La nueva ley de datos personales de Chile, leída en simple.

Es la nueva regulación chilena sobre protección y tratamiento de datos personales. No es un ajuste menor: reescribe buena parte de la Ley 19.628 de 1999 y alinea a Chile con estándares internacionales como el reglamento europeo de datos.

El cambio más importante no está en un artículo, sino en la institucionalidad. Hasta ahora Chile tenía obligaciones sobre datos personales, pero prácticamente ningún organismo con poder real para fiscalizarlas ni sancionarlas. Esta ley crea la Agencia de Protección de Datos Personales, con facultades para investigar de oficio, aplicar multas, ordenar la suspensión de tratamientos y publicar un registro de sanciones. Al 29 de septiembre de 2026 la Agencia todavía no tiene su Consejo Directivo designado.

En una frase: cuando la ley entre en vigencia, si tu empresa trata datos personales, debe poder demostrar que lo hace conforme a la ley.

Cuatro cambios concentran lo relevante para una empresa:

• Una autoridad con atribuciones. La Agencia puede fiscalizar, sancionar y ordenar medidas correctivas.
• Derechos reforzados para las personas, con plazos concretos para responderles.
• Obligaciones documentales nuevas: registro de las actividades de tratamiento, información al titular, evaluaciones de impacto en casos de riesgo alto.
• Un régimen de multas real, con sanciones accesorias que pueden afectar la operación y la reputación.

La consecuencia práctica es un cambio de foco: antes bastaba con tener una política de privacidad publicada. Ahora hay que poder mostrar cómo opera esa política en el día a día.

Cualquier información que identifique a una persona natural o que permita identificarla. Es más amplio de lo que la mayoría supone:

• Nombre, RUT, dirección, correo electrónico, teléfono.
• Datos bancarios y de facturación.
• Dirección IP, ubicación, historial de navegación.
• Fotografía, voz, datos biométricos.
• Hábitos de consumo y perfiles de comportamiento.

Hay además una categoría de datos sensibles —salud, biometría, origen, creencias, entre otros— que recibe un tratamiento más estricto y cuyas infracciones pueden calificarse con mayor gravedad.

Lo importante: no se trata solo de tus clientes. También son datos personales los de tus trabajadores, tus postulantes a un cargo y los contactos de tus proveedores.

A toda organización, pública o privada, que trate datos personales. No hay umbral de tamaño ni de facturación.

Esta es la diferencia de fondo con la Ley 21.595 de delitos económicos. Esa se te vuelve exigible sobre todo si estás en la cadena del Estado o de una gran empresa que traslada la exigencia por contrato. Esta te alcanza aunque nunca hayas licitado, porque prácticamente toda empresa trata datos personales.

Dos roles que conviene distinguir

• Responsable del tratamiento: quien decide para qué y cómo se tratan los datos. Normalmente, tu empresa.
• Encargado: quien trata datos por cuenta del responsable. Típicamente tus proveedores tecnológicos: el software de remuneraciones, el CRM, la contabilidad externa, la plataforma de correos.

Que un proveedor trate los datos no traslada tu responsabilidad. Por eso los contratos con esos terceros son una de las primeras cosas que hay que revisar.

La ley reconoce seis derechos que cualquier persona puede ejercer sobre sus datos. Tu empresa debe tener un procedimiento para atenderlos, y medios que sean simples de usar:

El plazo general para responder una solicitud es de 30 días corridos, prorrogable en los casos que la ley permite. El bloqueo temporal opera antes: cuando alguien ejerce rectificación, supresión u oposición, el tratamiento cuestionado debe suspenderse mientras se analiza la solicitud.

No responder a tiempo es, en sí misma, una infracción — con independencia de si la respuesta de fondo habría sido correcta.

Sin entrar en tecnicismos, esto es lo que una empresa razonablemente preparada debería poder mostrar:

• Registro de actividades de tratamiento (RAT). Qué datos tratas, de quién, para qué, dónde están, cuánto los conservas y con quién los compartes. Es la columna vertebral: sin esto, nada más se sostiene.
• Base de licitud para cada tratamiento. Consentimiento, contrato, obligación legal, interés legítimo u otra. No todo requiere consentimiento, pero todo requiere una base identificada.
• Información al titular al momento de recolectar sus datos: quién eres, para qué los usas, cuánto los guardas, a quién se los cedes y cómo ejercer sus derechos.
• Procedimiento para atender solicitudes de los seis derechos, con plazos y responsables definidos.
• Contratos con proveedores que acceden a datos, con cláusulas de tratamiento. Nube, sistemas de gestión, contabilidad externa, marketing.
• Medidas de seguridad técnicas y organizativas razonables para el tipo de datos que manejas.
• Procedimiento de brechas. Qué haces si se filtran o se pierden datos: la ley obliga a notificar a la Agencia y, cuando corresponde, a las personas afectadas.
• Evaluación de impacto cuando un tratamiento supone riesgo alto para los derechos de las personas.
• Capacitación a quienes tratan datos en el día a día.

El régimen clasifica las infracciones en tres niveles, con multas expresadas en UTM:

La reincidencia puede agravar el monto, con topes referidos a un porcentaje de los ingresos anuales de la empresa. Pero lo económico no es lo único ni, para muchas empresas, lo más caro.

Las sanciones que no son multa

• Suspensión temporal de las actividades de tratamiento. Para una empresa cuya operación depende de sus datos, esto es detener el negocio.
• Publicidad de la sanción en un registro público administrado por la Agencia, consultable durante años.

Ese registro tiene una consecuencia comercial concreta: aparece en procesos de due diligence, licitaciones, selección de proveedores y negociaciones con inversionistas. La ley está diseñada para que el cumplimiento sea visible — y el incumplimiento también.

Durante los primeros doce meses de vigencia, la Agencia puede optar por una amonestación escrita en vez de una multa para las empresas de menor tamaño. El proyecto de postergación propone extender esa posibilidad a todos los obligados.

La ley contempla un Modelo de Prevención de Infracciones (MPI): un programa de cumplimiento interno en materia de datos personales. Es voluntario, pero un modelo certificado por la Agencia opera como circunstancia atenuante al momento de determinar una sanción. No es un eximente: reduce la sanción, no la elimina.

La lógica es la misma del Modelo de Prevención de Delitos de la Ley 21.595: la ley no te obliga a tenerlo, pero premia a quien lo construyó antes de que ocurriera el problema. Y desde el 9 de septiembre de 2026 ya existe su reglamento, el Decreto 662 del Ministerio de Hacienda, que fija cómo se implementa, certifica, registra y supervisa.

Qué debe contener, entre otros elementos

• Individualización del responsable y de su representante legal.
• Designación de un Delegado de Protección de Datos, con medios y facultades definidos.
• Caracterización de los datos y tratamientos: tipos (incluidos sensibles), titulares, finalidades, fuentes, base de licitud, terceros, transferencias internacionales, plazos de supresión y decisiones automatizadas. Puede hacerse con un RAT.
• Identificación de las actividades de riesgo y una matriz que considere la graduación de las sanciones.
• Protocolos y procedimientos proporcionales al tamaño y la capacidad económica de la entidad.
• Mecanismos de reporte interno y a la autoridad, incluida la autodenuncia.
• Régimen de sanciones internas y un canal de denuncia interna que permita la reserva de identidad.

Certificación: cómo funciona

La certificación la otorga la Agencia, a solicitud del interesado. El certificado dura tres años, es renovable y queda en un registro público. Como la Agencia aún no está en funciones, hoy no se puede certificar; pero el reglamento permite empezar a implementar el modelo antes de que la Agencia incorpore a la entidad al registro.

Junto con el modelo, la ley reconoce otras circunstancias que juegan a favor: la autodenuncia ante la Agencia, la colaboración durante la investigación, la reparación del daño y la ausencia de antecedentes previos. El punto estratégico es simple: estas atenuantes solo existen si el trabajo está hecho antes.

La ley se publicó en el Diario Oficial el 13 de diciembre de 2024 y su fecha legal de entrada en vigencia plena es el 1 de diciembre de 2026, incluido el régimen sancionatorio. Los 24 meses entre ambas fechas son, precisamente, el plazo de adecuación. Hasta el día anterior sigue rigiendo el marco antiguo.

¿Se posterga a 2027?

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley (Boletín 18.623-07) que propone trasladar la vigencia al 1 de diciembre de 2027, junto con ajustes a la composición del Consejo Directivo de la Agencia y al régimen de amonestación del primer año. Al 29 de septiembre de 2026 está en primer trámite en el Senado, con suma urgencia y sin votación. Mientras no sea ley publicada en el Diario Oficial, la fecha vigente sigue siendo el 1 de diciembre de 2026.

La razón de fondo es institucional: la fecha llegaría con la norma vigente pero sin una Agencia capaz de aplicarla, porque su Consejo Directivo aún no está designado.

Lo que suele subestimarse

Un proceso de adecuación no es redactar una política. Es levantar dónde están tus datos, revisar contratos con proveedores, definir procedimientos, ajustar sistemas y capacitar a quienes los usan. En organizaciones medianas eso toma meses, no semanas — y buena parte del tiempo depende de terceros que también deben responder.

Por eso la recomendación práctica es planificar con el 1 de diciembre de 2026 hasta que exista una ley publicada que lo cambie. El inventario de datos y la matriz de riesgos son iguales en ambos escenarios.

Las obligaciones no cambian según el tamaño. Lo que sí cambia es la proporción: una empresa de veinte personas no necesita la estructura de un banco, pero sí necesita saber qué datos trata y poder demostrarlo.

Un camino realista, en orden:

1. Inventario. Qué datos personales tratas, dónde viven y quién accede a ellos. Casi siempre aparecen más sistemas de los que la gerencia recordaba.
2. Proveedores y contratos. Quién trata datos por tu cuenta y bajo qué condiciones escritas.
3. Bases de licitud e información al titular. Por qué puedes tratar cada cosa, y cómo se lo cuentas a las personas.
4. Procedimientos. Solicitudes de derechos, brechas de seguridad, conservación y eliminación.
5. Capacitación y mantención. Que viva en las personas y se actualice cuando cambia la operación.

Un consejo práctico

Si tu empresa también está expuesta a la Ley 21.595 —porque le vendes al Estado o a clientes grandes— no las trabajes por separado. El levantamiento de procesos, la matriz de riesgos, la gestión de proveedores, el canal de reportes y la documentación son comunes a ambas. Hacerlo una sola vez cuesta menos y deja una estructura que aguanta la próxima exigencia.