{"id":8122,"date":"2026-09-10T17:28:49","date_gmt":"2026-09-10T20:28:49","guid":{"rendered":"https:\/\/www.insside.net\/cl\/?p=8122"},"modified":"2026-09-14T11:58:27","modified_gmt":"2026-09-14T14:58:27","slug":"cl-ley-21719-proteccion-datos-personales","status":"publish","type":"post","link":"https:\/\/www.insside.net\/cl\/cl-ley-21719-proteccion-datos-personales\/","title":{"rendered":"Ley 21.719: protecci\u00f3n de datos personales y su articulaci\u00f3n con la Ley 21.663"},"content":{"rendered":"\n

Chile suma una segunda gran reforma regulatoria en materia digital. Mientras la Ley Marco de Ciberseguridad<\/a> (Ley 21.663) regula la protecci\u00f3n de sistemas e infraestructura, la Ley 21.719 regula espec\u00edficamente la protecci\u00f3n de los datos personales que esos sistemas contienen. Ambas normas conviven y, para muchas organizaciones, se superponen en la pr\u00e1ctica.<\/p>\n\n\n\n

Qu\u00e9 es la Ley 21.719<\/h2>\n\n\n\n

La Ley 21.719 es la nueva normativa de protecci\u00f3n de datos personales en Chile. Entra en vigor el 1 de diciembre de 2026 y crea la Agencia de Protecci\u00f3n de Datos Personales, el organismo que fiscalizar\u00e1 su cumplimiento. Aplica a cualquier persona natural o jur\u00eddica que trate datos personales, y tambi\u00e9n a los \u00f3rganos p\u00fablicos en el ejercicio de sus funciones.<\/p>\n\n\n\n

Qu\u00e9 exige la ley<\/h2>\n\n\n\n

Delegado de Protecci\u00f3n de Datos<\/strong><\/h3>\n\n\n\n

Las organizaciones que tratan datos personales de forma significativa deben designar un Delegado de Protecci\u00f3n de Datos, responsable de supervisar el cumplimiento normativo.<\/p>\n\n\n\n

Derechos ARCO<\/strong><\/h3>\n\n\n\n

La ley refuerza los derechos de las personas sobre sus propios datos: acceso, rectificaci\u00f3n, cancelaci\u00f3n y oposici\u00f3n, adem\u00e1s de nuevos derechos como la portabilidad.<\/p>\n\n\n\n

Evaluaciones de impacto<\/strong><\/h3>\n\n\n\n

Antes de implementar tratamientos de datos de alto riesgo, las organizaciones deben realizar evaluaciones de impacto que documenten los riesgos y las medidas de mitigaci\u00f3n.<\/p>\n\n\n\n

Notificaci\u00f3n de brechas<\/strong><\/h3>\n\n\n\n

Ante una brecha de seguridad que afecte datos personales, la ley exige notificar a la autoridad dentro de un plazo de 72 horas, similar en l\u00f3gica al reporte de incidentes<\/a> que exige la Ley 21.663 al CSIRT Nacional.<\/p>\n\n\n\n

C\u00f3mo se articula con la Ley 21.663<\/h2>\n\n\n\n

Ambas leyes comparten una misma l\u00f3gica de fondo: gestionar el riesgo de forma proactiva y demostrar, con evidencia, que los controles funcionan. Una organizaci\u00f3n que ya avanz\u00f3 en su SGSI conforme a la Ley 21.663<\/a> tiene buena parte del trabajo hecho para la 21.719: gobernanza definida, controles de acceso, gesti\u00f3n de incidentes y evidencias documentadas. Lo que suma la Ley 21.719 es una capa espec\u00edfica sobre los datos personales: base legal del tratamiento, derechos ARCO y evaluaciones de impacto que no forman parte del alcance de la Ley 21.663<\/a>.<\/p>\n\n\n\n

Las organizaciones calificadas como Operadores de Importancia Vital, que ya manejan datos sensibles de sus usuarios o pacientes, deber\u00edan evaluar ambas normativas de forma conjunta en lugar de abordarlas como proyectos separados.<\/p>\n\n\n\n

Por d\u00f3nde empezar<\/h3>\n\n\n\n

Lo recomendable es un diagn\u00f3stico conjunto que identifique qu\u00e9 controles ya cubiertos por la Ley 21.663 sirven tambi\u00e9n para la Ley 21.719, y qu\u00e9 brechas son espec\u00edficas de protecci\u00f3n de datos: mapeo de tratamientos, designaci\u00f3n del DPO y evaluaciones de impacto pendientes.<\/p>\n\n\n\n

En INSSIDE ofrecemos apoyo integral para el cumplimiento de la Ley 21.719, integrado con nuestra pr\u00e1ctica de GRC y ciberseguridad bajo la Ley 21.663. Cont\u00e1ctenos<\/a>.<\/p>\n\n\n\n

Preguntas frecuentes<\/h2>\n\n\n\n
\n\n