Multas de la Ley 21.719: montos, infracciones y reincidencia

Las multas de la Ley 21.719 dependen de la gravedad de la infracción: las leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM; las graves, con multa de hasta 10.000 UTM; y las gravísimas, con multa de hasta 20.000 UTM. Si hay reincidencia, la multa puede triplicarse y, en empresas que no son de menor tamaño, llegar al 2 % o 4 % de sus ingresos anuales. Las aplica la Agencia de Protección de Datos Personales desde la plena vigencia de la ley, el 1 de diciembre de 2026.

Tabla de multas de la Ley 21.719

Como referencia, el valor de la UTM en septiembre de 2026 es de $71.721 según el Servicio de Impuestos Internos. La UTM se reajusta mensualmente, por lo que los montos en pesos cambian en el tiempo.

Gravedad	Sanción máxima	Equivalente aproximado (UTM de septiembre de 2026)
Leve	Amonestación escrita o multa de hasta 5.000 UTM	Hasta unos $358 millones
Grave	Multa de hasta 10.000 UTM	Hasta unos $717 millones
Gravísima	Multa de hasta 20.000 UTM	Hasta unos $1.434 millones

Son montos máximos. La Agencia fija la multa concreta según criterios que la ley establece, como la gravedad de la conducta, el número de personas afectadas y la capacidad económica del infractor.

Tipos de infracción: ejemplos

La ley enumera las conductas de cada categoría. Estos son algunos ejemplos representativos.

Infracciones leves

No cumplir total o parcialmente el deber de información y transparencia (por ejemplo, no tener una política de privacidad adecuada).
No contar con un domicilio, correo electrónico o medio equivalente, actualizado y operativo, para que las personas ejerzan sus derechos.
No responder, responder en forma incompleta o fuera de plazo las solicitudes de los titulares.
No enviar a la Agencia las comunicaciones obligatorias.
Cualquier otra infracción que no esté calificada como grave o gravísima.

Infracciones graves

Tratar datos sin consentimiento ni otra base legal, o usarlos para una finalidad distinta de aquella para la que se recolectaron.
Comunicar o ceder datos sin consentimiento cuando este es necesario.
Tratar datos innecesarios para la finalidad, o datos inexactos o desactualizados.
Impedir u obstaculizar el ejercicio de los derechos de acceso, rectificación, supresión, oposición o portabilidad.
Tratar datos de niños, niñas y adolescentes infringiendo la ley.
Incumplir las obligaciones de seguridad, o el deber de secreto o confidencialidad.
Omitir las comunicaciones o registros en caso de vulneraciones de seguridad.
Realizar transferencias internacionales de datos contrarias a la ley.

Infracciones gravísimas

Tratar datos personales en forma fraudulenta.
Destinar maliciosamente los datos a una finalidad distinta de la consentida.
Vulnerar el deber de secreto sobre datos sensibles.
Tratar, comunicar o ceder, a sabiendas, datos sensibles o de menores en contra de la ley.
Omitir deliberadamente la comunicación de vulneraciones de seguridad.
Realizar, a sabiendas, transferencias internacionales contrarias a la ley.
Incumplir una resolución de la Agencia que resuelve el reclamo de un titular.

Varias infracciones graves y gravísimas tienen algo en común: ocurren cuando la empresa no sabe bien qué datos tiene, dónde están o quién accede a ellos.

Reincidencia: cuándo la multa se multiplica

La ley considera que hay reincidencia cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos 30 meses por infracciones a esta ley, con resoluciones firmes. En ese caso:

La Agencia puede aplicar una multa de hasta tres veces el monto asignado a la infracción cometida.
Si el infractor es una empresa que no califica como de menor tamaño según la Ley 20.416 (en la práctica, una empresa grande) y reincide en una infracción grave o gravísima, la multa puede llegar a lo que resulte más gravoso entre el triple de la multa y el 2 % de sus ingresos anuales (infracciones graves) o el 4 % (gravísimas), considerando los ingresos por ventas, servicios y otras actividades del giro del último año calendario.

Otras consecuencias además de la multa

Plazo para corregir: junto con la sanción, la Agencia indica las medidas para subsanar la infracción, que deben adoptarse en un plazo no mayor a 60 días. Si no se cumplen, la multa tiene un recargo del 50 %.
Suspensión del tratamiento: ante multas por infracciones gravísimas reiteradas en un período de 24 meses, la Agencia puede suspender las operaciones de tratamiento de datos hasta por 30 días, plazo que puede prorrogarse mientras no se cumpla lo ordenado.
Registro público: las sanciones se anotan en el Registro Nacional de Sanciones y Cumplimiento, público y gratuito, donde permanecen visibles por cinco años. El daño reputacional puede ser mayor que la multa.
Otras responsabilidades: las sanciones de esta ley no excluyen responsabilidades civiles o penales que puedan corresponder.

Cómo se determina el monto

La Agencia debe considerar, entre otros criterios:

La gravedad de la conducta y si hubo falta de diligencia.
El perjuicio causado, especialmente el número de personas afectadas.
El beneficio económico obtenido con la infracción, si lo hubo.
Si se trataron datos sensibles o de niños, niñas y adolescentes.
La capacidad económica del infractor.
Las circunstancias atenuantes y agravantes.

Qué atenúa una sanción

Reparar el daño por iniciativa propia o llegar a acuerdos con los afectados.
Colaborar con la investigación de la Agencia.
No tener sanciones previas.
Autodenunciarse ante la Agencia, informando las medidas adoptadas.
Haber cumplido diligentemente los deberes de dirección y supervisión, acreditado con la certificación de un modelo de prevención de infracciones.

Qué agrava una sanción

La reincidencia.
El carácter continuado de la infracción.
Haber puesto en riesgo los derechos y libertades de los titulares.

Empresas de menor tamaño: amonestación durante el primer año

El artículo sexto transitorio establece que, durante los primeros 12 meses de vigencia, a las empresas de menor tamaño (micro, pequeñas y medianas según la Ley 20.416) se les puede sancionar con amonestación escrita en vez de multa. La amonestación igualmente queda anotada en el registro público.

Atención: el proyecto de postergación en trámite (Boletín 18.623-07), que no está aprobado, cambiaría esta regla y la transformaría en una facultad de la Agencia aplicable a cualquier empresa. Lo explicamos en ¿Se posterga la Ley 21.719 a 2027? y en Ley 21.719 para pymes.

Cómo reducir el riesgo de multas

Conoce tus datos: levanta un inventario de datos personales con su ubicación, finalidad y base legal.
Protege primero lo sensible: datos de salud, biométricos y de menores concentran las infracciones gravísimas.
Elimina lo que sobra: tratar datos innecesarios es una infracción grave.
Responde a tiempo: habilita un canal y un procedimiento para las solicitudes de los titulares.
Prepárate para las brechas: define cómo detectarlas, registrarlas y reportarlas a la Agencia.
Evalúa un modelo de prevención: es voluntario, pero su certificación es una atenuante.

Para el contexto completo de la ley, revisa Ley 21.719: qué es y qué deben hacer las empresas o la página Ley 21.719.

Prevenir empieza por saber dónde están los datos

Muchas de las conductas sancionadas, como tratar datos innecesarios, no protegerlos adecuadamente o no poder responder a un titular, se originan en no saber qué datos personales hay en la empresa ni dónde están. UpTech DLP ayuda a encontrarlos en equipos, correo y nube. Si quieres evaluarlo, puedes solicitar una cotización.

Fuentes

Información referencial; no constituye asesoría legal.