protección de datos personales en Chile, con impacto directo sobre organizaciones públicas y privadas que tratan información de personas ubicadas en el país, incluidas empresas extranjeras que operan desde Brasil. El material reunido muestra que la norma reemplaza de hecho el esquema anterior de la Ley N.º 19.628, crea una autoridad especializada con facultades de fiscalización y sanción, y fija un periodo de transición de dos años para adecuación operativa.

La reforma no se limita a elevar penas. También redefine la base de cumplimiento. El research consolida ocho principios de tratamiento, amplía el catálogo de derechos de titulares a la familia ARSOPB, incorpora oposición a decisiones automatizadas, impone trazabilidad de cómo se tratan los datos y exige que las organizaciones puedan demostrar el circuito completo de recolección, uso, almacenamiento y compartición. Para sectores con alto volumen de datos, como finanzas, salud, SaaS y comercio electrónico, el salto regulatorio es material.

En materia sancionatoria, las fuentes coinciden en un esquema escalonado de infracciones leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM. Varios análisis agregan que la reincidencia en infracciones graves o gravísimas puede llevar el techo al triple de la base, con referencias a un máximo práctico de 60.000 UTM o, para ciertas compañías no consideradas de menor tamaño, a multas equivalentes al 2% o 4% de sus ingresos anuales. El expediente también incorpora la posibilidad de suspensión del tratamiento en determinados supuestos y plazos diferenciados de prescripción de 3, 4 y 5 años.

La dimensión técnica más sensible aparece en brechas de seguridad, perfilamiento y decisiones automatizadas. La ley impone notificación a la Agencia de Protección de Datos Personales dentro de 72 horas desde que el responsable toma conocimiento del incidente, y eventualmente aviso a titulares cuando el riesgo sea elevado. Además, varias fuentes remarcan que ciertos tratamientos de alto riesgo deberán someterse a evaluaciones de impacto y controles adicionales, en un entorno que los análisis comparan con la regulación europea, aunque con diferencias relevantes en transferencias internacionales.

No hay indicios de explotación, malware, infraestructura atacante ni IOCs publicados en el material. El valor de esta investigación es regulatorio y operativo. El punto de cierre no es una campaña ofensiva, sino una cuenta regresiva normativa que ya corre para cualquier organización que procese datos personales de residentes chilenos, incluidos proveedores transfronterizos en Brasil.

Contexto y antecedentes

La Ley N.º 21.719 aparece en el material como la reforma más profunda del régimen chileno de protección de datos personales en décadas. Diversos análisis indican que reemplaza y moderniza la Ley N.º 19.628, vigente desde 1999, a la que se atribuye haber carecido de un ente fiscalizador propio y de sanciones efectivas. Tecnom.ai describe esas sanciones previas como prácticamente simbólicas, un diagnóstico que varios autores usan para explicar por qué la reforma se leyó como un punto de quiebre institucional.

El proceso legislativo tampoco fue corto. ESG Hoy señala que el proyecto comenzó en 2017, fue publicado en el Diario Oficial el 13 de diciembre de 2024 y dejó un periodo de implementación de dos años antes de la entrada en vigencia. Exige tu Seguro y otros medios coinciden en que el artículo primero transitorio fija el 1 de diciembre de 2026 como fecha de aplicación plena, con transición para empresas y organismos públicos. En paralelo, la AGPD pidió cautela frente a cualquier postergación y recordó públicamente que, hasta agosto de 2026, la vigencia seguía anclada en esa fecha.

El antecedente inmediato es una arquitectura jurídica que cambia el centro de gravedad. Antes, la discusión sobre datos personales descansaba más en litigios puntuales y en un control fragmentario. Ahora, la nueva agencia queda habilitada para fiscalizar de oficio, investigar denuncias y sancionar directamente. La Universidad Central de Chile y Actualidad Jurídica destacan ese giro cultural como un traslado desde un modelo reactivo hacia uno de responsabilidad activa por parte de quienes tratan datos.

El material también ubica a la ley en una conversación regional más amplia. Varios textos la presentan como convergente con estándares tipo GDPR, en particular por derechos de titulares, evaluaciones de impacto, brechas y control institucional. A la vez, otros insisten en que la norma chilena no copia sin más el modelo europeo, especialmente en transferencias internacionales, donde mantiene una lógica de estándares similares o superiores, distinta del test de equivalencia esencial del GDPR.

Tabla de hechos clave

Timeline de la operación

Cadena de ataque y TTPs

Esta investigación no describe una intrusión técnica, una campaña de phishing ni una explotación de software. El material se concentra en la arquitectura regulatoria de la Ley N.º 21.719 y en su impacto de cumplimiento. Por eso no hay cadena de ataque clásica, ni secuencia de explotación, ni artefactos forenses que puedan mapearse a un caso de respuesta a incidentes.

Lo más cercano a una cadena operacional es la secuencia de obligaciones que la ley activa para cualquier tratamiento de datos personales. Primero, la organización debe definir una base de licitud válida. Después, tiene que documentar finalidades, minimización, seguridad, transparencia y responsabilidad. Más adelante, debe habilitar mecanismos de ejercicio de derechos, respuesta en plazo, trazabilidad documental, notificación de brechas y, en tratamientos de alto riesgo, evaluaciones de impacto y controles adicionales.

Ese flujo importa porque convierte el cumplimiento en evidencia. Ya no alcanza con una política de privacidad publicada. Las fuentes consultadas insisten en que la autoridad y los titulares podrán exigir prueba de cómo se tomó cada decisión, bajo qué fundamento, quién intervino y qué medida de seguridad respaldó el tratamiento. En ese sentido, la cadena operativa de la ley se parece más a una trazabilidad continua que a una simple declaración de cumplimiento.

Impacto regional

Panorama regional

La entrada en vigor de la Ley N.º 21.719 en Chile tiene impacto regional porque extiende su alcance a organizaciones extranjeras que tratan datos de personas en Chile, especialmente desde Brasil. El material consolidado muestra que el efecto no se limita al mercado local chileno, sino que alcanza a e-commerce, SaaS, logística, salud digital, fintech y cualquier operación transfronteriza con datos de residentes chilenos.

También se desprende una convergencia regulatoria con el GDPR, pero no una identidad total. El enfoque chileno exige principios, derechos, seguridad, transparencia, autoridad especializada y notificación de brechas, mientras que en transferencias internacionales utiliza una lógica propia de estándares similares o superiores. Para equipos regionales, eso implica revisar matrices de transferencia, contratos, salvaguardas y criterios de país receptor.

Chile

Chile concentra el núcleo normativo del informe. La Ley N.º 21.719 entra en vigor el 1 de diciembre de 2026, reemplaza en la práctica a la Ley N.º 19.628 y crea la Agencia de Protección de Datos Personales como corporación autónoma de derecho público con facultades de fiscalización de oficio, investigación de denuncias y sanción directa. El cambio es institucional y también operativo, porque obliga a demostrar tratamiento, no solo a declararlo.

El artículo 3 fija ocho principios, licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. La ley también amplía el catálogo clásico de derechos al esquema ARSOPB, agrega oposición frente a decisiones automatizadas y redefine el tratamiento de datos obtenidos desde fuentes abiertas, ya que elimina la referencia a fuentes accesibles al público como causal autónoma de licitud.

En sanciones, la norma distingue infracciones leves, graves y gravísimas. Las multas base llegan a 5.000, 10.000 y 20.000 UTM, con posibilidad de amonestación escrita en los supuestos leves y de suspensión del tratamiento bajo el artículo 38. Cifrid y otros resúmenes empresariales agregan que la reincidencia en graves o gravísimas puede aumentar la multa hasta el triple, y algunos análisis mencionan techos prácticos de 60.000 UTM o hasta 4% de ingresos anuales para empresas grandes.

La notificación de brechas también cambia el estándar. Cifrid indica que el aviso a la Agencia debe producirse dentro de 72 horas desde que el responsable conoce el incidente, con comunicación a titulares cuando el riesgo sea elevado. A esto se suman obligaciones de evaluación de impacto para tratamientos de alto riesgo, reglas específicas sobre perfilamiento y decisiones automatizadas, y plazos de respuesta a solicitudes de titulares que, según SuperPyME, corren con acuse de recibo y decisión dentro de 30 días corridos, prorrogables una vez.

Brasil

Brasil aparece en el material como el principal país vecino expuesto a la extraterritorialidad práctica de la Ley N.º 21.719. Sinfopac, IA Governance, PCKZ Legal, AZ Abogados, Somos Forma, Francisco Moroso, Araya & Cía y GDPRI coinciden en que cualquier organización brasileña que trate datos de personas o residentes chilenos, incluyendo SaaS, e-commerce, salud digital y soporte logístico, queda dentro del alcance del régimen chileno.

La relevancia para Brasil no es abstracta. El expediente subraya que empresas brasileñas deberán alinear gobernanza, accesos condicionales, registros de tratamiento, evaluaciones de impacto y respuesta a brechas con la autoridad chilena. IA Governance añade que el esquema chileno exige DPO, registro de actividades de tratamiento, DPIA y notificación en 72 horas, lo que obliga a revisar procesos internos aunque la empresa ya cumpla con marcos brasileños o con el propio RGPD.

El punto de transferencia internacional también es central. GDPRI y el análisis de Actualidad Jurídica sobre Oliver Ortiz remarcan que Chile usa una lógica de estándares similares o superiores, distinta del criterio europeo de equivalencia esencial. Eso afecta a flujos desde y hacia Brasil cuando la operación incluye datos de personas chilenas, porque la compatibilidad ya no depende solo de contratos, sino también de la lectura regulatoria que haga la autoridad chilena sobre el país receptor.

En sectores regulados, el impacto es más intenso. Salutexa lo proyecta sobre salud y telemedicina, mientras DOE Actualidad Jurídica y ComplianceLatam lo hacen sobre fintech, analítica avanzada y scoring automatizado. Para Brasil, el problema no es solo la exposición legal chilena, sino la necesidad de unificar procesos entre jurisdicciones con estándares cercanos pero no idénticos.

Países sin hechos verificables específicos

No se identificaron hechos verificables adicionales en el research para Argentina, Paraguay, Bolivia, Perú, Colombia, México, Estados Unidos ni Uruguay.