Ley 21.719: qué cambia para tu PYME con la nueva ley de datos personales

El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, que reemplaza la ley de datos personales que Chile tenía desde 1999. Cambia dos cosas de fondo: por primera vez hay una autoridad que fiscaliza y sanciona (la Agencia de Protección de Datos Personales), y las multas pasan de ser simbólicas a llegar a 20.000 UTM. Aplica a toda empresa que trate datos de personas, sin importar el tamaño.

Hay un proyecto de ley del Ejecutivo, ingresado al Senado el 31 de agosto de 2026, que propone postergar la entrada en vigencia al 1 de diciembre de 2027. Al 23 de septiembre de 2026 no había sido votado. Mientras no se apruebe y se publique en el Diario Oficial, la fecha que rige es la de la ley: 1 de diciembre de 2026. Y aunque se posponga, las obligaciones no cambian; solo cambia cuándo te pueden multar por no cumplirlas.

"Yo no manejo datos personales": sí los manejas

Una PYME que no vende a consumidores suele pensar que esta ley no le toca. Revisa la lista:

• Trabajadores: contratos, liquidaciones, licencias, datos previsionales y de salud, control de asistencia. Son datos personales y varios son sensibles.
• Clientes y contactos comerciales: el nombre, correo y teléfono del comprador de tu cliente empresa son datos de una persona, aunque la factura vaya a nombre de una sociedad.
• Proveedores personas naturales: quienes te emiten boleta de honorarios.
• Leads: lo que llega por el formulario de tu sitio, por WhatsApp o por una planilla de prospectos.
• Cámaras, GPS y control de acceso: también son tratamiento de datos.

Y además de tratarlos tú, los entregas a terceros: tu contador o estudio contable, el software de remuneraciones, el CRM, la plataforma de correo, el proveedor de un bot de WhatsApp. La ley los llama "encargados" y la responsabilidad de lo que hagan con esos datos sigue siendo tuya.

Lo que cambia, en cinco puntos

1. Todo tratamiento necesita una base legal. El consentimiento es una de varias: también sirven la ejecución de un contrato (los datos de tu trabajador para pagarle el sueldo), una obligación legal (lo que exige el SII o la Dirección del Trabajo) o el interés legítimo de la empresa, siempre que no pase por encima de los derechos de la persona. Lo que ya no sirve es no tener ninguna.
2. El consentimiento tiene que ser libre, informado y específico, y revocarlo tiene que ser tan fácil como darlo. Una casilla premarcada o un "al continuar aceptas" enterrado en el pie de página no cumplen.
3. Las personas tienen derechos que debes poder atender: acceso, rectificación, supresión, oposición y portabilidad. Necesitas un canal para recibir esas solicitudes y responderlas en plazo.
4. Si pierdes o te roban datos, tienes que avisar a la Agencia sin demora y, cuando corresponda, a las personas afectadas.
5. Hay quien fiscaliza. La Agencia puede investigar de oficio o por denuncia y aplicar multas de hasta 5.000 UTM por infracciones leves, hasta 10.000 por graves y hasta 20.000 por gravísimas; en reincidencia, la multa puede llegar al 2% o al 4% de los ingresos anuales de la empresa en Chile.

Por dónde partir: seis pasos en orden

1. Haz el inventario. Una planilla: qué datos tienes, de quién, para qué, dónde están guardados, quién más los ve y cuánto tiempo los conservas. Sin esto no puedes hacer nada de lo demás. En una PYME de 20 personas toma una tarde.
2. Asigna una base legal a cada uso. La mayoría de los datos de trabajadores y clientes ya tienen una (contrato u obligación legal). Los que no la tengan, como una lista de prospectos comprada o el marketing a exclientes, son los que hay que resolver.
3. Revisa lo que le dices a la gente. Política de privacidad del sitio, texto del formulario de contacto, cláusula de datos en el contrato de trabajo, aviso en las cámaras. Que digan qué haces con los datos, para qué y por cuánto tiempo, en lenguaje que se entienda.
4. Abre un canal para los derechos. Basta un correo publicado y un procedimiento de una página que diga quién responde y en cuántos días.
5. Pon por escrito lo que hacen tus proveedores. Contador, software de remuneraciones, CRM, agencia de marketing, proveedor de automatización: un anexo al contrato que fije qué pueden hacer con los datos, con qué seguridad y qué pasa cuando termina el servicio.
6. Define qué haces si hay una filtración. Quién detecta, quién decide, a quién se avisa y en qué plazo. Un correo con la base de clientes enviado al destinatario equivocado ya es un incidente.

Dónde se cruza con la automatización y los datos

Si estás automatizando la atención con un agente de IA en WhatsApp, cargando tu base de clientes en una herramienta de análisis o pensando en rentabilizar la información que tu empresa acumula, cada una de esas iniciativas es un tratamiento nuevo que necesita su base legal, su aviso y su contrato con el proveedor. No es una razón para no hacerlas: es la razón para diseñarlas bien desde el principio. En Abacontrol 360 lo aplicamos a nuestro propio trabajo: antes de cualquier diagnóstico con datos de un cliente pedimos un consentimiento escrito, y la asesoría en monetización de datos parte por definir qué uso es lícito y cuál no.