ISO 27001 y la Ley 21.719 de Chile: qué cubre cada una y cómo se complementan

Qué es la Ley 21.719

La Ley 21.719 se publicó el 13 de diciembre de 2024 y modifica la antigua Ley 19.628, que pasa a llamarse ley sobre protección de los datos personales. Se aplica a empresas y organismos públicos que tratan datos de personas naturales en Chile. Sus puntos principales:

• Una agencia que fiscaliza

  Crea la Agencia de Protección de Datos Personales, con facultades para investigar, sancionar y dictar normas técnicas.

• Derechos de los titulares

  Acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos.

• Deber de seguridad

  Medidas técnicas y organizativas adecuadas al riesgo del tratamiento.

• Notificación de brechas

  Informar a la Agencia, sin dilaciones indebidas, las vulneraciones que generen riesgo para los titulares.

• Modelos de prevención

  Programas de cumplimiento voluntarios que pueden certificarse y que pesan al momento de sancionar.

• Sanciones relevantes

  Multas que, para las infracciones gravísimas, llegan a 20.000 UTM, y que pueden crecer en caso de reincidencia.

Sobre la fecha: a fines de agosto de 2026 el Gobierno presentó un proyecto (boletín 18.623-07) para postergar la entrada en vigencia al 1 de diciembre de 2027. A comienzos de octubre de 2026 seguía en primer trámite en el Senado. Mientras no se apruebe y publique, la fecha legal sigue siendo el 1 de diciembre de 2026. Conviene revisar el estado del proyecto antes de planificar.

Las sanciones

Referencia general según el texto de la ley y análisis publicados; conviene confirmar los montos en el texto oficial y con asesoría legal. Para las empresas de menor tamaño, la ley prevé condiciones especiales en algunos casos.

ISO 27001 y la Ley 21.719: comparación

Dónde ISO 27001 ayuda a cumplir la ley

La superposición está sobre todo en la seguridad de los datos. Un SGSI bien implementado aporta controles y evidencia concretos:

Además, si la empresa decide adoptar un modelo de prevención de infracciones, la estructura de un SGSI (roles, políticas, auditorías, mejora continua) es una buena base sobre la cual construirlo.

Lo que ISO 27001 no cubre

ISO 27001 protege la información, pero no dice si una organización puede tratar un dato ni cómo debe responderle al titular. Para eso hace falta un trabajo específico de privacidad:

• Bases de licitud

  Por qué la empresa puede tratar cada dato: consentimiento, contrato, obligación legal u otra base.

• Derechos de los titulares

  Procedimientos para responder pedidos de acceso, supresión o portabilidad dentro de los plazos legales.

• Transparencia

  Políticas de privacidad claras sobre qué datos se tratan, para qué y con quién se comparten.

• Datos sensibles

  Condiciones especiales, como el consentimiento expreso como regla general.

• Transferencias internacionales

  Requisitos para enviar datos a otros países, por ejemplo, a un proveedor de nube.

• Evaluaciones de impacto

  Análisis previos para tratamientos de alto riesgo.

La norma ISO/IEC 27701 agrega los requisitos de un sistema de gestión de la privacidad y suele usarse como puente entre la seguridad y la protección de datos. Desde la edición 2025 es una norma independiente: se puede certificar sin tener ISO 27001, aunque las dos se integran con facilidad.

¿Y la Ley Marco de Ciberseguridad?

Chile tiene además la Ley 21.663, Ley Marco de Ciberseguridad, que creó la Agencia Nacional de Ciberseguridad (ANCI) y fija obligaciones para los prestadores de servicios esenciales y los operadores de importancia vital, como reportar incidentes. Son dos leyes distintas: la 21.663 protege la continuidad de servicios críticos y la 21.719, los datos de las personas. Un SGSI con ISO 27001 aporta controles útiles para ambas.

Por dónde empezar antes de que rija la ley

1. Inventariar los datos personales. Qué datos se tratan, de quién, para qué, dónde están y con qué proveedores se comparten.
2. Evaluar los riesgos. Usar la metodología de ISO 27001 para identificar los riesgos sobre esos datos.
3. Reforzar los controles de seguridad. Accesos, cifrado, copias de seguridad, proveedores y gestión de incidentes.
4. Preparar la respuesta a brechas. Un procedimiento que incluya la notificación a la Agencia y, cuando corresponda, a los titulares.
5. Cubrir lo que la norma no cubre. Bases de licitud, políticas de privacidad y atención de derechos, con asesoría legal.
6. Documentar todo. La evidencia es lo que permite demostrar el cumplimiento ante la Agencia o un cliente.

Cómo ayuda Certenza a prepararse

La parte de seguridad de la Ley 21.719 se apoya en lo mismo que pide ISO 27001: riesgos evaluados, controles funcionando y evidencia de que funcionan. Certenza ayuda a construir esa base:

• Controles de seguridad organizados

  Los controles de ISO 27001 que protegen datos personales quedan con responsable y estado, para saber qué está cubierto.

• Políticas para seguridad y privacidad

  La IA de Certenza ayuda a redactar las políticas del SGSI, que después la asesoría legal puede complementar con lo específico de la ley.

• Evidencia para demostrar las medidas

  Los registros que se reúnen desde las herramientas conectadas sirven para mostrar, ante un cliente o un regulador, que las medidas de seguridad existen.

Certenza no reemplaza el asesoramiento legal sobre la Ley 21.719, y el certificado ISO 27001 lo emite un organismo acreditado que se contrata por separado.