INFINITY X ERP

Legal

Ley 21.719 de datos personales: qué debe hacer tu pyme

Publicado el · 9 min de lectura · Por Equipo INFINITY X

Teléfono celular envuelto en una cadena cerrada con un candado de combinación sobre una mesa de madera

La Ley 21.719 cambia las reglas para tratar datos personales en Chile: modifica a fondo la Ley 19.628, que pasa a llamarse ley sobre Protección de los Datos Personales, crea la Agencia de Protección de Datos Personales y fija multas que pueden llegar a 20.000 UTM. No es una ley solo para bancos o grandes plataformas: se aplica a cualquier negocio que guarde el RUT, el nombre, el teléfono o el correo de sus clientes, y eso incluye a casi todas las pymes que venden.

En esta guía verás desde cuándo rige, qué datos de tus clientes quedan cubiertos, qué conviene ordenar en tu negocio y cómo te ayuda un sistema de gestión. Es una guía práctica con fines informativos, no asesoría legal: para tu caso concreto, revísalo con un abogado.

Desde cuándo rige: 1 de diciembre de 2026, por ahora

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. Su artículo primero transitorio fija la entrada en vigencia el primer día del mes vigésimo cuarto posterior a la publicación, es decir, el 1 de diciembre de 2026. Esa es la fecha que hoy figura en el texto oficial de la ley en LeyChile.

Existe un proyecto para postergarla (boletín 18.623-07). El 28 de octubre de 2026 la Sala del Senado lo aprobó y fijó como nueva fecha el 15 de octubre de 2027, según informó el Diario Financiero. El 5 de noviembre, la Comisión de Constitución de la Cámara de Diputados lo aprobó en general y lo envió a la Comisión de Hacienda, como informó Portal Innova. La tramitación se puede seguir en el portal legislativo del Senado.

Al 13 de noviembre de 2026 la postergación todavía no es ley: le falta terminar su paso por la Cámara y publicarse en el Diario Oficial. Mientras eso no ocurra, la fecha vigente sigue siendo el 1 de diciembre de 2026. Y aunque se apruebe, las obligaciones son las mismas; solo cambia el plazo para cumplirlas, así que conviene ordenar el negocio desde ya.

Qué datos de tus clientes cubre la ley

Dato personal es cualquier información que identifica o permite identificar a una persona natural. En una pyme que vende aparece en muchos lugares:

  • El RUT, el nombre, la dirección y el giro de un cliente persona natural que te pide factura.
  • El correo o el teléfono que pides para enviar la boleta, avisar que un pedido está listo o coordinar un despacho.
  • La base de clientes con su historial de compras, sus deudas en cuenta corriente o su límite de crédito.
  • La patente del vehículo, la dirección de entrega o la firma del cliente en una orden de trabajo.
  • Los datos de tus trabajadores y de las personas de contacto de tus proveedores.

Los datos de una empresa como tal, por ejemplo su razón social, no son datos personales, pero sí lo son los de las personas con quienes te comunicas en ella. Algunos datos, como los de salud, son sensibles y tienen reglas más estrictas: si tu negocio los maneja, la asesoría legal es indispensable.

Con qué base puedes usar esos datos

Todo tratamiento de datos necesita una base de licitud. La regla general es el consentimiento del titular, que debe ser libre, informado, específico, previo e inequívoco, y que la persona puede revocar en cualquier momento (artículo 12). El artículo 13 agrega casos en que no se necesita consentimiento:

  • Cuando lo exige una obligación legal, como los datos del receptor que pide el SII para emitir una factura electrónica.
  • Cuando es necesario para celebrar o ejecutar un contrato con el titular: la dirección para despachar lo que compró o el teléfono para avisarle que su equipo está listo.
  • Cuando hay un interés legítimo del negocio que no afecta los derechos del titular, quien siempre puede pedir que le expliquen cuál es ese interés.
  • Cuando es necesario para ejercer o defender un derecho ante los tribunales o un organismo público.

La regla práctica es usar cada dato para lo que lo pediste. El correo que te dieron para enviar la boleta no sirve, por sí solo, para mandar promociones: para eso necesitas un consentimiento aparte, que puedas demostrar, porque la ley pone esa prueba de tu lado, y que el cliente pueda retirar con la misma facilidad con que lo dio. La ley presume además que el consentimiento no fue libre si pides datos que no son necesarios para el servicio que prestas.

Los derechos de tus clientes

Toda persona puede ejercer ante tu negocio los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. Son los conocidos derechos ARCO, ampliados con la portabilidad y el bloqueo:

  • Acceso: saber si tienes datos suyos, cuáles son, para qué los usas y de dónde los obtuviste.
  • Rectificación: corregir datos inexactos, incompletos o desactualizados.
  • Supresión: pedir que los elimines, por ejemplo cuando ya no son necesarios o se retiró el consentimiento. No procede cuando el tratamiento es necesario para cumplir una obligación legal o ejecutar un contrato con el titular.
  • Oposición: negarse a un uso determinado, como el envío de publicidad o un tratamiento basado en el interés legítimo del negocio.
  • Portabilidad: recibir una copia de sus datos en un formato electrónico estructurado y de uso común, o pedir que se transfieran a otro responsable.
  • Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición.

La rectificación, la supresión y la oposición son siempre gratuitas, y el acceso lo es al menos una vez por trimestre. Recibida una solicitud, debes acusar recibo y responder dentro de 30 días corridos, plazo que se puede prorrogar una sola vez por otros 30 (artículo 11). Si la rechazas o no respondes a tiempo, la persona puede reclamar ante la Agencia. Por eso conviene definir desde ya un canal, como un correo o un formulario, y a quién le toca responder.

Qué debes publicar y cómo proteger los datos

El artículo 14 ter obliga a mantener a disposición del público, en tu sitio web o en un medio equivalente, tu política de tratamiento de datos: quién es el responsable, el correo o formulario para las solicitudes, qué datos tratas y para qué, con qué base legal, a quién los comunicas, cuánto tiempo los conservas, qué medidas de seguridad aplicas y cómo se ejercen los derechos.

Además debes adoptar medidas de seguridad acordes al riesgo (artículo 14 quinquies) y reportar a la Agencia, sin dilaciones indebidas, las vulneraciones de seguridad que pongan en riesgo razonable los derechos de las personas (artículo 14 sexies). La ley toma en cuenta el tamaño del negocio: la Agencia fijará estándares diferenciados de información y seguridad para las empresas de menor tamaño mediante instrucciones generales (artículo 14 septies).

La Agencia de Protección de Datos y las multas

La ley crea la Agencia de Protección de Datos Personales, que fiscalizará el cumplimiento, resolverá los reclamos de las personas y aplicará las sanciones. Según la prensa, la Agencia todavía no está instalada, y el mismo proyecto de postergación cambia la composición de su consejo directivo.

Las infracciones se clasifican en leves, graves y gravísimas, y el artículo 35 fija estas multas:

  • Leves, como no publicar la información exigida o responder fuera de plazo una solicitud: amonestación escrita o multa de hasta 5.000 UTM.
  • Graves, como tratar datos sin consentimiento ni otra base legal, usarlos para un fin distinto o no cumplir las obligaciones de seguridad: multa de hasta 10.000 UTM.
  • Gravísimas, como tratar datos en forma fraudulenta u omitir deliberadamente la comunicación de una vulneración de seguridad: multa de hasta 20.000 UTM.

Si hay reincidencia, la multa puede llegar al triple, y las empresas que no son de menor tamaño arriesgan además hasta el 2 % o el 4 % de sus ingresos anuales en infracciones graves o gravísimas reiteradas. Para fijar el monto la Agencia considera, entre otros criterios, la capacidad económica del infractor, y son atenuantes reparar el daño, colaborar con la investigación o autodenunciarse. Los sancionados quedan anotados durante cinco años en un Registro Nacional de Sanciones y Cumplimiento de acceso público.

Lista de tareas para tu pyme

  1. Haz un inventario: qué datos personales pides, dónde quedan (sistema, planillas, WhatsApp, papel) y quién tiene acceso a ellos.
  2. Anota para qué usas cada dato y con qué base legal: obligación tributaria, contrato, interés legítimo o consentimiento.
  3. Deja de pedir lo que no necesitas y elimina lo que ya no usas, salvo lo que debas conservar por ley.
  4. Separa el consentimiento para publicidad del dato que pides para vender, y guarda la evidencia.
  5. Publica tu política de tratamiento de datos en tu sitio web o en un medio equivalente.
  6. Define un correo o formulario para las solicitudes de derechos y a la persona que las responde dentro de 30 días corridos.
  7. Revisa la seguridad: una cuenta por persona, permisos según el cargo, verificación en dos pasos, respaldos y nada de planillas con datos de clientes circulando por correo.
  8. Prepara qué hacer ante una filtración o pérdida de datos, incluido el aviso a la Agencia.
  9. Revisa los contratos con quienes tratan datos por ti, como tu sistema de gestión, tu contador o tu empresa de despacho.

Cómo te ayuda un ERP

Un sistema de gestión no hace que cumplas la ley por sí solo, pero ordena buena parte de lo técnico. En INFINITY X ERP los datos de cada empresa están aislados a nivel de base de datos, cada usuario entra con su propia cuenta y ve solo lo que su rol permite, el acceso admite verificación en dos pasos y queda una auditoría de los accesos. Los datos de cada cliente están en su ficha, donde se corrigen cuando lo pide, y la lista de clientes se puede exportar a Excel cuando necesitas entregar una copia.

Si usas un ERP en la nube, tu negocio sigue siendo el responsable de los datos de sus clientes y el proveedor los trata por cuenta tuya, como encargado. Pregunta cómo los protege; en nuestro caso lo explicamos en la política de privacidad. Revisa las funcionalidades y la seguridad del ERP, compara los planes y precios o prueba gratis 30 días.

Recuerda que esta guía resume la ley y no reemplaza la asesoría de un abogado: antes de la fecha de vigencia, conviene revisar tu caso con un profesional.

Fuentes

Sigue leyendo

Probar gratis 30 días · Ver la demo en vivo, sin registro