Legal y Cumplimiento · Noviembre 2026

Ley 21.719 de protección de datos personales: qué debe hacer tu pyme (y qué pasa con la postergación)

Si tu empresa guarda nombres, RUT, correos, teléfonos o datos de trabajadores en una planilla, un CRM o un WhatsApp, la nueva ley de datos personales te aplica. No es solo un tema de grandes empresas: también alcanza a la pyme que vende por Instagram o que maneja una base de clientes en Excel. Aquí te explicamos qué exige, cuánto arriesgas y cómo prepararte sin gastar de más.

Qué es la Ley 21.719 y a quién aplica

La Ley 21.719 reemplaza a la antigua Ley 19.628 y moderniza por completo las reglas sobre cómo las organizaciones recogen, usan, guardan y comparten datos de personas. Aplica a cualquier empresa, sin importar su tamaño, que trate datos personales de clientes, proveedores, postulantes o trabajadores. También crea la Agencia de Protección de Datos Personales, que podrá fiscalizar y sancionar.

¿Cuándo entra en vigencia? El estado de la postergación

La ley fijó su entrada en vigencia para el 1 de diciembre de 2026. El Gobierno presentó un proyecto para postergarla (boletín 18.623-07): el Senado lo aprobó en octubre y, a comienzos de noviembre de 2026, la Comisión de Constitución de la Cámara lo aprobó en general, proponiendo como nueva fecha el 15 de octubre de 2027. El proyecto sigue en tramitación.

Mientras no se publique esa ley en el Diario Oficial, la fecha legal sigue siendo el 1 de diciembre de 2026. Nuestra recomendación: no esperar. Las obligaciones de fondo no cambian con la postergación, y ordenarse toma semanas.

Las obligaciones clave para una pyme

• Tener una base legal para cada uso de datos: el consentimiento del titular u otra causa que la ley permita, como ejecutar un contrato o cumplir una obligación legal.
• Informar con claridad: una política de privacidad visible que diga qué datos recoges, para qué, cuánto tiempo los guardas y con quién los compartes.
• Responder los derechos de las personas: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Necesitas un canal y un procedimiento para contestar a tiempo.
• Proteger la información: medidas de seguridad proporcionales al riesgo, como accesos con clave, perfiles por cargo y respaldos.
• Avisar las brechas de seguridad: si hay una filtración que afecte a personas, la ley obliga a reportarla a la Agencia y, en ciertos casos, a los afectados.
• Cuidar a tus proveedores: si un tercero trata datos por ti (contador, agencia de marketing, software en la nube), debe haber un contrato que lo regule.

Cuánto arriesgas si no cumples

La ley clasifica las infracciones en leves, graves y gravísimas. Las gravísimas pueden llegar a 20.000 UTM, y para empresas grandes reincidentes las multas pueden calcularse como un porcentaje de sus ingresos anuales. Además, existe un registro público de sanciones, lo que afecta directamente la reputación de la marca.

Plan de 5 pasos para ponerte al día

1. Inventario: haz una lista de qué datos personales tienes y dónde están (planillas, CRM, correo, formularios web, carpetas de RR.HH.).

2. Limpieza: elimina lo que no necesitas. Los datos que no guardas no pueden filtrarse.

3. Documentos: actualiza la política de privacidad del sitio web, los formularios de contacto y las cláusulas de los contratos con clientes, trabajadores y proveedores.

4. Procedimientos: define quién responde las solicitudes de las personas y qué se hace ante una filtración.

5. Capacitación: una charla corta al equipo evita la mayoría de los errores del día a día, como reenviar bases de clientes por WhatsApp.

Si también quieres revisar tus obligaciones laborales de cumplimiento, lee nuestra guía sobre la Ley Karin para pymes.

Información actualizada al 6 de noviembre de 2026. La postergación está en tramitación y puede cambiar. Artículo informativo; cada caso debe evaluarse en particular.