Ley de Protección de Datos Personales (Ley 21.719)

La ley fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Desde esa fecha, la Agencia de Protección de Datos Personales puede fiscalizar de oficio y aplicar multas de hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por infracciones graves y hasta 20.000 UTM por infracciones gravísimas — a valores de agosto de 2026, este último tope equivale a cerca de $1.430 millones de pesos (aproximadamente USD 1,57 millones). En caso de reincidencia en infracciones graves o gravísimas, las empresas que no califiquen como de tamaño pequeño pueden además enfrentar una multa de hasta el 2% o 4% de sus ingresos anuales por ventas y servicios en Chile, la que sea mayor entre esa cifra y el triple de la multa original. No haber sido fiscalizado antes no es garantía de estar en regla: el nuevo régimen es activo, no reactivo.

Es obligatorio para organismos públicos y para empresas cuya actividad principal implique tratamiento a gran escala de datos sensibles o monitoreo sistemático de titulares. Para el resto de las empresas la designación es voluntaria, pero se vuelve un elemento esperado dentro de cualquier modelo de prevención de infracciones serio. La evaluación depende del volumen y tipo de datos que trata su empresa, no de su tamaño.

La Ley 19.628, de 1999, establecía principios generales con una fiscalización prácticamente inexistente. La Ley 21.719 crea una autoridad de control real (la Agencia), amplía los derechos de los titulares (ARCO más portabilidad de datos), exige bases de licitud más claras para tratar datos, y establece un régimen de sanciones proporcional a los ingresos de la empresa, no montos fijos simbólicos.