La Ley 21.719 entrará en plena vigencia el 1 de diciembre de 2026. ¿Qué derechos incorpora, qué obligaciones establece para las organizaciones y por qué importa para quienes trabajan con información personal? Estas son las principales claves para entender el nuevo escenario.
La protección de datos dejó de ser un asunto exclusivo de especialistas en tecnología. Desde la atención de clientes hasta la gestión de personas, las organizaciones recopilan y utilizan información que permite identificar a personas. La nueva normativa chilena exige revisar para qué se usa, cómo se protege y durante cuánto tiempo se conserva.
¿Qué es la Ley 21.719?
Es la norma que modifica la Ley 19.628 sobre protección de datos personales y moderniza las reglas aplicables a su tratamiento en Chile. Reconoce derechos para las personas, establece deberes para quienes deciden cómo se utilizan los datos y crea la Agencia de Protección de Datos Personales como autoridad de control. No se limita a las empresas tecnológicas: alcanza a tratamientos realizados por entidades públicas y privadas, con las excepciones y regímenes particulares previstos en la ley.
¿Cuándo entra en vigencia la nueva Ley de Protección de Datos?
Las principales modificaciones entran en vigencia el 1 de diciembre de 2026. La fecha importa porque marca el inicio de la aplicación del nuevo régimen general: conviene revisar antes los procesos, contratos, políticas y herramientas que involucren información personal.
¿A quiénes se aplica?
A personas y organizaciones que realizan tratamiento de datos personales en los supuestos establecidos por la ley, incluidos organismos públicos y entidades privadas. El alcance puede comprender también a ciertos responsables o encargados situados fuera de Chile cuando sus operaciones se dirigen a personas en el país. No toda actividad está sometida a idénticas reglas: la ley contiene exclusiones y disposiciones especiales.
¿Cuáles son los principales cambios?
- Más derechos para las personas. Se reconocen derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, con condiciones y procedimientos para ejercerlos.
- Mayor transparencia. Las organizaciones deben informar qué datos tratan, con qué finalidad, sobre qué base y cómo las personas pueden ejercer sus derechos.
- Responsabilidad y seguridad. Quien decide las finalidades y medios del tratamiento debe adoptar medidas apropiadas para resguardar los datos y poder acreditar el cumplimiento de sus deberes.
- Protección especial de datos sensibles. La información de salud y los datos biométricos, entre otros, están sujetos a reglas reforzadas.
- Una autoridad especializada. La nueva Agencia de Protección de Datos Personales tendrá funciones de supervisión, orientación y sanción en el marco de la ley.
¿Qué derechos tendrán las personas sobre sus datos?
Entre otros, podrán solicitar información sobre el tratamiento de sus datos, corregir datos inexactos, pedir su eliminación cuando proceda, oponerse en los casos legales y solicitar portabilidad cuando se cumplan sus requisitos. No son derechos absolutos: su ejercicio está sujeto a las condiciones y excepciones que establece la normativa. Por ejemplo, una obligación legal de conservación puede impedir una eliminación inmediata.
¿Qué obligaciones deben revisar las organizaciones?
Más que acumular documentos, el desafío es conocer los tratamientos reales: qué información se recoge, por qué se necesita, cuál es su base de licitud, quién puede consultarla, con qué proveedores se comparte, qué medidas de seguridad se aplican y cómo se atienden solicitudes de los titulares. Las medidas concretas deben ajustarse al tipo de datos, contexto y riesgos del tratamiento.
¿Qué ocurre con los datos sensibles y biométricos?
La ley considera sensibles, entre otros, los datos biométricos. Para los biométricos usados para identificar de manera única a una persona, el artículo 16 ter establece requisitos específicos de información sobre el sistema, la finalidad, el período de utilización y la forma de ejercer derechos. El consentimiento expreso es la regla general, con las excepciones estrictas previstas por la ley. No significa que toda tecnología biométrica quede prohibida ni que cualquier autorización baste por sí sola.
¿Qué sanciones contempla la ley?
La ley clasifica las infracciones en leves, graves y gravísimas. En el régimen general, el artículo 35 contempla amonestación o multas de hasta 5.000 UTM para infracciones leves, hasta 10.000 UTM para graves y hasta 20.000 UTM para gravísimas. Existen reglas adicionales para reincidencia y situaciones específicas; los órganos públicos tienen un régimen particular. Las cifras no deben interpretarse como multas automáticas para cualquier incumplimiento.
¿Cómo empezar a prepararse?
- Inventariar los datos personales y las finalidades de cada tratamiento.
- Identificar las bases jurídicas y revisar los avisos de privacidad.
- Revisar perfiles de acceso, seguridad, proveedores y contratos.
- Definir procedimientos para responder solicitudes y gestionar incidentes.
- Examinar plazos de conservación y criterios de eliminación.
- Capacitar a las áreas que usan datos: no solo TI, también RR.HH., operaciones y atención de personas.
¿Y qué tiene que ver esto con el control de asistencia?
Mucho. Una marcación puede involucrar identificación personal, horarios, dispositivos, reportes y, según la tecnología, datos biométricos. La obligación de registrar asistencia que corresponda no desaparece por la entrada en vigencia de la Ley 21.719; lo que debe revisarse es el tratamiento de la información que hace posible ese registro.
La Ley 21.719 entrará en plena vigencia el 1 de diciembre de 2026. ¿Qué derechos incorpora, qué obligaciones establece para las organizaciones y por qué importa para quienes trabajan con información personal? Estas son las principales claves para entender el nuevo escenario.
La protección de datos dejó de ser un asunto exclusivo de especialistas en tecnología. Desde la atención de clientes hasta la gestión de personas, las organizaciones recopilan y utilizan información que permite identificar a personas. La nueva normativa chilena exige revisar para qué se usa, cómo se protege y durante cuánto tiempo se conserva.
¿Qué es la Ley 21.719?
Es la norma que modifica la Ley 19.628 sobre protección de datos personales y moderniza las reglas aplicables a su tratamiento en Chile. Reconoce derechos para las personas, establece deberes para quienes deciden cómo se utilizan los datos y crea la Agencia de Protección de Datos Personales como autoridad de control. No se limita a las empresas tecnológicas: alcanza a tratamientos realizados por entidades públicas y privadas, con las excepciones y regímenes particulares previstos en la ley.
¿Cuándo entra en vigencia la nueva Ley de Protección de Datos?
Las principales modificaciones entran en vigencia el 1 de diciembre de 2026. La fecha importa porque marca el inicio de la aplicación del nuevo régimen general: conviene revisar antes los procesos, contratos, políticas y herramientas que involucren información personal.
¿A quiénes se aplica?
A personas y organizaciones que realizan tratamiento de datos personales en los supuestos establecidos por la ley, incluidos organismos públicos y entidades privadas. El alcance puede comprender también a ciertos responsables o encargados situados fuera de Chile cuando sus operaciones se dirigen a personas en el país. No toda actividad está sometida a idénticas reglas: la ley contiene exclusiones y disposiciones especiales.
¿Cuáles son los principales cambios?
- Más derechos para las personas. Se reconocen derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, con condiciones y procedimientos para ejercerlos.
- Mayor transparencia. Las organizaciones deben informar qué datos tratan, con qué finalidad, sobre qué base y cómo las personas pueden ejercer sus derechos.
- Responsabilidad y seguridad. Quien decide las finalidades y medios del tratamiento debe adoptar medidas apropiadas para resguardar los datos y poder acreditar el cumplimiento de sus deberes.
- Protección especial de datos sensibles. La información de salud y los datos biométricos, entre otros, están sujetos a reglas reforzadas.
- Una autoridad especializada. La nueva Agencia de Protección de Datos Personales tendrá funciones de supervisión, orientación y sanción en el marco de la ley.
¿Qué derechos tendrán las personas sobre sus datos?
Entre otros, podrán solicitar información sobre el tratamiento de sus datos, corregir datos inexactos, pedir su eliminación cuando proceda, oponerse en los casos legales y solicitar portabilidad cuando se cumplan sus requisitos. No son derechos absolutos: su ejercicio está sujeto a las condiciones y excepciones que establece la normativa. Por ejemplo, una obligación legal de conservación puede impedir una eliminación inmediata.
¿Qué obligaciones deben revisar las organizaciones?
Más que acumular documentos, el desafío es conocer los tratamientos reales: qué información se recoge, por qué se necesita, cuál es su base de licitud, quién puede consultarla, con qué proveedores se comparte, qué medidas de seguridad se aplican y cómo se atienden solicitudes de los titulares. Las medidas concretas deben ajustarse al tipo de datos, contexto y riesgos del tratamiento.
¿Qué ocurre con los datos sensibles y biométricos?
La ley considera sensibles, entre otros, los datos biométricos. Para los biométricos usados para identificar de manera única a una persona, el artículo 16 ter establece requisitos específicos de información sobre el sistema, la finalidad, el período de utilización y la forma de ejercer derechos. El consentimiento expreso es la regla general, con las excepciones estrictas previstas por la ley. No significa que toda tecnología biométrica quede prohibida ni que cualquier autorización baste por sí sola.
¿Qué sanciones contempla la ley?
La ley clasifica las infracciones en leves, graves y gravísimas. En el régimen general, el artículo 35 contempla amonestación o multas de hasta 5.000 UTM para infracciones leves, hasta 10.000 UTM para graves y hasta 20.000 UTM para gravísimas. Existen reglas adicionales para reincidencia y situaciones específicas; los órganos públicos tienen un régimen particular. Las cifras no deben interpretarse como multas automáticas para cualquier incumplimiento.
¿Cómo empezar a prepararse?
- Inventariar los datos personales y las finalidades de cada tratamiento.
- Identificar las bases jurídicas y revisar los avisos de privacidad.
- Revisar perfiles de acceso, seguridad, proveedores y contratos.
- Definir procedimientos para responder solicitudes y gestionar incidentes.
- Examinar plazos de conservación y criterios de eliminación.
- Capacitar a las áreas que usan datos: no solo TI, también RR.HH., operaciones y atención de personas.
¿Y qué tiene que ver esto con el control de asistencia?
Mucho. Una marcación puede involucrar identificación personal, horarios, dispositivos, reportes y, según la tecnología, datos biométricos. La obligación de registrar asistencia que corresponda no desaparece por la entrada en vigencia de la Ley 21.719; lo que debe revisarse es el tratamiento de la información que hace posible ese registro.
La protección de datos no depende de una única herramienta. Requiere tecnología, criterios claros y una organización que conozca la información que administra.
Pero ¿qué ocurre realmente con esos datos después de marcar?
Próximamente, en PuntoSeguro abordaremos esta pregunta en un nuevo artículo: “Una marcación dura segundos. ¿Y sus datos?”, donde recorreremos las distintas etapas del tratamiento de la información de asistencia, desde su captura hasta su eliminación, con ejemplos prácticos, preguntas para RR.HH. y referencias a la nueva ley.
IMPORTANTE
Si bien la Ley N.º 21.719 contempla actualmente su entrada en plena vigencia para el 1 de diciembre de 2026, existe un proyecto de ley en tramitación que propone aplazar dicha fecha hasta el 1 de diciembre de 2027, con el objetivo de otorgar más tiempo a las organizaciones públicas y privadas para adecuar sus procesos y cumplir con las nuevas exigencias en materia de protección de datos personales. No obstante, mientras esta iniciativa no sea aprobada y publicada como ley, la fecha de entrada en vigor oficialmente vigente continúa siendo el 1 de diciembre de 2026.
.