La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, entra en vigencia el 1 de diciembre de 2026. Reemplaza el régimen de la Ley 19.628, vigente desde 1999, y crea la Agencia de Protección de Datos Personales como organismo fiscalizador.
Lo que más se ha discutido es la parte sancionatoria. Las infracciones se clasifican en tres niveles, con multas de hasta 5.000, 10.000 y 20.000 UTM según su gravedad, y sanciones que en casos de reincidencia pueden alcanzar un porcentaje de los ingresos anuales por ventas y servicios en Chile. Esa dimensión corresponde a los abogados. Aquí interesa otra.
Hasta ahora, para la mayoría de las empresas chilenas, un incidente con datos personales era un problema interno con consecuencias inciertas. Desde diciembre pasa a ser un procedimiento ante un organismo con facultades, con plazos y con registro. Eso produce tres efectos comunicacionales que conviene anticipar:
El primero es que la declaración misma queda fechada. Eso permite comparar cuándo la empresa supo del incidente con cuándo lo informó, y esa distancia deja de ser un asunto privado.
El segundo es que rara vez la empresa habla primero. Para cuando se pronuncia, ya existe una versión institucional —de un regulador, un tribunal, un sindicato— que los medios pueden citar, y la de la empresa deja de ser la única fuente.
El tercero es que se genera comparación. Cuando varias empresas de una misma industria enfrenten procedimientos parecidos, la diferencia en cómo respondieron será visible.
Este año las organizaciones están revisando contratos, encargados de tratamiento y bases de licitud. Es el trabajo correcto. Pero existe una pregunta paralela que casi nunca tiene dueño: si mañana se produce un incidente que afecta datos de clientes o trabajadores, quién decide qué se dice, a quién se le dice primero, en qué plazo, y quién firma esa comunicación.
La notificación al afectado y a la autoridad tiene reglas propias que define la asesoría legal de la empresa. Lo que no tiene reglas —y por eso conviene definirlo antes— es todo lo demás: qué se le dice al trabajador cuyos datos están involucrados, en qué momento respecto de la notificación formal y por qué canal; qué se le dice al cliente relevante, que de todos modos se va a enterar; qué se responde si un medio consulta antes de que el procedimiento concluya; y qué no se dice mientras la investigación esté abierta, explicando ese silencio sin que parezca ocultamiento.
Un incidente de datos bien manejado deja a la empresa como una organización que detectó, informó y corrigió. Uno mal manejado deja a la misma empresa, con el mismo incidente, como una que ocultó. La diferencia se decide en las primeras horas, con criterios que deberían estar acordados antes.
Diciembre de 2026 es una fecha conocida. Es una de las pocas contingencias que permite prepararse con calendario.
