Chile aprova Lei 21.719 sobre dados pessoais

Resumo executivo

A Lei chilena N.º 21.719 entra em vigor em 1º de dezembro de 2026 e marca uma mudança estrutural na proteção de dados pessoais no Chile, com impacto direto sobre organizações públicas e privadas que tratam informações de pessoas no país, inclusive empresas estrangeiras que operam a partir do Brasil. O material reunido mostra que a norma substitui de fato o modelo anterior da Lei N.º 19.628, cria uma autoridade especializada com poder de fiscalização e sanção, e estabelece um período de transição de dois anos para adaptação operacional.

A reforma não se limita a elevar penalidades. Ela também redefine a base de conformidade. O research consolida oito princípios de tratamento, amplia o catálogo de direitos dos titulares para a família ARSOPB, incorpora a oposição a decisões automatizadas, impõe rastreabilidade sobre como os dados são tratados e exige que as organizações consigam demonstrar todo o ciclo de coleta, uso, armazenamento e compartilhamento. Para setores com alto volume de dados, como finanças, saúde, SaaS e comércio eletrônico, o salto regulatório é relevante.

Na parte sancionatória, as fontes convergem em um esquema escalonado de infrações leves, graves e gravíssimas, com multas de até 5.000, 10.000 e 20.000 UTM. Várias análises acrescentam que a reincidência em infrações graves ou gravíssimas pode elevar o teto ao triplo da base, com referências a um máximo prático de 60.000 UTM ou, para certas companhias que não sejam de menor porte, a multas equivalentes a 2% ou 4% da receita anual. O expediente também prevê a possibilidade de suspensão do tratamento em determinados casos e prazos diferenciados de prescrição de 3, 4 e 5 anos.

A dimensão técnica mais sensível aparece em brechas de segurança, perfilamento e decisões automatizadas. A lei impõe notificação à Agência de Proteção de Dados Pessoais em até 72 horas a partir do momento em que o responsável toma conhecimento do incidente, e eventualmente comunicação aos titulares quando o risco for elevado. Além disso, várias fontes destacam que certos tratamentos de alto risco deverão passar por avaliações de impacto e controles adicionais, em um cenário que os análises comparam à regulação europeia, embora com diferenças importantes em transferências internacionais.

Não há indícios de exploração, malware, infraestrutura atacante ou IOCs publicados no material. O valor desta investigação é regulatório e operacional. O ponto de encerramento não é uma campanha ofensiva, mas uma contagem regressiva normativa que já corre para qualquer organização que processe dados pessoais de residentes chilenos, incluindo provedores transfronteiriços no Brasil.

Contexto e antecedentes

A Lei N.º 21.719 aparece no material como a reforma mais profunda do regime chileno de proteção de dados pessoais em décadas. Diversas análises indicam que ela substitui e moderniza a Lei N.º 19.628, em vigor desde 1999, à qual se atribui a ausência de um órgão fiscalizador próprio e de sanções efetivas. A Tecnom.ai descreve essas sanções anteriores como praticamente simbólicas, um diagnóstico usado por vários autores para explicar por que a reforma foi lida como um ponto de virada institucional.

O processo legislativo também não foi curto. ESG Hoy informa que o projeto começou em 2017, foi publicado no Diário Oficial em 13 de dezembro de 2024 e abriu um período de implementação de dois anos antes da entrada em vigor. Exige tu Seguro e outros veículos coincidem em que o artigo primeiro transitório fixa 1º de dezembro de 2026 como data de aplicação plena, com transição para empresas e órgãos públicos. Em paralelo, a AGPD pediu cautela diante de qualquer postergação e lembrou publicamente que, até agosto de 2026, a vigência seguia ancorada nessa data.

O antecedente imediato é uma arquitetura jurídica que muda o centro de gravidade. Antes, a discussão sobre dados pessoais dependia mais de litígios pontuais e de um controle fragmentado. Agora, a nova agência passa a ter competência para fiscalizar de ofício, investigar denúncias e sancionar diretamente. A Universidade Central do Chile e a Actualidad Jurídica destacam esse movimento como a passagem de um modelo reativo para outro de responsabilidade ativa de quem trata dados.

O material também insere a lei em uma conversa regional mais ampla. Vários textos a apresentam como convergente com padrões do tipo GDPR, sobretudo por causa dos direitos dos titulares, das avaliações de impacto, das brechas e do controle institucional. Ao mesmo tempo, outros insistem que a norma chilena não copia o modelo europeu, especialmente em transferências internacionais, onde mantém uma lógica de padrões similares ou superiores, distinta do teste de equivalência essencial do GDPR.

Tabela de fatos-chave

Timeline da operação

Cadeia de ataque e TTPs

Esta investigação não descreve uma intrusão técnica, uma campanha de phishing nem uma exploração de software. O material se concentra na arquitetura regulatória da Lei N.º 21.719 e no impacto de conformidade. Por isso, não há cadeia de ataque clássica, nem sequência de exploração, nem artefatos forenses que possam ser mapeados para um caso de resposta a incidentes.

O que mais se aproxima de uma cadeia operacional é a sequência de obrigações que a lei ativa para qualquer tratamento de dados pessoais. Primeiro, a organização precisa definir uma base de licitude válida. Depois, deve documentar finalidades, minimização, segurança, transparência e responsabilidade. Mais adiante, precisa habilitar mecanismos de exercício de direitos, resposta dentro do prazo, rastreabilidade documental, notificação de brechas e, em tratamentos de alto risco, avaliações de impacto e controles adicionais.

Esse fluxo importa porque transforma conformidade em evidência. Não basta publicar uma política de privacidade. As fontes consultadas insistem que a autoridade e os titulares poderão exigir prova de como cada decisão foi tomada, com base em qual fundamento, quem participou e qual medida de segurança respaldou o tratamento. Nesse sentido, a cadeia operacional da lei se parece mais com uma rastreabilidade contínua do que com uma simples declaração de conformidade.

Impacto regional

Panorama regional

A entrada em vigor da Lei N.º 21.719 no Chile tem impacto regional porque estende seu alcance a organizações estrangeiras que tratam dados de pessoas no Chile, especialmente a partir do Brasil. O material consolidado mostra que o efeito não se limita ao mercado chileno local, mas alcança e-commerce, SaaS, logística, saúde digital, fintech e qualquer operação transfronteiriça com dados de residentes chilenos.

Também se observa uma convergência regulatória com o GDPR, mas não uma identidade total. O modelo chileno exige princípios, direitos, segurança, transparência, autoridade especializada e notificação de brechas, enquanto nas transferências internacionais usa uma lógica própria de padrões similares ou superiores. Para equipes regionais, isso significa revisar matrizes de transferência, contratos, salvaguardas e critérios do país de destino.

Chile

O Chile concentra o núcleo normativo do relatório. A Lei N.º 21.719 entra em vigor em 1º de dezembro de 2026, substitui na prática a Lei N.º 19.628 e cria a Agência de Proteção de Dados Pessoais como corporação autônoma de direito público, com poder de fiscalização de ofício, investigação de denúncias e sanção direta. A mudança é institucional e também operacional, porque obriga a demonstrar o tratamento, e não apenas declará-lo.

O artigo 3 fixa oito princípios, licitude e lealdade, finalidade, proporcionalidade, qualidade, responsabilidade, segurança, transparência e informação, e confidencialidade. A lei também amplia o catálogo clássico de direitos para o esquema ARSOPB, acrescenta oposição diante de decisões automatizadas e redefine o tratamento de dados obtidos em fontes abertas, já que elimina a referência a fontes acessíveis ao público como causa autônoma de licitude.

Em sanções, a norma distingue infrações leves, graves e gravíssimas. As multas-base chegam a 5.000, 10.000 e 20.000 UTM, com possibilidade de advertência escrita nos casos leves e de suspensão do tratamento sob o artigo 38. Cifrid e outros resumos empresariais acrescentam que a reincidência em infrações graves ou gravíssimas pode multiplicar a multa por até três, e alguns análises mencionam tetos práticos de 60.000 UTM ou até 4% da receita anual para empresas grandes.

A notificação de brechas também eleva o padrão. Cifrid indica que o aviso à Agência deve ocorrer em até 72 horas após o responsável tomar conhecimento do incidente, com comunicação aos titulares quando o risco for elevado. A isso se somam obrigações de avaliação de impacto para tratamentos de alto risco, regras específicas sobre perfilamento e decisões automatizadas, e prazos de resposta a solicitações de titulares que, segundo a SuperPyME, correm com confirmação de recebimento e decisão em até 30 dias corridos, prorrogáveis uma vez.

Brasil

O Brasil aparece no material como o principal país vizinho exposto à extraterritorialidade prática da Lei N.º 21.719. Sinfopac, IA Governance, PCKZ Legal, AZ Abogados, Somos Forma, Francisco Moroso, Araya & Cía e GDPRI concordam que qualquer organização brasileira que trate dados de pessoas ou residentes chilenos, incluindo SaaS, e-commerce, saúde digital e suporte logístico, fica dentro do alcance do regime chileno.

A relevância para o Brasil não é abstrata. O expediente destaca que empresas brasileiras precisarão alinhar governança, acessos condicionais, registros de tratamento, avaliações de impacto e resposta a brechas com a autoridade chilena. A IA Governance acrescenta que o modelo chileno exige DPO, registro de atividades de tratamento, DPIA e notificação em 72 horas, o que obriga a revisar processos internos mesmo quando a empresa já cumpre marcos brasileiros ou o próprio RGPD.

O tema da transferência internacional também é central. A GDPRI e a análise da Actualidad Jurídica sobre Oliver Ortiz destacam que o Chile usa uma lógica de padrões similares ou superiores, diferente do critério europeu de equivalência essencial. Isso afeta fluxos entre Brasil e Chile quando a operação envolve dados de pessoas chilenas, porque a compatibilidade deixa de depender só de contratos e passa também pela leitura regulatória que a autoridade chilena fizer do país receptor.

Em setores regulados, o impacto é mais forte. A Salutexa projeta esse efeito sobre saúde e telemedicina, enquanto a DOE Actualidad Jurídica e a ComplianceLatam fazem o mesmo para fintech, análise avançada e scoring automatizado. Para o Brasil, o problema não é apenas a exposição jurídica chilena, mas a necessidade de unificar processos entre jurisdições com padrões próximos, porém não idênticos.

Países sem fatos verificáveis específicos

Não foram identificados fatos verificáveis adicionais no research para Argentina, Paraguai, Bolívia, Peru, Colômbia, México, Estados Unidos ou Uruguai.