Guía · Ley 21.719

Checklist: qué debe hacer una pyme chilena antes del 1 de diciembre de 2026

Actualizada el 21 de julio de 2026

Antes del 1 de diciembre de 2026, una empresa chilena debería tener identificada la base de licitud de cada tratamiento (arts. 12 y 13), una política de privacidad pública con el contenido mínimo legal (art. 14 ter), un canal para ejercer los derechos ARCO+ (art. 11) y un protocolo de brechas de seguridad (art. 14 sexies). Esta guía resume las obligaciones transversales, cada una con su artículo.

Esta es una síntesis de las obligaciones del articulado, no una lista oficial de la Agencia (que aún no existe). Sirve como punto de partida, no reemplaza una asesoría legal para tu caso.

Checklist de cumplimiento de la Ley 21.719

1. Identificar y documentar la base de licitud de cada tratamiento: consentimiento u otra base legal como obligación legal, contrato o interés legítimo (arts. 12 y 13), y poder acreditar esa licitud (art. 3, letra a).
2. Publicar una política de privacidad con el contenido mínimo legal: responsable, canal de contacto, categorías de datos, finalidades, base de legitimidad, seguridad, derechos, transferencias y plazos de conservación (art. 14 ter).
3. Habilitar un canal de contacto operativo para que los titulares ejerzan sus derechos (su ausencia es infracción leve, art. 34 bis).
4. Tener un procedimiento interno para gestionar solicitudes ARCO+ dentro de 30 días corridos y conservar respaldo de cada respuesta (art. 11).
5. Adoptar medidas de seguridad técnicas y organizativas proporcionales al riesgo, y poder acreditarlas (art. 14 quinquies).
6. Aplicar protección de datos desde el diseño y por defecto en nuevos proyectos y sistemas (art. 14 quáter).
7. Imponer deber de secreto a quienes accedan a los datos, vigente incluso tras terminar la relación laboral o contractual (art. 14 bis).
8. Tener un protocolo de gestión de brechas: notificar a la Agencia y, cuando corresponda, a los titulares, y registrar cada incidente (art. 14 sexies).
9. Formalizar contratos con proveedores que traten datos por tu cuenta (encargados), fijando objeto, finalidad, tipo de datos y obligaciones (art. 15 bis).
10. Evaluar si un tratamiento de alto riesgo requiere una evaluación de impacto (EIPD) previa (art. 15 ter).
11. Aplicar reglas reforzadas para datos sensibles (art. 16) y para datos de niños, niñas y adolescentes (art. 16 quáter).
12. Documentar el mecanismo que habilita cualquier transferencia internacional de datos (art. 27).

¿Y las obligaciones opcionales?

No es obligatorio, pero adoptar un modelo de prevención de infracciones certificable ante la Agencia, con un delegado de protección de datos, funciona como atenuante frente a eventuales sanciones (arts. 49 a 51).

La Agencia debe fijar por instrucción general estándares de cumplimiento diferenciados según el tamaño de la empresa (art. 14 septies), pero esas instrucciones todavía no se dictan. El checklist anterior es la base transversal que aplica a todos.

Material informativo elaborado por el equipo de iDataSeguro sobre el texto oficial de la Ley 21.719 (Biblioteca del Congreso Nacional). No constituye asesoría legal: consulta a un abogado para tu caso particular.