Qué hacer antes de que rija la Ley 21.719: plan de 8 semanas

Antes del 1 de diciembre de 2026, cuando la Ley 21.719 entre en plena vigencia, lo más útil es tener un inventario de datos personales, haber eliminado las copias que sobran, contar con una política de privacidad y un canal para solicitudes, y tener definido cómo reportar una filtración. No hace falta resolverlo todo antes de esa fecha, pero sí poder demostrar que la empresa sabe qué datos tiene y que está actuando. Este plan reparte el trabajo en 8 semanas, empezando por lo que más reduce el riesgo.

¿Sigue en pie la fecha?

Sí. El Gobierno ingresó al Senado un proyecto para postergar la plena vigencia al 1 de diciembre de 2027 (Boletín 18.623-07), pero no está aprobado. Mientras no se apruebe y publique, la fecha vigente es el 1 de diciembre de 2026. Lo explicamos en ¿se posterga la Ley 21.719 a 2027?. Aunque se aprobara, el trabajo de este plan sigue siendo necesario: solo cambiaría el plazo.

Semanas 1 y 2: responsable e inventario

• Designa a una persona que coordine. En una pyme puede ser el dueño o el gerente.
• Lista los procesos que usan datos personales en cada área y los sistemas donde se registran.
• Busca las copias fuera de los sistemas: planillas en los PC, adjuntos de correo, carpetas en la nube y discos USB.
• Marca los datos sensibles y los de menores de edad.

Para registrar todo puedes usar nuestra plantilla de inventario (Excel) y la guía de inventario paso a paso.

Semana 3: limpieza

• Elimina lo que no tiene finalidad: currículos antiguos, exportaciones duplicadas, listados de clientes que ya no se usan.
• Cierra las carpetas compartidas con enlace público o con personas externas que no lo necesitan.
• Mueve lo que sí necesitas a un lugar controlado, con acceso solo para quien corresponde.

Es la semana que más riesgo reduce: un dato que ya no existe no se puede filtrar.

Semana 4: bases de licitud, finalidades y plazos

• Para cada proceso del inventario, anota con qué base tratas los datos: consentimiento, contrato, obligación legal u otra que la ley reconozca.
• Si usas el consentimiento, revisa que puedas demostrar cuándo y cómo se obtuvo.
• Define cuánto tiempo guardas cada tipo de dato.

Semana 5: información y derechos

• Actualiza tu política de privacidad y los avisos de formularios, contratos y cámaras.
• Habilita un canal para solicitudes (por ejemplo, un correo exclusivo) y define quién lo atiende.
• Prepara cómo responder una solicitud de acceso, rectificación, supresión, oposición, portabilidad o bloqueo dentro de 30 días corridos, prorrogables una sola vez por otros 30. Ver derechos ARSOPB.

Semana 6: seguridad y filtraciones

• Revisa los accesos por perfil, activa el doble factor en correo y sistemas y cifra los equipos portátiles.
• Escribe un procedimiento breve para vulneraciones: cómo se detectan, quién decide, cómo se registran y cómo se reportan a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, cuando haya un riesgo razonable para los titulares. Ver qué hacer ante una filtración.

Semana 7: proveedores y transferencias

• Lista los proveedores que tratan datos por cuenta tuya y revisa sus contratos.
• Identifica qué servicios guardan datos fuera de Chile y verifica que haya un nivel adecuado de protección o garantías apropiadas. Ver transferencia internacional de datos.

Semana 8: capacitación y evidencia

• Explica al equipo, en una sesión corta, qué cambió: dónde no guardar datos, cómo compartir archivos y a quién avisar ante un incidente.
• Guarda evidencia de lo hecho: inventario, política, procedimientos, actas y fechas. Si la Agencia fiscaliza, demostrar avance pesa.
• Revisa la checklist de 20 puntos para ver qué queda pendiente.

Después del 1 de diciembre

El cumplimiento no termina en una fecha. El inventario se desactualiza en pocos meses si nadie lo mantiene, y las copias de datos vuelven a aparecer en los PC, el correo y la nube. Conviene revisarlo cada semestre y cada vez que cambie un sistema o un proveedor.

Si tu empresa es de menor tamaño, durante los primeros 12 meses de vigencia la Agencia podrá sancionar con amonestación escrita en vez de multa. Es una facultad de la Agencia, no una garantía, así que no conviene contar con ella. Más detalle en Ley 21.719 para pymes y multas de la Ley 21.719.

Acelerar las semanas 1 a 3

Buscar copias de datos equipo por equipo es lo que más tiempo toma. UpTech DLP lo hace automáticamente en los PC, el correo y Google Drive: encuentra RUT, tarjetas, cuentas bancarias, datos de salud y credenciales, los ordena por riesgo y muestra qué archivos están compartidos hacia afuera. Si quieres verlo con los datos de tu empresa, solicita una demostración.

Fuentes

• Ley 21.719, Biblioteca del Congreso Nacional (LeyChile)
• Carey Abogados: Gobierno ingresa proyecto que posterga en un año la entrada en vigor de la Ley 21.719

Información referencial; no constituye asesoría legal.