Los datos de tu empresa
ya tienen una ley. Y una multa.
La Ley 21.719 de Protección de Datos Personales entra en vigencia el 1 de diciembre de 2026 y se aplica a cualquier empresa que trate datos: clientes, trabajadores, pacientes, apoderados, socios. Multas de hasta 20.000 UTM. Y lo que sancionan las autoridades no son ciberataques sofisticados: son descuidos del día a día — un Excel con RUNs, un WhatsApp con nóminas, una contraseña fácil de adivinar.
No fueron hackers. Fueron descuidos del día a día.
Sanciones impuestas por autoridades de protección de datos a empresas de todos los tamaños. Cada caso es verificable: indicamos la fuente. Ninguno exige un ataque de Estado; todos se parecen a algo que hoy puede estar pasando en tu empresa.
La verificación por teléfono
La teleco alemana 1&1 permitía reactivar una línea respondiendo solo dos datos: la fecha de nacimiento y el nombre de la madre. Con eso, un tercero accedía a los datos de los clientes. La autoridad multó por no aplicar medidas de seguridad proporcionales al riesgo. La justicia alemana rebajó el importe después por el tamaño de la empresa, pero confirmó que ese control era insuficiente.
BfDI (Alemania), dic-2019 · LG Bonn, 11-nov-2020 (29 OWi 1/20): multa reducida a €900.000.
El chatbot en la página de pago
Ticketmaster UK tenía un chat de un tercero en su propia página de pago. Ese script llegaba a registrar nombres, números de tarjeta, caducidad y CVV, y puso en riesgo los datos de unos 9,4 millones de clientes en Europa —1,5 millones en el Reino Unido—. El ICO sancionó: no evaluó el riesgo de ese tercero, no tomó las medidas técnicas a la altura y tardó nueve semanas en empezar a vigilar su propia página de pago.
ICO (Reino Unido), 13-nov-2020. Resolución oficial.
El “por si acaso, guárdalo”
La inmobiliaria alemana Deutsche Wohnen conservaba datos de inquilinos —incluidos antecedentes— sin límite de tiempo ni necesidad. Multada por no eliminar datos cuando ya no eran necesarios. El problema era un archivo, no un ataque.
Autoridad de Protección de Datos de Berlín, 2019. Reportado por prensa internacional.
Usar la base de clientes sin base jurídica
Iberdrola usó datos de sus clientes para comunicaciones que no estaban amparadas por el consentimiento otorgado. La AEPD multó: la base jurídica del tratamiento no era esa. Es la falta más común hoy en Chile: comprar una base de correos, mandar promos por WhatsApp, llamar a quien nunca pidió que lo llamaran.
AEPD (España), Procedimiento PS-00236-2020, resolución de 29-abr-2021. Resolución oficial.
Transferir sin garantías
Meta fue multada por transferir datos de usuarios europeos a EE. UU. sin una base válida. Es el caso extremo de algo que tu empresa hace hoy: CRM, mail, IA o Drive en servidores de otros países, sin ningún papel que respalde esa transferencia.
DPC (Irlanda), mayo 2023. Resolución oficial.
Ya pasó en Chile, y sin agencia ni multas
Al fiscalizar cerca de 120.000 órdenes de compra de 86 organismos del sector salud, el Consejo para la Transparencia encontró 12 hospitales y 6 servicios de salud publicando en Mercado Público fichas clínicas, diagnósticos, exámenes y tratamientos —de adultos y también de menores— sin tarjar. En un solo hospital fueron 943 adquisiciones expuestas. Eso fue bajo la ley vieja, sin autoridad con poder de multa. Desde diciembre, la Agencia sí lo tiene.
Consejo para la Transparencia, fiscalización publicada el 1-jun-2020 (cplt.cl).
El patrón es siempre el mismo: el tercero que no evaluaste, el dato que no borraste, el consentimiento que no puedes probar, el archivo que nadie sabía que existía. Eso no se arregla comprando software.
Lo que la Ley 21.719 te exige a ti, sin letra chica.
No importa si tienes 3 o 300 trabajadores: si tratas datos personales de clientes, trabajadores o pacientes, te aplica. Y tienes que poder demostrarlo, no solo hacerlo.
Multas del régimen sancionatorio (art. 35). Ante gravísimas reiteradas en 24 meses la Agencia puede además suspender tus tratamientos hasta 30 días (art. 38), y todo queda en un registro público y gratuito (art. 39). Ojo: los estándares mínimos se gradúan según el tipo de dato y el tamaño de la empresa (art. 14 septies) — hay aire para las PyME, pero no exención.
Responsabilidad proactiva: demostrar, no contar
Art. 3 — Principio de responsabilidad — No basta con cumplir: la ley exige acreditar la licitud del tratamiento. Políticas escritas, contratos con tus proveedores, evidencias de capacitación. Si no está documentado, para la Agencia no existe.
Ante una brecha: sin las 72 horas del GDPR
Art. 14 sexies — La ley chilena no da 72 horas (ese plazo es europeo). Exige comunicar la brecha a los afectados y a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas” cuando exista riesgo razonable. Sin protocolo, nadie sabe a quién llamar a las 2 de la mañana.
Derechos ARCO: 30 días corridos
Art. 11 — Cuando un cliente o trabajador pide acceder, rectificar, cancelar u oponerse, debes acusar recibo y responder en 30 días corridos, prorrogables por otros 30. Sin canal ni procedimiento, ese plazo es imposible de cumplir.
Datos sensibles y menores: el piso más alto
Arts. 16 y 16 quáter — Salud, biometría, creencias, orientación y antecedentes penales exigen estándar reforzado. Y la ley define niño como el menor de 14 años: su consentimiento recae en el padre, madre o quien ejerza su cuidado personal (en datos sensibles, el umbral sube a los 16). Si tienes alumnos, pacientes o empleados con licencias médicas, esto te toca.
Tus proveedores también son tu problema
Art. 15 bis — Tercero mandatario o encargado — Cada herramienta que ve datos (CRM, mail, facturación, IA, Bbddhh, mantención) es un encargado. Tú das las instrucciones y el objeto: si trata los datos para algo distinto, responde él; pero frente al titular y a la Agencia, el responsable sigues siendo tú.
La fecha: 1 de diciembre de 2026
Es la fecha legal de entrada en plena vigencia. Existe un proyecto en trámite que propone postergarla al 1 de diciembre de 2027, aún no aprobado. Con o sin postergación: adecuar una empresa toma meses, y el orden no se compra en una semana.
Diez cosas. Nueve no se compran con software.
Esto es lo que una empresa mediana tiene que tener en pie antes de que la Agencia empiece a fiscalizar. Puedes hacerlo internamente —si tienes 400 horas y un abogado que deje todo lo demás.
Lo mínimo antes del 1 de diciembre
- Un mapa real de tus datos: qué tienes, dónde está y quién lo ve —incluidos los que nadie declaró—.
- La base jurídica de cada tratamiento, y la evidencia que la acredita (art. 3).
- Política de tratamiento de datos publicada en tu sitio web, con fecha y versión (art. 14 ter).
- Encargos de tratamiento firmados con cada proveedor que ve datos (art. 15 bis).
- Un canal y un procedimiento para responder solicitudes en 30 días corridos (arts. 10 y 11).
Lo que hay que sostener en el tiempo
- Medidas de seguridad proporcionales al dato y al tamaño de tu empresa (arts. 14 quinquies y 14 septies).
- Reportar brechas a la Agencia sin dilaciones indebidas, y llevar registro de ellas (art. 14 sexies).
- Evaluación de impacto cuando el tratamiento pueda generar alto riesgo (art. 15 ter).
- Plazos de conservación definidos y supresión efectiva al cumplirse (art. 3).
- Transferencias internacionales respaldadas, y una persona que responda por todo lo anterior.
¿Dónde está parada tu empresa hoy?
Responde lo que es hoy, no lo que debería ser. Cada pregunta se cruza con un artículo de la ley o con una sanción real. No pedimos ningún dato para calcularlo: el puntaje se hace en tu navegador.
¿Dónde está parada tu empresa?
11 preguntas, unos 5 minutos. Puedes volver atrás cuando quieras. Al final recibes tu nivel por bloque y tus 3 riesgos más urgentes. Para calcularlo no pedimos ningún dato: se hace en tu navegador.
Recibe tu informe por correo
Aquí sí te pedimos tus datos: es la única forma de enviarte el desglose por bloque y las acciones priorizadas para que las revises con tu equipo.
¿Quieres revisarlo con una persona? Escríbenos por WhatsApp al +56 9 9007 5844 e indica tu puntaje. · rehacer el test
Qué es y qué no es este pre-test. Es una autoevaluación orientativa: no es asesoría legal ni un diagnóstico de cumplimiento. El diagnóstico formal se hace sobre tus procesos y contratos reales, no sobre once respuestas. Los casos citados son sanciones comunicadas por las autoridades respectivas y los artículos referidos corresponden al texto de la Ley 21.719 publicado en el Diario Oficial.
Cuatro fases. Cada una con un papel que queda en tu carpeta.
No vendemos “cultura de datos”: entregamos documentos firmables y controles que se pueden mostrar. Si un día llama la Agencia, lo que te salva es lo que puedes probar.
Diagnóstico
Levantamiento real: qué datos hay, dónde están, quién los ve y con qué base jurídica. Sale un mapa de brechas con fechas y responsables, no un PDF teórico de 80 páginas.
Entregable: informe de brechas + plan priorizado.
Carpeta legal
Política de tratamiento publicada (art. 14 ter), avisos por canal, instructivos de encargados (art. 15 bis), procedimiento de derechos con sus 30 días (arts. 10-11) y registro de brechas (art. 14 sexies).
Entregable: carpeta documental adaptada a tu tamaño (art. 14 septies).
Seguridad y simulacro
Los papeles sin control técnico son decorativos: revisamos accesos, MFA, respaldos, permisos del CRM y correos compartidos. Después corremos un simulacro de brecha con reloj en mano.
Entregable: informe técnico + acta de simulacro.
Acompañamiento
Capacitación al equipo y soporte para que el cumplimiento no se desinfle en marzo: respuestas a solicitudes, revisión de contratos nuevos y actualización de la carpeta.
Entregable: capacitación registrada + revisión trimestral.
Las seis excusas, una por una.
“Somos una PyME, esto debe ser para las grandes.”
La ley se aplica a cualquier persona natural o jurídica que trate datos, sin umbral de tamaño. Lo que sí gradúa la ley es el estándar exigido: el art. 14 septies manda a la Agencia a fijar requisitos mínimos considerando el tipo de dato y el tamaño de la empresa. O sea: menos formalidad, misma obligación. Y tú igual tienes trabajadores con RUN, licencias médicas y una base de clientes en un Excel.
“Hablaron de postergarlo para 2027. Esperemos.”
Hay un proyecto en trámite que propone mover la plena vigencia al 1 de diciembre de 2027, pero no está aprobado: hoy la fecha legal sigue siendo el 1 de diciembre de 2026. Y aunque se aprobara, los cuellos de botella no son legales sino operativos: los contratos con tus proveedores, la política publicada y los accesos mal configurados tardan semanas en corregirse. Ese trabajo es el mismo con una fecha u otra.
“Mi CRM / mi seguro / mi proveedor de sistemas ya me cubre.”
El software no firma el encargo de tratamiento, no publica tu política y no decide qué se responde cuando un cliente pide que lo borres. Nueve de las diez cosas del mapa son decisiones, documentos y configuración. Y ojo: cuando el proveedor trata datos por ti, responde contigo — la ley dice que delegar no te exonera (art. 15 bis).
“Si ya teníamos una ley de datos, ¿qué cambia?”
La Ley 19.628 (2000) tenía un problema: no había autoridad ni multas. Podía conocerse una filtración masiva y no pasaba nada. La 21.719 crea la Agencia de Protección de Datos Personales con facultades de fiscalización, un régimen sancionatorio con multas en UTM y un procedimiento para que cualquier persona reclame. Cambia el costo de no hacer nada.
“¿Cuánto tiempo toma dejar esto en orden?”
En una empresa mediana, las tres primeras fases toman típicamente entre 6 y 10 semanas, y lo urgente (política publicada, instructivos de encargados, procedimiento de derechos y control de accesos) se puede cerrar en semanas. Lo que no toma semanas sino meses es cambiar sistemas — por eso se parte por lo que se puede firmar.
“¿Son abogados o son de sistemas?”
Las dos cosas, y por eso funciona. El problema de la Ley 21.719 no es solo escribir el documento: es que el documento diga la verdad sobre lo que tu red realmente hace. Un estudio legal solo redacta una política que después no se cumple; un informático solo configura algo que nadie puede defender ante un fiscalizador. Nosotros hacemos el papel y el control técnico que lo respalda.
Empieza por saber dónde estás.
Después ordenamos.
El Pre-Test toma cinco minutos y no te pide ni el correo. Si prefieres saltarlo y hablar directo con una persona, también sirve — pero ven con las tres respuestas que más te preocupan.
Respondemos con alcance, plazo y precio verde — el mismo formato que usamos en cada propuesta.