Ley 21.719 de Protección de Datos: guía práctica para pymes chilenas (plazo: diciembre 2026)

El 1 de diciembre de 2026 entra en plena vigencia la nueva ley de datos personales. A diferencia de otras normas, esta aplica a TODA empresa. Esto es lo que tienes que hacer, sin humo legal.

Chile llevaba desde 1999 con una ley de datos personales sin dientes: la 19.628 casi no se fiscalizaba y las sanciones eran simbólicas. Eso se acabó. La Ley 21.719, publicada en 2024, entra en plena vigencia el 1 de diciembre de 2026 con una Agencia de Protección de Datos Personales dedicada, facultades reales de fiscalización y multas que pueden doler de verdad.

La pregunta que más nos hacen: "¿esto le aplica a mi pyme?". Respuesta corta: sí. Si tienes una base de clientes, boletas con RUT, formularios en tu web, fichas de pacientes, contratos de trabajadores o una lista de correos para marketing — tratas datos personales y la ley te aplica. No importa el tamaño de tu empresa.

Qué te exige la ley, en concreto

• ·Base legal para tratar datos: la más común es el consentimiento. Tienes que poder demostrar que la persona aceptó, para qué fin, y ese fin tiene que ser específico (se acabó el "acepto todo" genérico).
• ·Informar con transparencia: tu política de privacidad tiene que decir qué datos recoges, para qué, por cuánto tiempo y con quién los compartes.
• ·Derechos ARCO + portabilidad: si un cliente te pide ver, corregir o borrar sus datos, tienes plazos legales para responder. Necesitas un procedimiento, no buena voluntad.
• ·Seguridad razonable: respaldos, control de accesos, cifrado donde corresponda. La ley exige proteger los datos, no solo declararlos.
• ·Notificación de brechas: si te hackean o filtras datos, tienes que avisar a la Agencia y a los afectados en un plazo de 72 horas. Eso implica ser capaz de DETECTAR la brecha primero.

Las multas (y por qué las pymes no están exentas)

Matiz importante y honesto: para las empresas de menor tamaño (Ley 20.416), la primera infracción leve suele resolverse con amonestación en vez de multa. Pero la reincidencia se sanciona, y una brecha de datos mal manejada — el escenario más caro — no distingue tamaños. Además hay un costo que ninguna tabla muestra: el cliente corporativo que te exige cumplimiento como requisito para trabajar contigo.

Plan realista para una pyme: 3 a 6 semanas

1. 1Semana 1 — Diagnóstico: inventario de qué datos tienes, dónde viven (planillas, CRM, correo, web), quién accede y qué te falta contra la ley.
2. 2Semanas 2-3 — Papeles que importan: política de privacidad real (no copiada), consentimientos en formularios, registro de tratamiento de datos y procedimiento ARCO.
3. 3Semanas 3-5 — La parte técnica: respaldos automáticos verificados, control de accesos y doble factor, cifrado de equipos, y un protocolo de detección y respuesta a brechas que cumpla las 72 horas.
4. 4Semana 6 — Prueba y cierre: simulacro de solicitud ARCO y de brecha, capacitación básica al equipo, y calendario de revisión.

Cuánto cuesta prepararse

En Sova el diagnóstico de cumplimiento parte en $490.000 + IVA e incluye el inventario de datos, las brechas contra la ley y un plan de acción priorizado que puedes ejecutar con nosotros o con quien quieras. La implementación completa depende del tamaño de tu operación — una pyme de servicios típica está muy lejos de los presupuestos de una consultora grande. Y si ya trabajas con abogados, perfecto: nosotros hacemos la mitad técnica y coordinamos con ellos.