¿La Ley 21.719 obliga a tener un modelo de prevención de infracciones?

No de forma universal. La adopción de un modelo de prevención de infracciones es voluntaria bajo la Ley 21.719, pero sí existe un deber general de implementar medidas de seguridad y de cumplimiento que aplica a toda organización que trate datos personales. Lo que hace el modelo formal es ordenar esas medidas en una estructura verificable y, si se certifica, funcionar como circunstancia atenuante ante la Agencia de Protección de Datos. No tenerlo no es una infracción por sí mismo, pero deja a la empresa sin ese factor de mitigación frente a una eventual sanción.

¿El modelo de prevención exime de multas bajo la Ley 21.719?

No. El modelo de prevención de infracciones opera como circunstancia atenuante, no como eximente de responsabilidad. Tener un modelo certificado y en funcionamiento puede rebajar la sanción que aplique la Agencia de Protección de Datos, porque demuestra diligencia y responsabilidad proactiva, pero no borra la infracción ni garantiza la ausencia de multa. La empresa sigue siendo responsable de la brecha o el incumplimiento; el modelo solo mejora su posición al momento de graduar la sanción.

¿Toda empresa debe nombrar un delegado de protección de datos en Chile?

No toda empresa está obligada de la misma forma. La Ley 21.719 contempla la figura del delegado de protección de datos, cuya exigibilidad es más clara para organismos públicos y para quienes tratan datos sensibles a gran escala o adoptan el modelo de prevención. En una empresa de menor tamaño, la máxima autoridad puede asumir personalmente esas funciones sin contratar a un tercero. El delegado debe actuar con autonomía, tener conocimientos en protección de datos y no recibir instrucciones en el ejercicio de su rol.

¿Cuáles son las multas de la Ley 21.719?

La Ley 21.719 clasifica las infracciones en tres niveles: leves con multa de hasta 5.000 UTM, graves de hasta 10.000 UTM y gravísimas de hasta 20.000 UTM. Para empresas que no califican como MiPyME, las infracciones graves y gravísimas pueden además toparse con un porcentaje de los ingresos anuales por ventas y servicios, del orden de 2% a 4%. Con la UTM sobre los 68.000 pesos en 2026, el tope gravísimo de 20.000 UTM supera los 1.360 millones de pesos.

¿Está funcionando la Agencia de Protección de Datos en 2026?

A julio de 2026 la Agencia de Protección de Datos Personales todavía no está constituida. El Senado rechazó en mayo de 2026 la propuesta de consejeros por no alcanzar el quórum requerido y el plazo legal para nombrarlos venció en junio sin resolverse. La ley igualmente entra en plena vigencia el 1 de diciembre de 2026, por lo que las obligaciones para las empresas se mantienen aunque el órgano fiscalizador aún no tenga dirección definitiva. Anticiparse no depende de que la Agencia esté operativa.

Modelo de prevención Ley 21.719: el atenuante clave

TL;DR. La Ley 21.719 no solo castiga: también premia a la empresa que se anticipa. Adoptar un modelo de prevención de infracciones con un delegado de protección de datos funciona como circunstancia atenuante ante la nueva Agencia de Protección de Datos —rebaja la sanción, no la elimina—. La ley entra en plena vigencia el 1 de diciembre de 2026 y las multas llegan a 20.000 UTM (más de 1.360 millones de pesos). Aun así, solo el 13% de las empresas chilenas se declara muy preparada. Este es el ángulo que casi nadie explica: no otro checklist, sino cómo el cumplimiento proactivo se convierte en un blindaje medible.

¿Qué gana una empresa que se anticipa a la Ley 21.719?

Gana dos cosas concretas: una posición legal más favorable si algo sale mal y una capacidad operativa que reduce la probabilidad de que salga mal. La Ley 21.719 adopta el principio de responsabilidad proactiva —el mismo “accountability” del GDPR europeo—, según el cual no basta con cumplir: hay que poder demostrar que se cumple. La empresa que llega a diciembre con controles documentados y probados no solo evita infracciones, sino que tiene con qué defenderse si enfrenta una fiscalización.

Ese es el giro que cambia la conversación en el directorio. La ley deja de ser un costo de cumplimiento y pasa a ser una decisión de gestión de riesgo: invertir hoy en estructura rebaja la exposición financiera de mañana. Si todavía no revisaste la base técnica, el checklist de cumplimiento a seis meses del deadline y la guía para preparar la infraestructura son el punto de partida sobre el que se construye lo que sigue.

¿Qué es el modelo de prevención de infracciones?

Es un programa de cumplimiento estructurado que la Ley 21.719 reconoce como circunstancia atenuante ante la autoridad. Su lógica se inspira en los modelos de prevención de delitos de la Ley 20.393 —la de responsabilidad penal de las personas jurídicas—, pero adaptada al mundo de la protección de datos. La empresa que lo implementa, lo mantiene vivo y lo certifica puede acreditar diligencia frente a la Agencia de Protección de Datos.

El punto que conviene tener claro desde el principio: el modelo atenúa, no exime. Un modelo certificado no borra la infracción ni garantiza que no habrá multa; lo que hace es mejorar la posición de la empresa cuando la autoridad gradúa la sanción. Su adopción formal es voluntaria, pero convive con un deber general de adoptar medidas de seguridad y cumplimiento que sí aplica a toda organización que trate datos personales. La certificación, según la regulación en desarrollo, tendría una vigencia acotada —del orden de tres años— y debería renovarse.

¿Qué debe contener el modelo de prevención?

Debe contener los elementos que permiten prevenir, detectar y corregir infracciones, y demostrar que ese sistema funciona. Las guías especializadas convergen en un conjunto de componentes que todo modelo serio incorpora, más allá del número exacto de artículos que la regulación termine fijando.

Componente	Qué implica
Delegado de protección de datos	Persona designada con autonomía y medios para liderar el cumplimiento
Inventario de datos	Mapeo de qué datos se tratan, dónde y con qué flujos
Matriz de riesgos	Identificación de procesos críticos por probabilidad e impacto
Controles internos	Protocolos y procedimientos documentados por proceso
Canales de reporte	Mecanismos de denuncia y escalamiento internos y externos
Gestión de terceros	Políticas para proveedores y encargados de tratamiento
Capacitación	Cultura de cumplimiento y formación periódica
Régimen disciplinario	Sanciones internas y procedimientos ante incumplimientos

Ninguno de estos componentes es exótico para una empresa que ya tomó en serio la ciberseguridad. La diferencia está en formalizarlos y evidenciarlos: un control que existe pero no está documentado no sirve para acreditar diligencia ante la Agencia.

¿Necesita mi empresa un delegado de protección de datos?

Depende del tamaño y del tipo de datos que trate, pero la figura es central en cualquier modelo de prevención. La Ley 21.719 contempla al delegado de protección de datos con una exigibilidad más clara para organismos públicos y para quienes tratan datos sensibles a gran escala o deciden adoptar el modelo de prevención. No es un mandato universal idéntico para toda empresa, y la asesoría legal específica es lo que define el caso concreto de cada organización.

En una empresa de menor tamaño, la buena noticia es que la máxima autoridad puede asumir personalmente las funciones del delegado sin necesidad de contratar a un especialista externo. Lo que no es negociable son sus atributos: el delegado debe actuar con autonomía funcional, sin recibir instrucciones en el ejercicio de su rol, tener conocimientos idóneos en protección de datos y estar designado por la dirección con un deber de confidencialidad. Es el equivalente en datos personales al rol que cumple un oficial de cumplimiento en otras materias.

¿Cuánto arriesga una empresa sin modelo de prevención?

Arriesga multas que el directorio debe tratar como riesgo financiero, no como un trámite. La Ley 21.719 gradúa las infracciones en tres niveles y las sanciones escalan con rapidez.

Categoría	Multa máxima	Tope sobre ingresos (no MiPyME)
Leve	Hasta 5.000 UTM	No aplica
Grave	Hasta 10.000 UTM	Del orden de 2% de ingresos anuales
Gravísima	Hasta 20.000 UTM	Del orden de 4% de ingresos anuales

Con la UTM sobre los 68.000 pesos en 2026, el tope gravísimo de 20.000 UTM supera los 1.360 millones de pesos. Para empresas que no califican como MiPyME según la Ley 20.416, las infracciones más severas pueden además toparse con un porcentaje de los ingresos anuales por ventas y servicios, un mecanismo tomado del GDPR. Aquí es donde el modelo de prevención muestra su valor económico: no evita que exista la infracción, pero puede ser la diferencia entre una sanción graduada a la baja y el tope de la categoría.

¿Está lista la Agencia de Protección de Datos?

No lo está. A julio de 2026, la Agencia de Protección de Datos Personales todavía no está constituida. El Senado rechazó en mayo de 2026 la propuesta de consejeros por no alcanzar el quórum de dos tercios requerido, y el plazo legal para nombrarlos venció en junio sin que se resolviera quién dirigirá el órgano fiscalizador.

El retraso institucional, sin embargo, no le da respiro a las empresas: la ley igualmente entra en plena vigencia el 1 de diciembre de 2026, con todas sus obligaciones, aunque el árbitro con potestad sancionatoria aún no esté operativo a esa fecha. Sería un error interpretar el retraso institucional como una prórroga: las obligaciones nacen igual, y la empresa que espera a ver si la Agencia arranca llegará tarde a construir controles que toman meses. Anticiparse no depende de que exista la Agencia; depende de que exista la fecha, y la fecha ya está fijada.

¿Por dónde empezar antes del 1 de diciembre de 2026?

Empieza por saber qué datos tratas, porque no se puede proteger ni registrar lo que no se ha mapeado. La primera obligación práctica que casi toda organización debe cubrir es el registro de actividades de tratamiento: un inventario que documenta qué datos se recolectan, con qué finalidad, sobre qué base de licitud, quién accede, a quién se transfieren y por cuánto tiempo se conservan. Ese registro es también la materia prima del modelo de prevención.

A partir de ahí, la ruta es clara:

Designar al delegado de protección de datos, propio o asumido por la dirección.
Levantar la matriz de riesgos de los procesos que tratan datos personales.
Formalizar y documentar los controles de seguridad que ya existen.
Cerrar las brechas que el mapeo deje al descubierto y capacitar al equipo.

Este trabajo se conecta directo con el playbook de notificación de brechas en 72 horas: el modelo de prevención es la estructura permanente y el playbook es lo que se ejecuta el día del incidente. Empresas obligadas por la Ley 21.663 y las instrucciones de la ANCI pueden aprovechar buena parte del mismo gobierno para ambos marcos.

Conclusión: la ley premia a quien se adelanta

La Ley 21.719 tiene dos caras, y la mayoría de la cobertura solo mira la del castigo. La otra cara es que un modelo de prevención con un delegado de protección de datos es un atenuante concreto que rebaja la exposición de la empresa cuando algo falla, además de reducir la probabilidad de que falle. Con la ley vigente en diciembre de 2026, multas de hasta 20.000 UTM y solo el 13% de las empresas declarándose muy preparada, el margen de ventaja es real para quien construya la estructura ahora. Anticiparse no es un gesto de cumplimiento: es una decisión de gestión de riesgo que se paga sola.