Cumplimiento de la Ley 21.719: la ruta completa, por etapas
La vigencia de la Ley 21.719 está prevista para el 1 de diciembre de 2026, hay un proyecto en trámite para postergarla y su reglamento de modelos de prevención ya está publicado. Cumplir no es un solo proyecto: son dos etapas con objetivos distintos. Esta página explica cuál te corresponde hoy.
- Etapa 1 · Adecuación
- Etapa 2 · Modelo de Prevención
- Operación con DPD
- Aplica a toda Chile
El cumplimiento completo de la Ley 21.719, no un servicio suelto
Una sola propuesta con las tres piezas que tu empresa necesita para cumplir. Precio en UF en 3 a 5 minutos, sin reuniones previas.
Cotizar la consultoría completa →Sin compromiso. Contratas solo si decides avanzar.
-
Consultoría legal y de ciberseguridad Una abogada y un líder de ciberseguridad, en un mismo equipo.
-
Software Confirmer360 RAT, consentimientos, ARSOP, EIPD e incidentes, con evidencia.
-
Capacitación con certificado Cursos, evaluación final y certificado para cada trabajador.
La fecha puede moverse. Las obligaciones, no.
Hay un proyecto de ley en trámite para postergar la entrada en vigencia de la Ley 21.719. Lo que ese proyecto puede cambiar es el día en que la Agencia empieza a fiscalizar; no cambia qué tiene que tener listo tu empresa. Una implementación seria toma de 2 a 3 meses.
Ver preguntas frecuentes sobre la vigencia- Se publica la Ley 21.719 Comienza el plazo de adecuación para las empresas.
- Decreto 662 Reglamenta el Modelo de Prevención de Infracciones.
- Proyecto de postergación en trámite Las obligaciones de la ley siguen siendo las mismas.
- Vigencia prevista La Agencia puede fiscalizar y sancionar.
- Nueva fecha, si se aprueba la postergación El trabajo de implementación es el mismo.
Dos etapas, no dos opciones
La adecuación te pone al día con la ley: es obligatoria para todo responsable de datos, sin importar el tamaño.
El Modelo de Prevención de Infracciones es un programa de cumplimiento formal, voluntario y certificable por la Agencia, que la ley considera como atenuante de sanciones.
El reglamento es explícito: adoptar un programa de cumplimiento no libera del deber de cumplir la ley. Por eso el modelo se construye sobre la adecuación, nunca en vez de ella.
En qué se diferencian
Misma ley, dos instrumentos con carácter, objetivo y momento distintos.
| Adecuación | Modelo de Prevención de Infracciones | |
|---|---|---|
| Carácter | Obligatorio | Voluntario |
| Objetivo | Cumplir la ley | Acreditar y certificar el cumplimiento |
| Quién lo valida | Nadie externo, salvo fiscalización | La Agencia de Protección de Datos Personales |
| Beneficio | Evitar la infracción | Atenuante de sanciones + registro público |
| Requisito previo | Ninguno | Adecuación completada |
| Vigencia | Permanente | Certificado de 3 años, renovable |
| Cuándo te toca | Ahora | Después de la adecuación |
¿En qué etapa estás?
Elige la frase que mejor describe tu organización hoy. Cada una lleva al servicio que te corresponde.
- "No tengo RAT ni políticas formales"
- Partes desde cero. Lo primero es cumplir la ley: registro de tratamientos, bases de licitud, políticas y procesos ARSOP. Empieza por la Adecuación
- "Tengo políticas de la antigua Ley 19.628"
- Las políticas antiguas no cubren lo que exige la Ley 21.719. Hay base para reutilizar, pero el modelo se levanta de nuevo. Empieza por la Adecuación
- "Ya tengo RAT, políticas y procesos ARSOP operando"
- Tu adecuación está hecha. El paso siguiente es formalizarla en un programa de cumplimiento certificable por la Agencia. Estás listo para el Modelo de Prevención
- "Tengo ISO 27001 certificado"
- Tu base técnica está resuelta y la adecuación se acorta, pero falta la capa de privacidad: RAT, EIPD, ARSOP y rol formal del delegado. Adecuación acelerada, luego el Modelo
Las tres piezas del ecosistema
En orden. Cada una supone la anterior.
1 · Adecuación a la Ley 21.719
RAT, bases de licitud, políticas, avisos, DPA, ARSOP, EIPD y gestión de brechas. 2 a 3 meses.
2 · Modelo de Prevención de Infracciones
Gobernanza del delegado, matriz de riesgos, protocolos, canal de denuncias, régimen disciplinario y expediente de certificación.
3 · DPD Virtual
Operación diaria del cumplimiento una vez implementado, con separación de roles frente al equipo que implementa.
No es una recomendación: es ley vigente
La Ley 21.719 reemplaza a la antigua Ley 19.628 y eleva el estándar al nivel del GDPR europeo. Tres factores hacen que prepararte ahora deje de ser opcional:
La Agencia ya se está conformando
La nueva Agencia de Protección de Datos tiene facultades para fiscalizar, sancionar y publicar las infracciones. No es un órgano declarativo — tiene dientes.
Sanciones graduadas por gravedad
La ley establece infracciones leves, graves y gravísimas con una graduación de sanciones para cada categoría, además de medidas correctivas y publicidad de la sanción. El daño reputacional es comparable al financiero.
La fecha puede moverse, el trabajo no
Una implementación bien hecha toma 2 a 3 meses. Si arrancas tarde, llegas con un cumplimiento parcial y expuesto a las primeras fiscalizaciones.
"El problema no es si te van a fiscalizar. Es si vas a tener evidencias que mostrar cuando te fiscalicen."
Ver diagnóstico Ley 21.719Seis requisitos operativos que debes tener listos
No basta con publicar una política de privacidad. La ley exige procesos vivos con evidencias. Estos son los seis pilares que evaluamos en nuestro diagnóstico de adecuación.
De declarativa a operativa · vigencia prevista para diciembre de 2026
- Registro de Actividades de Tratamiento (RAT)
- Inventario operativo de cada tratamiento con finalidad, base de licitud, categorías de datos, destinatarios, plazos y medidas de seguridad. Es el documento que la Agencia pide primero.
- Bases de licitud por finalidad
- Cada tratamiento debe tener una base legal explícita: consentimiento, contrato, obligación legal, interés legítimo, etc. No es opcional ni se asume — se documenta y se justifica.
- Derechos ARSOP
- Acceso, Rectificación, Supresión, Oposición + Portabilidad y Bloqueo. Tu organización debe tener un canal claro y plazos respetados para responder solicitudes de titulares. También encontrarás la sigla ARCOP, de uso extendido en Chile, que dice «cancelación» donde la Ley 21.719 dice «supresión». Son los mismos derechos.
- Evaluaciones de Impacto en Privacidad (EIPD)
- Obligatorias para tratamientos de alto riesgo (datos sensibles, perfilamiento, decisiones automatizadas). Documentan riesgos, salvaguardas y decisiones de mitigación.
- Delegado de Protección de Datos (DPD)
- Punto de contacto formal con la Agencia y los titulares. Obligatorio en casos previstos por la ley; recomendable en el resto. Puede ser interno o externo (DPD Virtual).
- Gestión y notificación de brechas
- Procedimiento entrenado para detectar, contener, investigar y notificar a la Agencia y titulares afectados en plazos acotados (horas, no días). Sin proceso previo, no hay cumplimiento.
Aprende cada requisito en video
Tutoriales y webinars que explican estas obligaciones y muestran cómo se operan en Confirmer360, nuestra plataforma.
Servicios diseñados para cada requisito de la ley
Una misma vertical, varios productos. Eliges según dónde estás hoy: diagnóstico de partida, implementación completa, o servicios puntuales para cubrir gaps específicos.
Consultoría, software y capacitación: un solo servicio.
Consultoría legal y de ciberseguridad, el software para operar el cumplimiento y la capacitación certificada de tu equipo, en un mismo proyecto de 2 a 3 meses.
Consultoría legal y de ciberseguridad
Una abogada especialista y un líder de ciberseguridad levantan contigo el RAT, las bases de licitud, las políticas y los procesos de derechos, EIPD y brechas.
Ver la consultoría
Software Confirmer360: consentimientos y cumplimiento
Registra qué autorizó cada persona y por qué canal, y deja el RAT, las solicitudes ARSOP, las EIPD y los incidentes con su evidencia en un mismo lugar.
Ver el software
Capacitación con certificado para trabajadores
Cada trabajador hace sus cursos en Certisec Academy, rinde una evaluación final y recibe su certificado: la evidencia de capacitación que piden la Agencia y tus clientes.
Ver la capacitaciónCumplir la Ley 21.719 exige dos miradas: la jurídica y la técnica.
La ley pide medidas de seguridad y, al mismo tiempo, fundamentos legales para cada tratamiento. En Confiden360 las dos miradas están en el mismo equipo: un líder de ciberseguridad y una abogada especialista en protección de datos revisan juntos cada entregable.
Ciberseguridad
- Medidas de seguridad proporcionales al riesgo
- Gestión y notificación de brechas
- Controles en sistemas y accesos
- Evidencias técnicas auditables
Legal
- Bases de licitud para cada tratamiento
- Políticas, avisos y contratos con encargados
- Derechos ARSOP atendidos dentro de plazo
- Evaluaciones de impacto en privacidad
Cada entregable se revisa con las dos miradas antes de darse por cerrado.
Tu cumplimiento operativo, no en planillas Excel
Confirmer360 es nuestra plataforma propia. Centraliza el RAT, las EIPD, los derechos de titulares, las brechas y las evidencias auditables. Ante una fiscalización, no buscas archivos en Drive — abres el dashboard.
El RAT en Confirmer360: cada actividad con su estado y las alertas de EIPD pendiente, encargado sin contrato, revisión vencida o transferencia internacional.
- RAT operativo
- Registro de Actividades de Tratamiento siempre actualizado, con responsables, plazos y vínculos a evidencias.
- Derechos ARSOP con tickets
- Cada solicitud de un titular se gestiona como un ticket con plazos, responsables y trazabilidad para la Agencia.
- Workflow de brechas
- Procedimiento estructurado de detección, contención, investigación y notificación, con relojes de plazo legal.
Sobre la Ley de Datos Personales (Ley 21.719)
¿Cuándo entra en vigencia plena la Ley 21.719?
La Ley 21.719 fue publicada en 2024 y su vigencia está prevista para diciembre de 2026; hay un proyecto de ley en trámite para postergarla, pero las obligaciones no cambian. Desde esa fecha la Agencia de Protección de Datos puede fiscalizar y aplicar sanciones efectivas.
¿Se dice ARSOP o ARCOP? ¿Cuál es la diferencia?
Las dos siglas designan los mismos derechos del titular y la diferencia está en la tercera letra. ARSOP significa Acceso, Rectificación, Supresión, Oposición y Portabilidad, y es la que se ajusta al texto de la Ley 21.719, que habla de supresión. ARCOP dice Cancelación en ese tercer lugar: es un término heredado de la antigua Ley 19.628 y del uso latinoamericano, y sigue siendo de uso muy extendido en Chile. No son derechos distintos ni listas distintas: es la misma facultad de pedir que se eliminen tus datos, nombrada de dos maneras. En Confiden360 usamos ARSOP por precisión normativa, y reconocemos ARCOP porque es como la mayoría del mercado sigue nombrándolos.
¿A qué empresas les aplica?
Aplica a toda organización pública o privada que trate datos personales de personas naturales en Chile, sin importar tamaño ni rubro. Si tienes empleados, clientes o usuarios, la ley te aplica.
¿Es obligatorio tener un Delegado de Protección de Datos (DPD)?
Sí, en los casos previstos por la ley: organismos públicos, organizaciones que tratan datos sensibles a gran escala o que realizan tratamientos masivos. En el resto de los casos es altamente recomendable. El DPD puede ser interno o externo (DPD Virtual).
¿Cuáles son las sanciones por incumplimiento?
La ley clasifica las infracciones en leves, graves y gravísimas, y establece una graduación de sanciones para cada categoría. Además de la multa, las infracciones más serias contemplan medidas correctivas y la publicidad de la sanción. La adopción de un Modelo de Prevención de Infracciones es una de las circunstancias que la ley considera al graduar la sanción.
¿Cuál es la diferencia entre adecuarse y tener un Modelo de Prevención de Infracciones?
La adecuación es obligatoria y consiste en cumplir lo que la ley exige: RAT, bases de licitud, políticas, ARSOP, EIPD y gestión de brechas. El Modelo de Prevención de Infracciones es voluntario y consiste en formalizar ese cumplimiento en un programa que la Agencia puede certificar. No son alternativas: el modelo se construye sobre la adecuación.
¿Puedo certificar el modelo sin haber hecho la adecuación?
No tiene sentido intentarlo. El programa se arma sobre el registro de actividades de tratamiento, las bases de licitud y los procesos ARSOP que produce la adecuación. Sin esa base no hay qué caracterizar, qué ponderar en la matriz de riesgos ni qué presentar en el expediente. El reglamento además señala que adoptar el programa no exime de cumplir la ley.
¿Qué pasa si no alcanzo a la fecha de vigencia?
La ley rige desde esa fecha con independencia del avance de cada organización: desde ahí la Agencia puede fiscalizar. Llegar con la adecuación en curso es mejor que llegar sin nada, porque las medidas adoptadas y la diligencia demostrada son antecedentes relevantes. La prioridad en ese escenario es cerrar primero lo que una fiscalización pide de entrada: RAT, bases de licitud y proceso de brechas.
¿Qué relación tiene la Ley 21.719 con ISO 27001?
ISO 27001 cubre aproximadamente 60–70% de los requisitos operativos de la Ley 21.719 (controles técnicos, gestión de riesgos, gestión de incidentes, gobernanza). Si ya implementaste ISO 27001, partes con una ventaja significativa. Lo que falta es la capa específica de privacidad: RAT, EIPD, derechos ARSOP y rol formal de DPD. Lee también la guía de ISO 27001 para ver cómo se conectan ambos marcos.
¿Qué es el RAT (Registro de Actividades de Tratamiento)?
Es el documento operativo central que exige la ley: un inventario de cada tratamiento de datos personales que realiza la organización, con su finalidad, base de licitud, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad. La Agencia puede pedírtelo en cualquier fiscalización.
¿Cuánto tiempo toma adecuarse?
Con nuestra metodología, una implementación completa toma entre 2 y 3 meses según el tamaño de la organización y la cantidad de tratamientos. Si tu empresa ya cuenta con ISO 27001, el plazo se acorta. Lo importante es empezar antes de la fecha de vigencia para no quedar expuesto en las primeras fiscalizaciones.
¿Qué pasa si tengo una brecha de datos personales?
La ley exige notificar a la Agencia y, en ciertos casos, a los titulares afectados. Los plazos son acotados (hablamos de horas, no días). Por eso operar con un proceso de gestión de brechas previamente diseñado y entrenado no es opcional — es la diferencia entre una multa contenida y una gravísima.
¿Listo para implementar la Ley 21.719 en tu empresa?
Agenda una conversación inicial gratuita de 30 minutos. Te entregamos una lectura honesta de tu estado de adecuación a la Ley 21.719 y un mapa de los gaps que tienes que cerrar primero.