La Ley 21.719 es la norma que regula la protección y el tratamiento de los datos personales en Chile y crea la Agencia de Protección de Datos Personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024, modifica la Ley 19.628 y entra en plena vigencia el 1 de diciembre de 2026. Establece principios exigibles para todo tratamiento de datos, un deber de reporte de vulneraciones de seguridad y un régimen de multas de hasta 20.000 UTM.
La norma se apoya en un ámbito de aplicación con alcance extraterritorial, un catálogo de principios exigibles, seis derechos del titular con procedimiento y plazo definidos, un deber de reporte de vulneraciones de seguridad y un régimen sancionatorio con una autoridad detrás.
Las secciones siguientes recorren cada uno de esos frentes. La segunda mitad del artículo examina dónde se aplican con mayor dificultad práctica: los entornos de desarrollo, prueba y analítica.
Qué exige la Ley 21.719 a partir del 1 de diciembre de 2026
La Ley 21.719 modifica la Ley 19.628 y reconstruye el régimen chileno de protección de datos sobre tres piezas con consecuencias operativas directas.
Primero, crea la Agencia de Protección de Datos Personales. Entre sus funciones, el artículo 30 bis incluye dictar instrucciones y normas generales obligatorias, interpretar administrativamente la normativa y fiscalizar su cumplimiento, con potestad para requerir información y sancionar. La ley crea además el Registro Nacional de Sanciones y Cumplimiento, un registro público administrado por la Agencia.
Bajo la Ley 19.628, Chile carecía de una autoridad con capacidad efectiva de fiscalización y sanción en materia de datos personales. A partir del 1 de diciembre de 2026, esa capacidad existe y está concentrada en un organismo dedicado.
Segundo, el artículo 3° establece los principios que rigen todo tratamiento: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Tres de ellos aplican de forma directa sobre los ambientes de desarrollo, prueba, integración y analítica.
El principio de finalidad exige que los datos se recolecten con fines específicos, explícitos y lícitos, y prohíbe tratarlos con fines distintos a los informados al momento de la recolección, salvo las excepciones que la propia norma enumera: fines compatibles con los autorizados, una relación contractual que lo justifique, nuevo consentimiento del titular o disposición legal.
Validar un cambio de esquema durante un sprint difícilmente encaja en los fines informados al titular cuando se recolectó su RUT o su historial de siniestros. Reutilizar producción en QA es, antes que un problema de seguridad, un problema de licitud.
El principio de proporcionalidad limita el tratamiento a los datos estrictamente necesarios, adecuados y pertinentes para esos fines. Y añade una regla que interesa de forma directa a los equipos de datos: los datos personales solo pueden conservarse durante el tiempo necesario para cumplir la finalidad, tras lo cual deben ser suprimidos o anonimizados.
La conservación indefinida no es una opción: cumplida la finalidad, el texto legal ordena elegir entre suprimir el dato o anonimizarlo, sin perjuicio de las excepciones que la propia ley establezca. Una copia de producción antigua que sobrevive en un ambiente de integración, sin finalidad vigente que la justifique ni excepción legal que la ampare, contraviene esa regla por su sola existencia.
El principio de seguridad obliga al responsable a garantizar estándares adecuados de protección contra el tratamiento no autorizado o ilícito y contra la pérdida, filtración, daño accidental o destrucción. El artículo 14 quinquies lo desarrolla: medidas técnicas y organizativas apropiadas al riesgo, que incluyan, entre otras, la seudonimización y el cifrado de datos personales.
Y el artículo 14 quáter añade el deber de protección desde el diseño y por defecto: las medidas deben aplicarse con anterioridad al tratamiento y durante él. Es el mismo planteamiento que sostiene la seguridad por diseño en arquitecturas de desarrollo.
Multas, reincidencia y suspensión del tratamiento
La tercera pieza es el régimen sancionatorio. El artículo 35 fija amonestación escrita o multa de hasta 5.000 UTM para las infracciones leves, hasta 10.000 UTM para las graves y hasta 20.000 UTM para las gravísimas.
En caso de reincidencia —definida en el artículo 36 como dos o más sanciones firmes en los últimos treinta meses— la Agencia puede aplicar hasta el triple de la multa; y si el infractor no califica como empresa de menor tamaño según la Ley 20.416, la multa puede alcanzar el 2% o el 4% de los ingresos anuales por ventas y servicios en Chile, según la infracción sea grave o gravísima, aplicándose el monto más gravoso.
Ante infracciones gravísimas reiteradas en un período de veinticuatro meses, la Agencia puede además suspender las operaciones de tratamiento hasta por treinta días.
En banca, seguros y salud, la inscripción en un registro público de sanciones tiene un costo comercial que puede superar al de la multa.
La ley también incentiva la prevención. El artículo 49 permite adoptar voluntariamente un modelo de prevención de infracciones —un programa de cumplimiento con delegado de protección de datos incluido— que la Agencia certifica conforme al artículo 51. Haber cumplido diligentemente los deberes de dirección y supervisión, verificado mediante esa certificación, opera como circunstancia atenuante según el artículo 36. La señal es clara: la ley valora la evidencia por encima de la declaración de propósitos.
A quién aplica la Ley 21.719
La ley se aplica al tratamiento de datos personales realizado por responsables o mandatarios establecidos en Chile. El artículo 1° bis extiende además su alcance a organizaciones sin establecimiento en el país cuando sus operaciones de tratamiento estén destinadas a ofrecer bienes o servicios a titulares que se encuentren en Chile.
El criterio es el destino de las operaciones, no la sede. Una empresa constituida en España o en México que opera una plataforma dirigida a usuarios chilenos queda sujeta a la norma, con independencia de dónde estén alojados sus servidores. Para un equipo de plataforma, la pregunta no es dónde está la empresa, sino dónde están los titulares cuyos datos trata.
Qué datos protege: personales y sensibles
La ley distingue dos categorías con regímenes distintos. Los datos personales son los referidos a cualquier información vinculada o referida a una persona natural identificada o identificable: la definición no exige que el dato identifique por sí solo, basta con que permita identificar, directamente o por combinación con otra información.
Los datos personales sensibles son una subcategoría con protección reforzada. El artículo 2°, letra g), les atribuye esa condición cuando se refieren a las características físicas o morales de la persona, o a hechos de su vida privada, y los enumera de forma expresa:
- Origen étnico o racial
- Afiliación política, sindical o gremial
- Situación socioeconómica
- Convicciones ideológicas o filosóficas y creencias religiosas
- Datos relativos a la salud y al perfil biológico humano
- Datos biométricos
- Vida sexual, orientación sexual e identidad de género
La ley dedica su artículo 16 a la regla general del tratamiento de datos personales sensibles, con un estándar más estricto que el aplicable al resto.
La consecuencia técnica es directa: un inventario que localice datos personales sin distinguir cuáles son sensibles no sirve para acreditar cumplimiento, porque las dos categorías no admiten el mismo tratamiento. La situación socioeconómica y el perfil biológico humano, que rara vez figuran en las listas genéricas de PII, sí están en esta.
Derechos del titular y plazo de respuesta
El artículo 4° reconoce al titular seis derechos sobre sus datos personales: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Los artículos 5° a 9° desarrollan los cinco primeros.
Son derechos personales, intransferibles e irrenunciables, y no pueden limitarse por ningún acto o convención. Fallecido el titular, pueden ejercerlos sus herederos, salvo que la persona fallecida lo hubiese prohibido expresamente o lo establezca una ley.
El artículo 11 fija el procedimiento. El responsable debe acusar recibo de la solicitud y pronunciarse dentro de los treinta días corridos siguientes a su ingreso, plazo prorrogable una sola vez por otros treinta días corridos. Son días corridos, no hábiles.
La respuesta debe constar por escrito, y el responsable debe conservar los respaldos que acrediten su envío, su fecha y su contenido íntegro. Si deniega la solicitud, total o parcialmente, debe fundar la decisión e informar al titular de que dispone de treinta días hábiles para reclamar ante la Agencia.
Para un responsable con copias de producción repartidas entre desarrollo, QA, analítica y proveedores, treinta días corridos es un plazo exigente. Una solicitud de supresión obliga a demostrar que el dato desapareció de todos los ejemplares, no solo del sistema de origen.
Qué cambia respecto de la Ley 19.628 y en qué se parece al RGPD
Frente a la Ley 19.628, lo que cambia no es solo la autoridad. La norma anterior no contaba con un catálogo sistematizado de principios, ni con un deber de reporte de vulneraciones de seguridad, ni con un régimen de multas comparable. Las tres piezas entran en vigor a la vez el 1 de diciembre de 2026.
Frente al RGPD europeo el parecido estructural es alto, y son las diferencias operativas las que importan. El reporte de brechas del artículo 14 sexies no fija un plazo en horas. Las 72 horas son una exigencia del RGPD, no de la ley chilena, y pueden adoptarse como objetivo interno de respuesta.
Las multas se expresan en UTM y, para empresas que no califican como de menor tamaño, pueden alcanzar el 2 % o el 4 % de los ingresos anuales por ventas y servicios en Chile, en lugar del 4 % de la facturación global. Y la definición chilena de dato sensible incorpora la situación socioeconómica, que la europea no menciona de forma expresa.
Cómo afecta la Ley 21.719 a los entornos de desarrollo, pruebas y analítica
Los planes de adecuación suelen concentrarse en lo visible: política de privacidad, consentimiento, cláusulas con encargados. Ninguno de esos frentes llega al lugar donde las organizaciones reguladas acumulan más copias de datos personales sin control.
En una organización mediana de un sector regulado, esas copias viven en varios sitios a la vez:
- Desarrollo y pruebas unitarias, donde los equipos necesitan datos de prueba con forma realista para reproducir defectos.
- Integración y preproducción, que por definición es una réplica casi exacta de producción.
- Analítica y ciencia de datos, donde los conjuntos se copian a un repositorio y permanecen durante años.
- Formación y demostraciones comerciales, donde la copia sale del perímetro.
- Soporte de segundo nivel, que restaura extractos de producción para diagnosticar un caso y rara vez los elimina después.
- Ambientes de terceros, que reciben copias para migraciones o desarrollos externalizados.
Cada una de esas copias es tratamiento bajo la definición del artículo 2°, y hereda las obligaciones del original. Un responsable que conserva copias no inventariadas de sus bases difícilmente puede acreditar que una supresión alcanzó a todos los ejemplares del dato.
Si uno de esos ambientes sufre una vulneración de seguridad, la obligación de reporte del artículo 14 sexies aplica en los mismos términos que si hubiera ocurrido en producción: es una brecha reportable.
La Agencia debe ser informada por los medios más expeditos posibles y sin dilaciones indebidas de las vulneraciones que ocasionen destrucción, filtración, pérdida o alteración de datos personales, o el acceso o comunicación no autorizados, cuando exista un riesgo razonable para los derechos y libertades de los titulares.
La ley no fija un plazo en horas. Las 72 horas son una exigencia del RGPD, no de la ley chilena, y pueden adoptarse como objetivo interno de respuesta.
Cuando la vulneración afecta datos sensibles, datos de menores de catorce años o datos de carácter económico, financiero, bancario o comercial, el responsable debe además comunicarla a los titulares afectados en lenguaje claro y sencillo.
Anonimización y seudonimización en la Ley 21.719: la diferencia es jurídica
El artículo 2° define la anonimización como el procedimiento irreversible en virtud del cual un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que la identifica. Un dato anonimizado deja de ser un dato personal y queda fuera del ámbito de aplicación de la norma.
La seudonimización, definida en el mismo artículo, opera de otro modo: es un tratamiento que impide atribuir los datos a un titular sin utilizar información adicional, siempre que esa información figure por separado y bajo medidas técnicas y organizativas que impidan la reidentificación. El dato seudonimizado sigue siendo un dato personal.
El artículo 14 quinquies recoge la seudonimización como medida de seguridad, y ese es su lugar: reduce el riesgo, no extingue las obligaciones.
La prueba práctica es una sola pregunta: ¿existe en algún punto de la organización una tabla, una clave o un procedimiento que permita revertir la transformación? Si la respuesta es sí, el proceso es de seudonimización y ese ambiente sigue sujeto a la ley en su totalidad.
La irreversibilidad que exige la definición legal tampoco se alcanza suprimiendo únicamente los identificadores directos. Los proyectos de enmascaramiento construidos con scripts propios suelen tratar el dato columna por columna, sin evaluar si la combinación de atributos restantes permite singularizar a una persona. Una anonimización coherente con la exigencia de irreversibilidad requiere tratar el conjunto completo e incorporar la evaluación del riesgo de reidentificación como parte del procedimiento.
Nada de esto sirve si degrada la utilidad del dato. Si la transformación rompe la integridad referencial entre esquemas, invalida los formatos que el sistema verifica o altera la distribución que la prueba necesitaba medir, el equipo de desarrollo volverá a solicitar producción. Ese es el punto donde fracasan estos proyectos: no por ausencia de controles, sino porque el resultado no era utilizable.
Cómo prepararse para la Ley 21.719 antes de diciembre de 2026
El diagnóstico se construye sobre cinco preguntas, y cada una debe responderse con evidencia documentada:
- ¿Cuántos ambientes no productivos existen, quién autorizó su creación y cuándo se refrescaron por última vez desde producción?
- ¿En qué tablas y columnas de esos ambientes residen datos personales, y cuáles califican como datos sensibles bajo la definición de la ley?
- ¿Quién tiene hoy acceso de lectura a esas bases, incluidos los proveedores externos?
- ¿Qué registro queda cuando alguien consulta esa información?
- ¿Cómo se acredita ante un fiscalizador que el dato presente en QA no permite reidentificar a ninguna persona?
La última pregunta gobierna a las demás. El artículo 3° dispone que el responsable deberá ser capaz de acreditar la licitud del tratamiento que realiza. La carga de la prueba es del responsable. Sin trazabilidad del proceso —origen del conjunto, reglas aplicadas, autorización correspondiente y destino de la entrega— la afirmación de que los ambientes de prueba están anonimizados carece de valor probatorio. Formalizar ese circuito es, en la práctica, lo que resuelve una estrategia de gestión de datos de prueba.
La guía de preparación para la Ley 21.719 recoge las obligaciones que afectan a los equipos técnicos, el papel de la anonimización en entornos de desarrollo y pruebas, y un autodiagnóstico para evaluar el grado de preparación de la organización.
Dónde se sitúa Gigantics
El reto operativo es real y no se resuelve mediante una directiva interna. El desarrollo, las pruebas y la analítica requieren datos que se comporten como los de producción, disponibles en plazos compatibles con los ciclos de entrega. Restringir el acceso a producción sin un reemplazo utilizable conduce de forma sistemática al mismo resultado: excepciones autorizadas, copias informales y un inventario incompleto.
Gigantics opera sobre ese punto con tres capacidades que se corresponden con obligaciones concretas de la ley. El descubrimiento y la clasificación de datos personales en las bases de origen responden a la necesidad de saber qué se trata y dónde, condición previa de cualquier acreditación de licitud.
La anonimización y el enmascaramiento con preservación de la integridad referencial y del comportamiento del dato permiten aplicar la transformación que el artículo 3° contempla como destino del dato, sin degradar la utilidad que los entornos de trabajo requieren.
Y el aprovisionamiento repetible de subconjuntos a cada ambiente, con registro de cada operación, produce el rastro documental —qué reglas se aplicaron sobre qué campos, bajo qué autorización y hacia qué destino— con el que se acredita el cumplimiento de los principios de proporcionalidad y seguridad ante la Agencia.