Ley 21.719: la cuenta regresiva al 1 de diciembre de 2026

Durante más de dos décadas, Chile operó con una ley de datos personales que, en la práctica, casi no se aplicaba: no existía un organismo con dientes para fiscalizarla. Eso termina el 1 de diciembre de 2026, cuando la Ley 21.719 entra en plena vigencia y la Agencia de Protección de Datos Personales empieza a ejercer sus facultades.

Qué cambia realmente

El cambio de fondo no es la aparición de nuevas prohibiciones, sino la aparición de un fiscalizador con capacidad de sanción y de un estándar probatorio. Ya no basta con declarar que se protegen los datos: hay que poder demostrarlo con evidencia técnica.

• Una autoridad especializada: la APDP es una corporación autónoma de derecho público con facultades fiscalizadoras y sancionatorias.
• Derechos ARCO completos: acceso, rectificación, cancelación y oposición, que su plataforma debe poder ejecutar y registrar.
• Notificación de brechas en 72 horas, lo que exige detección y no solo reacción.
• Sanciones de hasta 20.000 UTM, que escalan hasta el 4% de los ingresos anuales en caso de reincidencia.

La lectura de ingeniería: cuatro capacidades técnicas

En los diagnósticos que hemos hecho, el incumplimiento casi nunca viene de una mala intención, sino de sistemas que crecieron sin que nadie llevara la cuenta de dónde quedaba cada dato. Estas son las cuatro capacidades que, en nuestra experiencia, determinan si una empresa puede responder a la APDP o no.

1. 1

   Inventario de datos vivo

   Un catálogo que responda, sin intervención manual, qué datos personales existen, en qué base y sistema viven, quién los puede leer y con qué justificación. Si esta respuesta hoy requiere que alguien revise planillas, no es un inventario: es arqueología.

2. 2

   Derechos ARCO ejecutables por diseño

   Cuando un titular pide la eliminación de sus datos, el sistema debe poder cumplirlo de forma verificable en todas las copias: base productiva, réplicas, respaldos, data warehouse y logs. El borrado que deja rastros en un respaldo sigue siendo un dato almacenado.

3. 3

   Detección, no solo reacción

   El plazo de 72 horas corre desde que se toma conocimiento de la brecha. Una organización sin monitoreo centralizado ni alertas se enterará semanas después, por un tercero, y habrá incumplido el plazo antes de empezar a investigar.

4. 4

   Minimización en el origen

   La defensa más barata es no almacenar lo que no se necesita. Cada campo que un formulario deja de capturar es un campo que no hay que inventariar, proteger, exportar ni eliminar. Revisar los formularios de captación suele ser la acción con mejor retorno de todo el proyecto.

Qué alcanza a hacerse ahora

Una adecuación completa es un programa de varios meses, pero el riesgo no se distribuye de forma uniforme: casi todo se concentra en unos pocos puntos. Si queda poco tiempo, el orden que recomendamos es atacar primero la superficie expuesta y la capacidad de detección, y dejar la documentación formal al final.