Ley de seguridad de datos en Chile 2026: guía completa para empresas de software

La Ley 19.628 (1999) trataba los datos personales como mercancía y carecía de una autoridad de control efectiva. Veinticinco años después, la nueva Ley 21.719 modifica íntegramente ese texto, lo renombra como Ley sobre Protección de Datos Personales y se alinea en aproximadamente un 85% con el RGPD europeo, aunque con elementos propios (la base de licitud de datos económico-comerciales, la categoría especialmente protegida de NNA, un DPO voluntario y un tope de multa en UTM y no porcentual).

En paralelo, la Ley 21.663 responde a la otra cara del problema: la resiliencia de los sistemas y el reporte obligatorio de incidentes en sectores estratégicos. Las dos leyes se complementan: la 21.719 protege los datos; la 21.663 protege los sistemas que los tratan. Y en cualquier incidente real, ambas se aplican.

La 21.719 aplica a responsables y encargados, públicos y privados, con o sin domicilio en Chile, cuando el tratamiento se refiera a personas en territorio chileno. La 21.663 aplica a organismos del Estado, OIV y PSE. La ANCI publicó la lista preliminar de OIV el 30 de octubre de 2025, y los reglamentos de la 21.719 deberían estar dictados a mediados de 2025.

En la práctica, una empresa mediana que ofrece software SaaS, una fintech, una clínica, un retailer con biometría o una universidad debería mapear hoy mismo si está en uno o ambos perímetros, porque el nivel de obligación, evidencia y reporte cambia radicalmente.

La multa es solo uno de los costos. La Agencia puede imponer también amonestación, orden de cesación del tratamiento, suspensión del tratamiento de datos hasta 30 días, orden de supresión de datos y publicación obligatoria de la resolución sancionatoria. Esta última convierte el castigo administrativo en daño reputacional permanente y consultable.

A esto se suma la responsabilidad civil concurrente: el titular puede demandar daño moral y material directamente, sin necesidad de que la Agencia haya sancionado. Y las asociaciones de consumidores pueden ejercer acciones colectivas. Para empresas con responsabilidad penal de personas jurídicas (Ley 20.393), la conexión con tipos existentes (estafa, fraude, revelación de secreto, delitos informáticos) eleva el riesgo a administradores y directores.

El daño reputacional suele superar al monetario: una brecha bien gestionada se perdona, una mal gestionada no. Y los socios globales que ya cumplen RGPD pueden suspender合作关系 si la contraparte chilena no acredita cumplimiento equivalente.

El cambio operativo más profundo está en los plazos de notificación. La 21.663 obliga a una alerta inicial al CSIRT Nacional o a la ANCI en 3 horas desde la detección, un informe completo en 72 horas y un informe de cierre en 15 días. La 21.719, por su parte, exige notificación de brecha a la Agencia en 72 horas y comunicación a los titulares afectados si hay un riesgo significativo para sus derechos.

Para una OIV o PSE que sufra una brecha con datos personales, esto significa cumplir dos regulaciones en paralelo, con dos checklists, dos reguladores y dos formatos. El plazo más corto (3 horas) obliga a tener un proceso unificado de respuesta a incidentes, plantillas pre-aprobadas y un equipo con roles claros. La evidencia forense debe centralizarse para servir a ambos procesos sin duplicación ni contradicción.

La 21.719 no exige un DPO obligatorio como el RGPD, pero las empresas medianas y grandes deberían designar uno, aunque sea internamente. Lo que sí exige es trazabilidad y capacidad de demostrar cumplimiento, no solo declararlo. El principio de responsabilidad proactiva (accountability) recorre toda la ley.

En concreto, las obligaciones operativas que ya deberían existir son: Registro de Actividades de Tratamiento (RAT) documentado y mantenible; Evaluación de Impacto en la Protección de Datos (EIPD) para tratamientos de alto riesgo, datos sensibles o de NNA; contratos de encargo (DPA) por escrito con todos los proveedores que traten datos en nombre del responsable; avisos de privacidad claros, accesibles y comprensibles; canal único para el ejercicio de derechos con SLA de 30 días; política de retención y supresión documentada; y un plan de respuesta a incidentes con plantilla de 72 horas.

La ley incorpora explícitamente los principios de Privacy by Design y Privacy by Default, que en 2026 ya no son novedad pero sí obligatorios. Esto impacta directamente el ciclo de desarrollo: las decisiones de arquitectura, las APIs, los formularios, los modelos de datos y la observabilidad deben diseñarse pensando en privacidad desde el inicio, no como una capa añadida al final.

En la práctica, esto se traduce en no recoger datos que no se necesitan, no conservarlos por costumbre, seudonimizar donde sea posible, aplicar cifrado en tránsito y en reposo, registrar accesos y eventos con criterio de minimización, y construir interfaces que muestren al usuario qué se está tratando y por qué. Una arquitectura pensada para privacidad suele ser más simple, más barata y más fácil de auditar.

La ley sigue el modelo jerárquico europeo para transferencias internacionales: solo se pueden transferir datos fuera de Chile si existe una decisión de adecuación del país de destino, cláusulas contractuales tipo aprobadas, normas corporativas vinculantes para grupos multinacionales, consentimiento expreso del titular, o alguna excepción específica (ejecución de contrato, interés vital, interés público, defensa judicial, transferencias incidentales, datos de carácter público).

Para empresas que usan proveedores cloud globales (AWS, Azure, Google Cloud, etc.) o que envían datos a equipos en otros países, esto exige revisar los contratos marco, firmar DPA que reflejen las CCT o las BCR aplicables, mapear los países donde se procesan datos y documentar la base de licitud de cada flujo. Las auditorías de la Agencia mirarán con lupa este punto, porque es donde más brechas regulatorias se han visto en la UE y en Brasil.

Sector financiero: triple regulación simultánea (21.719 + 21.663 + CMF bajo la Ley 21.521 Fintec y normas bancarias). Es probablemente el sector con máximo riesgo legal y regulatorio del país.

Sector salud: maneja datos sensibles por excelencia (historia clínica, genéticos, salud mental). Clínicas y hospitales entran casi con seguridad en la categoría OIV/PSE, con EIPD obligatoria y reporte reforzado.

Retail con biometría: los datos biométricos son sensibles y requieren consentimiento expreso por escrito, base de licitud específica y EIPD. Reconocimiento facial, control de asistencia por huella y autenticación por voz están alcanzados con reglas reforzadas.

Telecomunicaciones y sector digital: probable calificación como OIV/PSE, con triple cumplimiento. La latencia y la escala hacen crítica la automatización del cumplimiento.

Educación: manejo intensivo de datos de NNA, categoría especialmente protegida. Para menores de 14 años se requiere consentimiento expreso de los padres o tutores, y las instituciones deben revisar consentimientos, contratos con plataformas y transferencias internacionales.

Gobierno y sector público: aplican ambas leyes más la Ley de Transparencia. El Registro Civil tiene plazo de 20 meses para eliminar las bases de datos del art. 22 de la vieja Ley 19.628.

PYMEs: Chile tiene 774.908 PYMEs, que generan más del 60% del empleo formal. La ley es proporcional al tamaño y al riesgo, pero no hay excepciones por monto de facturación. La buena noticia es que la proporcionalidad permite hojas de ruta graduales.

La Ley 21.719 está alineada aproximadamente en un 85% con el RGPD, pero introduce elementos propios y tiene diferencias operativas relevantes. DPO es voluntario (no obligatorio como en RGPD/LGPD). La multa máxima es 20.000 UTM (≈ US$ 1,5M), no un porcentaje de la facturación global como el 4% del RGPD o el 2% de la LGPD. La base de licitud de datos económico-comerciales y defensa judicial no tiene equivalente directo en RGPD. Y la categoría de NNA como datos especialmente protegidos es una especificidad chilena relevante para edtech, salud pediátrica y minorías.

Para empresas que ya cumplen RGPD, gran parte del trabajo de cumplimiento es reutilizable: base de licitud, derechos del titular, DPIA, contratos de encargo, privacidad desde el diseño, transferencias internacionales. Lo que cambia es el regulador, el formato de notificación de brecha (72h a la Agencia, no a las autoridades europeas) y el catálogo de categorías protegidas.

Fase 1 (90 días): gap analysis inicial, designación de un responsable interno del proyecto, mapeo preliminar de datos personales tratados, identificación de tratamientos de datos sensibles y de NNA, evaluación de si la empresa es OIV o PSE bajo la 21.663, inventario de transferencias internacionales y de proveedores que tratan datos en nombre propio.

Fase 2 (6 meses): actualización de Política de Privacidad y avisos en todos los puntos de recogida, actualización de cláusulas contractuales con clientes, empleados y proveedores, firma de DPA con todos los proveedores críticos, designación de DPO (al menos interno), inicio del RAT y de la primera EIPD, política de retención y supresión documentada, política de notificación de brechas con plantilla de 72 horas, plan de respuesta a incidentes 3h/72h/15d, y capacitación inicial a empleados.

Fase 3 (12 meses): RAT completo y mantenido, EIPD completa para todos los tratamientos de alto riesgo, programa de gestión de derechos del titular con portal y SLA de 30 días, auditoría interna de cumplimiento, Privacy by Design integrado en el ciclo de desarrollo, verificación de Privacy by Default en todos los formularios, política de transferencias internacionales actualizada, cumplimiento de las Instrucciones Generales de la ANCI para OIV/PSE, simulacro de brecha y certificación o auditoría externa recomendada.

Fase 4 (24 meses, antes del 1/12/2026): todos los puntos anteriores completados y auditados, documentación completa lista para presentar a la Agencia o a un juez, mejora continua con KPIs y métricas, evaluación de un programa unificado con RGPD si la empresa opera en la UE.