Nueva ley de protección de datos en Chile: qué cambia para las empresas desde diciembre de 2026

La fecha que las empresas chilenas deberían tener en el calendario: 1 de diciembre de 2026

Durante 2026 empezó a crecer una pregunta en directorios, áreas legales, equipos de seguridad y compañías de tecnología: ¿qué cambia en Chile con la nueva regulación de protección de datos y cuándo empieza a exigirse?

La fecha central es el 1 de diciembre de 2026. Ese día entra en vigencia la Ley N.º 21.719, publicada en diciembre de 2024, que modifica profundamente el régimen chileno de protección de datos personales y crea una nueva Agencia de Protección de Datos Personales con facultades de fiscalización y sanción.

Por eso noviembre de 2026 no es el mes en que comienza la ley, sino el último mes completo de preparación antes de su entrada en vigencia. La diferencia parece menor, pero es importante: las organizaciones no deberían pensar diciembre como el momento para empezar a revisar políticas, contratos y sistemas. Para entonces deberían conocer qué datos procesan, por qué los procesan, quién accede a ellos, con qué terceros los comparten y qué evidencia tienen para demostrar que los controles funcionan.

El cambio tampoco debe analizarse de manera aislada. Chile ya cuenta con la Ley Marco de Ciberseguridad N.º 21.663, que establece obligaciones específicas para determinadas entidades y crea la Agencia Nacional de Ciberseguridad. No todas las empresas están alcanzadas de la misma forma por esa ley, pero el movimiento regulatorio es claro: privacidad, ciberseguridad, gestión de riesgos y capacidad de demostrar controles están dejando de ser temas separados.

Para una empresa tradicional, esto cambia la forma de administrar información de clientes, empleados y proveedores. Para una empresa de software, SaaS o tecnología B2B, el impacto puede ser todavía mayor porque el tratamiento de datos suele estar incorporado directamente en el producto y en la infraestructura que presta el servicio.

¿Qué es la Ley 21.719 de protección de datos personales en Chile?

La Ley 21.719 moderniza la Ley 19.628 y acerca el marco chileno de privacidad a estándares internacionales más exigentes. Su importancia no está solamente en que incorpora nuevas reglas, sino en que cambia el modelo de responsabilidad.

Hasta ahora muchas organizaciones podían tratar la privacidad principalmente como un asunto contractual o documental: una política en el sitio web, cláusulas en contratos y consentimientos en determinados procesos. El nuevo régimen exige una mirada mucho más operativa.

La empresa debe poder explicar la finalidad de sus tratamientos, utilizar una base jurídica válida, respetar los derechos de las personas, implementar medidas de seguridad acordes al riesgo y mantener capacidad de responder frente a solicitudes, incidentes o requerimientos de la autoridad.

Esto lleva a una conclusión práctica: cumplir ya no significa solamente tener documentos. Significa poder demostrar cómo se gestionan los datos en la operación real.

¿A qué empresas afecta la nueva Ley 21.719?

La pregunta más común suele ser si la ley aplica solo a grandes compañías, bancos o empresas tecnológicas. La respuesta es que el universo es mucho más amplio.

Una organización trata datos personales cada vez que recolecta, almacena, consulta, modifica, comunica, transfiere o elimina información asociada a una persona identificada o identificable. Eso incluye actividades extremadamente habituales: bases de clientes, nóminas de empleados, formularios web, sistemas de CRM, plataformas de soporte, herramientas de marketing, procesos de selección, facturación, analítica, grabaciones de reuniones, sistemas biométricos y aplicaciones SaaS.

Por lo tanto, para muchas empresas la pregunta correcta no es “¿trato datos personales?”, sino “¿cuántos tratamientos diferentes tengo y qué nivel de riesgo tiene cada uno?”.

También importa el alcance territorial. Las compañías que operan con usuarios, clientes o personas en Chile necesitan analizar si sus actividades quedan alcanzadas, aun cuando una parte de la infraestructura o de los proveedores tecnológicos esté fuera del país.

Los principales cambios que las empresas deberían entender

1. Más derechos para las personas y más capacidad de exigirlos

El nuevo régimen fortalece los derechos de los titulares de datos. Las personas pueden solicitar acceso a su información, rectificación, supresión, oposición y portabilidad, entre otros mecanismos previstos por la normativa.

Para una empresa esto tiene una consecuencia operativa inmediata: debe saber dónde está la información de una persona y ser capaz de actuar sobre ella.

Si una solicitud requiere buscar manualmente en el CRM, correo, planillas, tickets de soporte, bases productivas y herramientas de terceros, el problema no es únicamente legal. Es una señal de que la organización no tiene un mapa suficientemente claro de sus datos.

2. Mayor exigencia sobre seguridad y gestión del riesgo

La protección de datos y la ciberseguridad se encuentran en un punto muy concreto: una organización que almacena datos personales debe aplicar medidas de seguridad apropiadas al tratamiento y al riesgo.

Eso no implica que todas las empresas deban implementar exactamente los mismos controles. Una compañía que guarda correos de contacto no enfrenta el mismo riesgo que una plataforma que procesa información financiera, historiales médicos, biometría o grandes volúmenes de información de usuarios.

La decisión relevante es si la organización puede justificar por qué sus medidas son razonables para el riesgo que administra y demostrar que esas medidas no existen solamente en una política, sino que se aplican.

3. Mayor responsabilidad sobre proveedores y terceros

Pocas empresas procesan información únicamente dentro de sus propios sistemas. Un stack moderno puede incluir proveedores de nube, CRM, analytics, pagos, soporte, correo, autenticación, almacenamiento, inteligencia artificial y decenas de herramientas SaaS.

Eso obliga a mirar la cadena completa de tratamiento. ¿Qué datos recibe cada proveedor? ¿Para qué finalidad? ¿Dónde se procesan? ¿Qué compromisos contractuales existen? ¿Qué ocurre si hay un incidente? ¿Cómo termina el tratamiento cuando finaliza la relación comercial?

Para empresas de software esta revisión es especialmente crítica porque un proveedor puede formar parte estructural del producto que se ofrece a los clientes.

4. Las transferencias internacionales dejan de ser un detalle contractual

Cuando los datos se procesan o transfieren fuera de Chile, la organización debe analizar las condiciones bajo las cuales esa transferencia resulta válida. En 2025 Chile ya avanzó, además, con cláusulas contractuales modelo para determinadas transferencias internacionales.

Esto importa mucho en entornos cloud. Una empresa puede vender un software desarrollado en Santiago mientras utiliza infraestructura, servicios de observabilidad, herramientas de soporte y subprocesadores distribuidos en distintos países.

El desafío no es impedir el uso de servicios globales, sino conocer y gobernar ese flujo de información.

5. El costo de no poder demostrar cumplimiento aumenta

La Ley 21.719 crea un régimen sancionatorio con infracciones leves, graves y gravísimas. Para estas últimas, las multas pueden llegar hasta 20.000 UTM (~1.560.000 USD).

Sin embargo, reducir la discusión al monto de las multas sería un error. Para muchas compañías B2B, especialmente tecnológicas, el impacto comercial puede aparecer antes que una sanción: un cliente enterprise puede pedir evidencia de seguridad y privacidad, un proceso de procurement puede exigir información sobre subprocesadores, o una licitación puede requerir controles que la organización todavía no puede demostrar.

En esos escenarios, privacidad deja de ser únicamente un riesgo regulatorio y pasa a ser un requisito para hacer negocios.

¿Cómo impacta la Ley 21.719 específicamente en empresas de software y SaaS?

Las empresas de software tienen una particularidad: los datos personales no están solamente en procesos administrativos. Muchas veces están dentro del producto.

Una plataforma de recursos humanos procesa información de empleados. Un CRM administra datos de contactos. Un software de salud puede manejar datos sensibles. Una solución de inteligencia artificial puede analizar conversaciones o documentos. Una aplicación B2B puede registrar usuarios, direcciones IP, logs, tickets y actividad dentro del sistema.

Eso hace que privacidad no pueda resolverse exclusivamente desde Legal. Producto, ingeniería, seguridad, infraestructura, soporte, ventas y compliance tienen responsabilidades distintas sobre el mismo flujo de información.

El primer desafío es determinar el rol de la empresa

Una compañía de software puede actuar como responsable del tratamiento para determinados datos y como encargado para otros.

Por ejemplo, puede decidir para qué utiliza los datos de sus propios leads y empleados, mientras procesa información de usuarios finales por cuenta de un cliente. Esos escenarios generan responsabilidades diferentes y deberían reflejarse en contratos, procedimientos, arquitectura y controles.

Para un SaaS B2B, entender ese mapa es esencial antes de responder una evaluación de seguridad o negociar un acuerdo de procesamiento de datos.

El segundo desafío son los subprocesadores

La mayoría de los SaaS modernos dependen de terceros. AWS, Azure o Google Cloud pueden formar parte de la infraestructura; otras herramientas pueden intervenir en observabilidad, comunicaciones, soporte, IA o análisis de producto.

El cliente enterprise ya suele preguntar quiénes son esos subprocesadores, dónde operan y qué datos reciben. La nueva regulación aumenta la importancia de mantener esa información actualizada y trazable.

Un documento preparado una vez y abandonado en una carpeta pierde utilidad muy rápido si el stack cambia cada mes.

El tercer desafío es construir privacidad dentro del ciclo de producto

Cuando una nueva funcionalidad comienza a recopilar datos, integra un modelo de IA o incorpora una nueva fuente de información, la decisión de privacidad ya fue tomada en parte por el diseño del producto.

Por eso los equipos maduros incorporan preguntas de datos y riesgo antes del lanzamiento: qué información es realmente necesaria, durante cuánto tiempo se conservará, quién tendrá acceso, qué proveedor la procesará, cómo podrá eliminarse y qué ocurriría si ese dataset fuera expuesto.

Este enfoque reduce el costo de corregir problemas después. También permite responder con mayor claridad cuando un cliente pregunta cómo se protege su información.

El cuarto desafío es la evidencia

Muchas empresas de software ya tienen controles razonables, pero no consiguen demostrarlos de forma eficiente.

Pueden tener MFA, backups, gestión de accesos, monitoreo, procesos de desarrollo seguro y respuesta a incidentes. El problema aparece cuando la evidencia está distribuida entre tickets, repositorios, capturas de pantalla, documentos, herramientas cloud y conocimiento informal del equipo.

La Ley 21.719 vuelve más valioso un principio que también aparece en ISO 27001 y SOC 2: un control que no puede demostrarse de manera consistente es difícil de defender frente a terceros.

Ley de protección de datos y Ley Marco de Ciberseguridad: ¿son lo mismo?

No. La Ley 21.719 y la Ley 21.663 responden a objetivos distintos.

La Ley 21.719 se enfoca en la protección y el tratamiento de datos personales y crea la Agencia de Protección de Datos Personales. La Ley Marco de Ciberseguridad crea la institucionalidad nacional de ciberseguridad, incluyendo la ANCI, y establece obligaciones particulares para entidades alcanzadas por su ámbito, como prestadores de servicios esenciales y operadores de importancia vital.

Pero para una empresa existe una zona de convergencia evidente. Gestión de accesos, respuesta a incidentes, continuidad, evaluación de proveedores, riesgos, registros y evidencia son temas que pueden servir simultáneamente a privacidad, ciberseguridad y requisitos contractuales de clientes.

Por eso conviene evitar dos programas completamente desconectados. La pregunta estratégica debería ser: ¿qué capacidades de gestión podemos construir una vez y reutilizar para diferentes exigencias?

Qué deberían hacer las empresas antes del 1 de diciembre de 2026

El peor enfoque es comenzar por una lista de documentos. El mejor punto de partida es entender la operación.

Identificar tratamientos y flujos de datos

La empresa debería poder describir qué categorías de datos procesa, con qué finalidad, en qué sistemas, quiénes tienen acceso, cuánto tiempo se conservan y con qué terceros se comparten.

Ese mapa permite priorizar. Sin él, todos los controles parecen igualmente urgentes.

Definir responsables internos

Privacidad no debería quedar asignada de forma difusa entre Legal, IT y Seguridad. La ley contempla la posibilidad de designar un delegado de protección de datos, pero más allá de la figura que adopte cada organización, debe existir responsabilidad clara sobre los procesos y la evidencia.

El objetivo no es crear burocracia. Es evitar que una solicitud, un incidente o una revisión contractual empiece con la pregunta “¿quién tiene esta información?”.

Revisar bases jurídicas, avisos y contratos

La organización debe revisar por qué procesa cada categoría de datos y si esa base resulta consistente con la finalidad real. También conviene revisar avisos de privacidad, contratos con encargados, acuerdos con clientes y condiciones de transferencias internacionales.

Para un SaaS, esto incluye prestar especial atención al Data Processing Agreement, los subprocesadores y las responsabilidades frente a incidentes y solicitudes de titulares.

Evaluar controles técnicos y organizativos

No alcanza con declarar que los datos están protegidos. Hay que revisar accesos, autenticación, privilegios, cifrado cuando corresponda, backups, logging, gestión de vulnerabilidades, desarrollo seguro, respuesta a incidentes y procesos de baja de usuarios y proveedores.

La profundidad debe ajustarse al riesgo. El objetivo es que exista una relación razonable entre los datos tratados, las amenazas y las medidas adoptadas.

Preparar evidencia antes de que alguien la pida

La preparación cambia cuando la empresa deja de trabajar de manera reactiva.

Si cada security review obliga a reconstruir desde cero las mismas respuestas, si cada auditoría requiere perseguir capturas de pantalla o si nadie sabe cuándo venció una política, existe un problema de gestión continua.

Centralizar controles, responsables, tareas y evidencia reduce el esfuerzo repetitivo y mejora la calidad de las respuestas.

Cómo puede ayudar Certenza frente a la Ley 21.719

Adaptarse a la nueva Ley 21.719 no consiste solamente en redactar políticas o sumar documentación. Para muchas empresas, el desafío empieza antes: entender qué cambios necesitan realizar, detectar brechas y traducir los requisitos de privacidad en acciones concretas para su operación.

Desde Certenza combinamos tecnología con el acompañamiento de expertos para ayudar a cada organización a entender dónde está, qué necesita mejorar y cómo llevar esos requisitos a la práctica.

El proceso puede comenzar con un diagnóstico del estado actual, identificando riesgos, vulnerabilidades y controles faltantes. A partir de ese análisis, se pueden definir prioridades, responsables, políticas y planes de acción acordes al contexto de cada empresa.

Luego, Certenza permite llevar esa definición a la operación diaria. La plataforma mapea los requisitos contra los controles existentes, identifica faltantes y utiliza IA para ayudar a generar políticas, documentación, tareas y otros elementos necesarios para avanzar.

Además, puede conectarse con las herramientas que la empresa ya utiliza para recolectar y mantener evidencias de manera automática. Por ejemplo, Certenza puede conectarse con repositorios de código para traer vulnerabilidades detectadas, mapearlas contra los controles correspondientes y dejar definido un plan de acción con responsables, tareas y seguimiento. De esta forma, la evidencia no depende de una recolección manual cada vez que se necesita demostrar el estado de un control.

Una misma evidencia también puede reutilizarse frente a otros requisitos, como ISO 27001, SOC 2 o revisiones de seguridad de clientes. Esto es especialmente relevante para empresas de software y proveedores B2B, donde privacidad, seguridad, gestión de terceros y continuidad suelen evaluarse en conjunto.

Así, la adecuación deja de ser un proyecto puntual basado en documentos y se convierte en una gestión continua, trazable y demostrable de cómo la empresa protege la información que maneja.

De cumplimiento regulatorio a confianza demostrable

La entrada en vigencia de la Ley 21.719 marca un cambio relevante para Chile, pero las empresas no deberían tratarla solamente como una fecha de compliance.

El mercado ya está elevando sus expectativas. Clientes, partners, inversores y organismos públicos quieren saber cómo una organización protege información, administra riesgos y responde frente a incidentes. Las normas hacen esas expectativas más explícitas, pero no las crean desde cero.

Para las empresas de software el efecto es todavía más visible: la confianza sobre los datos forma parte de la confianza sobre el producto.

Llegar al 1 de diciembre de 2026 con una política de privacidad actualizada puede ser necesario. Llegar con responsables definidos, tratamientos conocidos, proveedores mapeados, controles operativos y evidencia trazable es mucho más valioso.

Esa diferencia separa el cumplimiento documental de una verdadera capacidad de demostrar confianza.