Ley 21.719: qué exige y cómo cumplir (guía práctica 2026)

En una frase: la Ley 21.719 moderniza la protección de datos personales en Chile, crea la Agencia de Protección de Datos (APDP) y será plenamente exigible desde el 1 de diciembre de 2026. Si tu organización trata datos de personas —clientes, pacientes, trabajadores, proveedores—, te obliga.

¿A quién obliga?

A toda persona u organización, pública o privada, que trate datos personales en Chile. No importa el tamaño: importa que manejes datos de personas.

Las 6 obligaciones que más te van a pedir

1. Base de licitud. Cada tratamiento necesita una razón legal (consentimiento u otra base). Sin base, no puedes tratar el dato.
2. Registro de Actividades de Tratamiento (RAT). El inventario vivo de qué datos tratas, con qué finalidad, base de licitud, plazos y a quién los comunicas.
3. Derechos ARCOP+. Debes poder atender Acceso, Rectificación, Cancelación, Oposición y Portabilidad de los titulares, en plazo.
4. Deber de seguridad. Medidas técnicas y organizativas proporcionales al riesgo (control de acceso, cifrado, trazabilidad).
5. Notificación de brechas. Informar a la APDP —y cuando corresponda, a los titulares— los incidentes que afecten datos personales.
6. Decisiones automatizadas. Si usas IA o algoritmos que deciden sobre personas, debes informarlo y permitir oposición.

Plazos y sanciones

• 1 de diciembre de 2026: exigibilidad plena y la APDP con facultades fiscalizadoras.
• Sanciones: hasta 20.000 UTM por infracciones gravísimas y hasta un 4% de los ingresos anuales en caso de reincidencia.

Cómo cumplir sin frenar tu operación

El error común es tratar el cumplimiento como una carpeta aparte que alguien «llena después». Termina desactualizada y sin evidencia. El enfoque que funciona es que el cumplimiento nazca de operar: cuando registras un activo, atiendes a una persona o firmas un contrato, ahí mismo queda la base de licitud, el RAT se actualiza solo y la evidencia queda fechada. Eso es exactamente lo que hace BRAINLOF: operar y cumplir en la misma plataforma, con la Ley 21.719 modelada por dentro.

Preguntas frecuentes

¿Desde cuándo es obligatoria?

Plenamente exigible desde el 1 de diciembre de 2026.

¿Qué es el RAT?

El inventario de cómo tratas datos personales: finalidad, base de licitud, categorías, plazos y destinatarios; debe mantenerse actualizado.

¿La ley regula la IA?

Regula las decisiones automatizadas que afectan a personas: exigen base de licitud, información al titular y derecho a oponerse.

Contenido informativo, no asesoría legal.