Ley 21.719: checklist TI a 6 meses del deadline

TL;DR. La Ley 21.719 sobre protección de datos personales entra en plena vigencia el 1 de diciembre de 2026. Desde esa fecha la nueva Agencia de Protección de Datos Personales puede fiscalizar y sancionar con multas de hasta 20.000 UTM (más de 1.360 millones de pesos) o el 4% de los ingresos anuales en reincidencia grave. Las brechas de seguridad se notifican en torno a 72 horas. Quedan seis meses para cerrar el cumplimiento técnico. Este checklist convierte la ley en una lista accionable de controles de infraestructura: cifrado, IAM, DLP, registro de tratamientos, retención y un proceso de notificación de brechas que funcione bajo presión. Si ya leíste qué dice la ley y cómo preparar tu infraestructura, este es el siguiente paso: el plan operativo a deadline.

¿Qué cambia con la Ley 21.719 el 1 de diciembre de 2026?

Cambia que el incumplimiento deja de ser teórico y pasa a tener un órgano con poder para multarlo. La Ley 21.719 reemplaza el régimen de la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales (APDP), una corporación autónoma de derecho público con potestad para investigar de oficio, ordenar la suspensión de tratamientos, aplicar multas y mantener un Registro Nacional de Sanciones. Publicada el 13 de diciembre de 2024, la ley fijó un periodo de adecuación de 24 meses que termina el 1 de diciembre de 2026, según confirma la guía oficial de la Secretaría de Gobierno Digital.

El giro de fondo es que Chile adopta un estándar tipo GDPR: consentimiento robusto, derechos ARCO ampliados (acceso, rectificación, cancelación, oposición más portabilidad y bloqueo), principio de responsabilidad proactiva (accountability) y seguridad por diseño y por defecto. Para el equipo de TI, esto no es una conversación legal abstracta: son controles concretos que deben estar implementados, documentados y auditables antes del deadline.

¿A qué empresas aplica la Ley 21.719?

Aplica a toda persona u organización que trate datos personales de personas que estén en Chile, con independencia de dónde esté domiciliada la empresa. No hay umbral de tamaño: una pyme que guarda la base de clientes en una planilla y un retailer con millones de registros están ambos cubiertos. El criterio no es cuántos datos tratas, sino que los trates.

Esto incluye datos de empleados (RR.HH.), de clientes (CRM, facturación), de proveedores y de prospectos de marketing. Tratamientos que muchas empresas chilenas hoy hacen sin gobernanza —exportar la base de clientes a una herramienta cloud, compartir un Excel con RUT por correo, dejar respaldos sin cifrar— pasan a ser exposición sancionable. El primer ejercicio del checklist es por eso un inventario: dónde viven los datos personales en tu infraestructura.

¿Cuáles son las multas y sanciones de la Ley 21.719?

Las sanciones se estructuran en tres niveles según la gravedad de la infracción, y el monto es lo bastante alto como para cambiar prioridades de inversión. Las infracciones leves llegan a 5.000 UTM, las graves a 10.000 UTM y las gravísimas a 20.000 UTM. En reincidencia de infracciones gravísimas la multa puede escalar al 4% de los ingresos anuales de la empresa, un mecanismo calcado del GDPR europeo.

Con la UTM en torno a los 68.000 pesos durante 2026, los topes se traducen así:

El mensaje para el directorio es directo: una sola brecha mal gestionada puede costar más que años de inversión en controles. Por eso el checklist que sigue prioriza por riesgo, no por orden alfabético.

Checklist técnico de cumplimiento TI para la Ley 21.719

Este es el núcleo accionable. Cada ítem es un control verificable que un auditor —o la propia Agencia— puede pedir como evidencia. Trabájalo por dominio.

1. Inventario y mapa de datos.

• Identifica dónde se almacenan datos personales: bases de datos, CRM, ERP, planillas, respaldos, SaaS, correos.
• Clasifica por sensibilidad (datos comunes vs. sensibles: salud, biométricos, situación socioeconómica).
• Documenta el registro de actividades de tratamiento: qué datos, para qué finalidad, con qué base de licitud, cuánto tiempo y quién accede.

2. Cifrado.

• Cifrado en reposo de bases de datos, respaldos y volúmenes con datos personales.
• Cifrado en tránsito (TLS) en todas las aplicaciones y APIs que mueven datos.
• Gestión segura de llaves (no llaves en código ni en repositorios).

3. Gestión de identidades y accesos (IAM).

• Privilegio mínimo: cada usuario accede solo a lo que su rol exige.
• MFA obligatorio en sistemas con datos personales.
• Revisión periódica de accesos y baja inmediata de cuentas de personas que salen.

4. Prevención de fuga de datos (DLP).

• Reglas que detecten y bloqueen el envío de datos personales fuera de los canales autorizados.
• Control del Shadow IT y de la IA generativa, donde hoy se fugan datos hacia herramientas no aprobadas.

5. Retención y borrado.

• Política de retención por tipo de dato, con fecha de eliminación.
• Procedimiento de borrado seguro verificable, incluyendo respaldos.

6. Respuesta a incidentes y notificación de brechas.

• Capacidad de detectar una brecha (monitoreo, logs, alertas).
• Procedimiento documentado para evaluar impacto y notificar a la Agencia dentro del plazo.
• Plantilla de notificación lista y responsables designados.

7. Derechos de los titulares (ARCO+).

• Canal y proceso para responder solicitudes de acceso, rectificación, cancelación, oposición, portabilidad y bloqueo.
• Plazos de respuesta definidos y trazabilidad de cada solicitud.

8. Gobernanza y roles.

• Designación de responsable de protección de datos donde corresponda.
• Contratos con encargados de tratamiento (proveedores cloud, SaaS) que incluyan cláusulas de seguridad y confidencialidad.

¿Qué controles de infraestructura exige la ley en la práctica?

La ley no nombra tecnologías, pero el principio de seguridad proporcional al riesgo se traduce en un conjunto de controles que la mayoría de las empresas chilenas tiene a medias. La siguiente lectura de esfuerzo ayuda a priorizar dónde está el trabajo pendiente más típico de aquí a diciembre.

Los dos dominios donde casi toda empresa parte de cero son el registro de actividades de tratamiento (porque exige documentar finalidades y bases de licitud que nadie escribió) y el control de fuga hacia herramientas no aprobadas. El cifrado y el IAM suelen estar implementados a medias y solo necesitan completarse y documentarse.

¿Cómo se notifica una brecha de datos en 72 horas?

Con un proceso ensayado antes de que ocurra, no improvisado el día del incidente. La Ley 21.719 obliga a comunicar las vulneraciones de seguridad que afecten datos personales a la Agencia de Protección de Datos sin dilaciones indebidas, y cuando hay riesgo alto para los titulares, también a las personas afectadas. El plazo de referencia que maneja la implementación gira en torno a las 72 horas desde que se toma conocimiento, alineado con el estándar GDPR.

Para cumplirlo se necesitan cuatro capacidades funcionando: detección (logs, monitoreo y alertas que hagan visible la brecha), evaluación de impacto (qué datos, cuántos titulares, qué riesgo), decisión (responsables con autoridad para declarar el incidente) y notificación (plantilla, datos de contacto de la Agencia y registro de la comunicación). La diferencia entre notificar en plazo o fuera de plazo no es la herramienta: es haber practicado el procedimiento con un simulacro antes de diciembre. Si tu organización además es Operador de Importancia Vital, este proceso debe coordinarse con la notificación a la ANCI que ya exige la Ley 21.663.

¿Cómo se relaciona la Ley 21.719 con ANCI y la Ley 21.663?

Son dos leyes distintas con autoridades y plazos distintos que pueden activarse por un mismo incidente. La Ley 21.663 Marco de Ciberseguridad, fiscalizada por la Agencia Nacional de Ciberseguridad (ANCI), obliga a los Operadores de Importancia Vital a notificar incidentes de ciberseguridad al CSIRT Nacional (alerta temprana en 3 horas, reporte en 72 horas). La Ley 21.719 obliga a notificar brechas de datos personales a la Agencia de Protección de Datos.

Si un ransomware cifra una base de clientes en una empresa OIV, el evento gatilla ambos deberes: notificar a la ANCI por el incidente de ciberseguridad y a la APDP por la afectación de datos personales. La forma sensata de manejarlo es construir un solo proceso de gestión de incidentes que, al clasificar un evento, sepa enrutar cada notificación a la autoridad correcta dentro de su ventana. Duplicar procesos genera errores y retrasos; el marco de implementación de las instrucciones generales de la ANCI sirve de base para integrar ambos.

Plan de acción a 6 meses (junio a diciembre 2026)

Seis meses alcanzan si el trabajo se ordena por fases y no se deja para noviembre.

Junio–julio (diagnóstico). Inventario y mapa de datos personales. Levantamiento del registro de actividades de tratamiento. Gap analysis contra el checklist de esta guía. Output: informe de brechas priorizado por riesgo.

Agosto–septiembre (remediación técnica). Cerrar cifrado en reposo y tránsito, completar MFA y privilegio mínimo, desplegar reglas DLP, definir política de retención y borrado. Revisar y actualizar contratos con encargados de tratamiento (cloud, SaaS). Output: controles implementados con evidencia.

Octubre (procesos y derechos). Implementar el canal de derechos ARCO+, el procedimiento de notificación de brechas y los roles de respuesta a incidentes. Output: procedimientos documentados.

Noviembre (validación). Simulacro de brecha cronometrado contra el plazo de 72 horas. Auditoría interna del checklist completo. Corrección de gaps finales. Output: evidencia de cumplimiento lista para una eventual fiscalización.

Diciembre. La ley está vigente. El trabajo pasa de proyecto a operación: mantención del registro, revisión periódica de accesos y mejora continua.

Conclusión: cumplir la ley es un proyecto de infraestructura

La Ley 21.719 se suele leer como un asunto del área legal, pero su cumplimiento real vive en la infraestructura: cifrado, accesos, logs, respaldos, DLP y un proceso de incidentes que funcione bajo presión. El plazo es firme —1 de diciembre de 2026— y las multas son lo bastante altas como para justificar la inversión hoy. Los seis meses que quedan alcanzan para llegar preparado si el equipo de TI parte del inventario y avanza por fases. La pregunta del directorio ya no es “¿qué dice la ley?” sino “¿tenemos la evidencia?”. Este checklist es el camino para poder responder que sí.