Checklist de la Ley 21.719: 20 puntos para revisar en tu empresa

Para revisar si tu empresa está preparada para la Ley 21.719, conviene recorrer ocho frentes: el inventario de datos personales, las bases de licitud, la información a las personas, la respuesta a sus derechos, la seguridad, el manejo de filtraciones, los proveedores y transferencias, y la organización interna. Esta lista reúne 20 puntos concretos. Si marcas pocos, no es motivo de alarma: te muestra por dónde empezar. La ley entra en plena vigencia el 1 de diciembre de 2026 y aplica a toda empresa que trate datos personales, sin importar su tamaño.

Puedes usar la lista tal cual o copiarla a una planilla y asignar un responsable y una fecha a cada punto. Para el primer bloque, descarga nuestra plantilla de inventario de datos personales (Excel).

1. Inventario: saber qué datos tienes y dónde están

• ☐ 1. Tienes un inventario de los procesos que usan datos personales: contratación, remuneraciones, clientes, cobranza, marketing, videovigilancia y los demás que correspondan, con qué datos usa cada uno y de quiénes. Te explicamos cómo hacerlo en inventario de datos personales paso a paso.
• ☐ 2. El inventario incluye las copias fuera de los sistemas: planillas en los PC, adjuntos de correo, carpetas en la nube y discos USB. Es donde suele estar el mayor riesgo y lo que más se omite.
• ☐ 3. Identificaste los datos sensibles y los de menores de edad, como licencias médicas, datos biométricos del reloj control o datos de hijos de trabajadores. Ver datos sensibles en la Ley 21.719.
• ☐ 4. Cada conjunto de datos tiene un responsable que conoce su contenido y confirma que el registro está al día.

2. Licitud, finalidad y conservación

• ☐ 5. Cada uso de datos tiene una base de licitud: consentimiento, contrato, obligación legal u otra que la ley reconozca. Si usas el consentimiento, puedes demostrar cuándo y cómo se obtuvo.
• ☐ 6. Usas los datos solo para la finalidad con que los recolectaste y no pides más de los necesarios.
• ☐ 7. Definiste cuánto tiempo guardas cada tipo de dato y eliminas lo que ya no tiene finalidad: currículos antiguos, exportaciones duplicadas, bases de clientes inactivos.

3. Información y transparencia

• ☐ 8. Tu política de privacidad está actualizada e indica quién es el responsable, qué datos tratas, para qué, con qué base, con quién los compartes y cómo ejercer los derechos. Ver cómo redactar una política de privacidad.
• ☐ 9. Informas a las personas cuando recoges sus datos: en formularios, contratos, avisos de cámaras y procesos de postulación.
• ☐ 10. Tienes un canal de contacto operativo para consultas y solicitudes sobre datos personales, y alguien que lo revisa.

4. Derechos de las personas

• ☐ 11. Sabes cómo responder una solicitud de acceso, rectificación, supresión, oposición, portabilidad o bloqueo dentro de 30 días corridos, prorrogables una sola vez por otros 30. Ver derechos ARSOPB.
• ☐ 12. Puedes encontrar todos los datos de una persona, no solo los del sistema oficial: también los que están en planillas, correos y carpetas compartidas.

5. Seguridad

• ☐ 13. Las medidas de seguridad son acordes al riesgo: accesos por perfil, doble factor en correo y sistemas, cifrado de equipos portátiles y respaldos protegidos.
• ☐ 14. Revisaste qué archivos están compartidos con enlace público o con personas externas en Google Drive u OneDrive. Ver cómo encontrar archivos expuestos en Google Drive.
• ☐ 15. Quienes acceden a datos personales tienen un deber de confidencialidad por escrito, en el contrato o en un acuerdo aparte.

6. Filtraciones y vulneraciones de seguridad

• ☐ 16. Tienes un procedimiento para detectar, registrar y reportar vulneraciones. La ley exige informar a la Agencia de Protección de Datos Personales, por los medios más expeditos posibles y sin dilaciones indebidas, cuando haya un riesgo razonable para los titulares, y avisarles a ellos cuando se trate de datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales. Ver qué hacer ante una filtración.

7. Proveedores y transferencias

• ☐ 17. Sabes qué proveedores tratan datos por cuenta tuya (remuneraciones externas, CRM, soporte, nube) y formalizaste por contrato qué pueden hacer con ellos.
• ☐ 18. Si los datos salen de Chile, por ejemplo a servicios en la nube, verificaste que el destino tenga un nivel adecuado de protección o que existan garantías apropiadas. Ver transferencia internacional de datos.

8. Organización y riesgo

• ☐ 19. Evalúas el impacto antes de iniciar tratamientos de alto riesgo, como el uso masivo de datos sensibles o nuevas formas de monitoreo.
• ☐ 20. Hay una persona a cargo y el equipo está capacitado. El modelo de prevención de infracciones, con su delegado, es voluntario, pero si está certificado se considera atenuante ante una infracción. Ver modelo de prevención de infracciones.

Cómo leer el resultado

Los puntos no pesan igual. Si tienes que elegir, empieza por el bloque 1: sin inventario no puedes responder derechos, medir una filtración ni proteger los datos sensibles, porque no sabes dónde están. Luego sigue con lo que más reduce el riesgo inmediato: eliminar copias sobrantes, cerrar carpetas compartidas con cualquiera y preparar el procedimiento de vulneraciones.

Si quieres un orden por semanas hasta el 1 de diciembre, revisa qué hacer antes de que rija la Ley 21.719. Y si tu empresa es pequeña, la guía de la Ley 21.719 para pymes te muestra cómo partir con pocos recursos.

Revisar PC, correo y nube sin hacerlo a mano

Los puntos 2, 3, 12 y 14 son los más difíciles de cumplir a mano, porque obligan a revisar cada equipo, buzón y carpeta. UpTech DLP busca automáticamente RUT, tarjetas, cuentas bancarias, datos de salud y credenciales en los PC, el correo y Google Drive, y muestra qué archivos están compartidos hacia afuera. Si quieres verlo con los datos de tu empresa, solicita una demostración.

Fuentes

• Ley 21.719, Biblioteca del Congreso Nacional (LeyChile)

Información referencial; no constituye asesoría legal.