Que cambia el 1 de diciembre de 2026
Chile va a tener, desde esa fecha, una ley general de proteccion de datos personales. La Ley N° 21.719 fue publicada en diciembre de 2024 y entra en vigencia veinticuatro meses despues, el 1 de diciembre de 2026. Hasta ahora el tratamiento de datos personales en Chile se regia por una ley mucho mas antigua, pensada para otra epoca, que quedo corta frente a como las empresas recolectan, almacenan y comparten informacion hoy.
La ley crea ademas una autoridad nueva, la Agencia de Proteccion de Datos Personales, con facultades de fiscalizacion. Es la primera vez que Chile tiene un organismo dedicado exclusivamente a esta materia, con capacidad de investigar por iniciativa propia.
Por que el angulo relevante no es la multa
Buena parte de lo que circula sobre esta ley se concentra en las sanciones. El punto que suele quedar fuera es otro: desde esa fecha, un mismo hecho -una filtracion de datos, un acceso no autorizado a una base de clientes- puede activar dos procesos distintos, con logicas distintas.
Uno es penal: si alguien accede sin autorizacion a un sistema informatico o compromete su integridad, esa conducta ya esta tipificada en la Ley N° 21.459, vigente desde 2022. El otro es administrativo: la Agencia de Proteccion de Datos Personales puede revisar si la empresa cumplio sus obligaciones respecto de los datos que tenia bajo su custodia. Son preguntas distintas, que se responden ante autoridades distintas.
Dos frentes, una sola filtracion
Para una empresa que administra datos de clientes, trabajadores o usuarios, esto cambia el calculo de riesgo. Antes de diciembre de 2026, un incidente de seguridad que expone datos personales se analiza casi exclusivamente en clave penal: que delito se cometio, contra quien, con que evidencia. Despues de esa fecha se suma una pregunta adicional: que tan robustas eran las medidas de proteccion de esos datos antes de que ocurriera el incidente.
Eso no significa que toda filtracion termine en sancion. Significa que hay una autoridad nueva con competencia para preguntar, y que conviene poder responder con algo mas que buenas intenciones.
Que hacer mientras se acerca la fecha
La ley todavia no esta en regimen, y no corresponde anticipar obligaciones ni plazos que no esten definidos con precision en el texto vigente. Lo que si es razonable hacer ahora, con el tiempo que queda, es ordenar lo que ya depende de la propia empresa:
- Identificar que datos personales se recolectan, donde se almacenan y quien tiene acceso a ellos.
- Revisar los contratos con proveedores que procesan datos por cuenta de la empresa.
- Definir, internamente, que se hace en las primeras horas si se detecta un acceso no autorizado.
- Dejar por escrito criterios de acceso y retencion que hoy probablemente son solo practica informal.
Que hacer si ya ocurrio un incidente
Si la empresa ya sufrio un acceso no autorizado a datos personales, antes o despues de diciembre de 2026, lo primero no es evaluar la exposicion regulatoria: es preservar la evidencia tecnica del hecho y evaluar si corresponde denunciar una conducta tipificada en la Ley N° 21.459. La estrategia legal despues de un incidente se construye con esa evidencia intacta, no reconstruida dias despues.
El 1 de diciembre de 2026 no es solo una fecha en un calendario regulatorio. Es el dia en que una filtracion de datos personales deja de ser, para efectos legales, solo un problema penal. Anticiparse no elimina el riesgo, pero si determina con que evidencia y que criterios cuenta la empresa cuando algo ocurre.
Preguntas frecuentes
¿La Ley 21.719 reemplaza a la Ley 21.459 de delitos informaticos?+
No. Son leyes distintas que pueden aplicarse al mismo hecho desde angulos distintos. La Ley N° 21.459 tipifica delitos informaticos, como el acceso ilicito a un sistema o el sabotaje de datos, y se investiga en sede penal. La Ley N° 21.719 regula el tratamiento de datos personales en general y crea una autoridad administrativa, la Agencia de Proteccion de Datos Personales, con facultades propias de fiscalizacion. Una misma filtracion puede dar lugar a un proceso penal y, por separado, a una revision administrativa.
¿Desde cuando rige exactamente la nueva ley?+
La Ley N° 21.719 fue publicada el 13 de diciembre de 2024 y su entrada en vigencia esta fijada en el propio texto para el 1 de diciembre de 2026, veinticuatro meses despues de su publicacion. Hasta esa fecha sigue rigiendo el marco anterior. Conviene revisar el texto oficial de la ley antes de asumir que una obligacion especifica ya esta vigente, porque varias de sus disposiciones solo operan desde esa fecha.
¿Que autoridad va a fiscalizar el cumplimiento?+
La Agencia de Proteccion de Datos Personales, creada por la misma Ley N° 21.719 como organismo autonomo. Es la primera autoridad chilena dedicada exclusivamente a esta materia. Antes de su creacion no existia un organismo con esa funcion especifica, y los casos de mal uso de datos personales debian encauzarse por otras vias, generalmente mas lentas o menos especializadas.
¿Que deberia hacer mi empresa si detecta un acceso no autorizado a su base de datos?+
Preservar de inmediato la evidencia tecnica -registros de acceso, respaldos, trazabilidad del incidente- antes de reinstalar sistemas o cerrar accesos sin documentar lo ocurrido. Evaluar despues si la conducta configura un delito de los tipificados en la Ley N° 21.459 y si corresponde una denuncia. La respuesta correcta depende de cada caso concreto, y conviene evaluarla con asesoria legal desde las primeras horas, no despues.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.