Ley de protección de datos: qué debe hacer tu pyme

Si tienes una pyme en Chile y manejas datos de clientes, trabajadores o proveedores, esto te toca aunque tengas dos personas contratadas o ninguna. La Ley 21.719 de protección de datos personales entra en vigencia el 1 de diciembre de 2026, reemplaza a la ley que teníamos desde los noventa y no deja fuera a nadie por el tamaño del negocio. Quedan unos 80 días y conviene entender qué cambia de verdad, no solo el titular de la noticia.

Qué cambia respecto a la ley que tenías hasta ahora

Hasta ahora regía la Ley 19.628, una norma de 1999 que quedó corta frente a cómo se maneja información hoy: nóminas en la nube, boletas y contratos por WhatsApp, fichas de clientes en planillas compartidas. Esa ley no tenía un organismo que fiscalizara en serio ni multas que realmente dolieran.

La Ley 21.719 cambia eso de raíz. Fue publicada el 13 de diciembre de 2024 y crea la Agencia de Protección de Datos Personales, el organismo que desde el 1 de diciembre de 2026 va a fiscalizar, recibir reclamos y aplicar sanciones. También ordena en un solo cuerpo legal derechos, obligaciones y un régimen de multas que antes simplemente no existía con este nivel de detalle.

A quién aplica y qué cuenta como dato personal

Aplica a toda persona natural o jurídica que trate datos personales, sea que vendas ropa, hagas contabilidad, tengas una clínica dental o un taller mecánico. No hay un piso de facturación ni de número de trabajadores que te deje afuera.

Un dato personal es cualquier información que permita identificar a una persona: nombre, RUT, teléfono, dirección, correo. Y hay una categoría más exigente, los datos sensibles, que incluye salud, situación socioeconómica, afiliación sindical o política, entre otros. Si llevas licencias médicas de tus trabajadores o manejas información financiera de tus clientes, ya estás tratando datos sensibles, y la ley te pide más cuidado con ellos que con el resto.

Las multas y quién las aplica

La Agencia clasifica las infracciones en leves, graves y gravísimas. Según el artículo 35 de la ley, las leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con multa de hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM. Si hay reincidencia, la multa puede triplicarse. Y para las empresas que no son de menor tamaño, en caso de reincidencia la multa puede llegar hasta el 2% de los ingresos anuales en infracciones graves y hasta el 4% en las gravísimas, si ese monto resulta mayor que el tope en UTM.

Son cifras pensadas para que una empresa grande no las trate como un costo más del negocio. Para una pyme, incluso el tramo más bajo puede ser un golpe serio, así que no es un riesgo que convenga dejar para después.

El respiro que tienen las pymes el primer año

Acá está la parte que más se comenta y la que más se malentiende. La ley contempla un tratamiento más gradual para las empresas de menor tamaño, según la definición de la Ley 20.416, durante los primeros doce meses después de su entrada en vigencia. En ese período, ante una primera infracción, la Agencia puede optar por una amonestación escrita en lugar de una multa.

Eso es un alivio en el tipo de sanción, no en las obligaciones. La pyme tiene que cumplir exactamente lo mismo que una empresa grande desde el primer día de diciembre. Lo único que cambia es que, si te pillan en falta durante ese primer año y es tu primera infracción, es más probable que te llamen la atención por escrito antes de multarte. Confiar en ese margen para no hacer nada antes de diciembre es la forma más fácil de terminar mal parado si justamente te toca ser de los primeros casos que revisa la Agencia.

Qué te exige en concreto

Traducido a la práctica, la ley te pide varias cosas puntuales.

Necesitas una base legal para cada dato que tratas. No todo requiere el consentimiento de la persona: con tus clientes, lo normal es que la base sea la ejecución del contrato o una obligación legal, y el consentimiento queda más bien para cosas como marketing o boletines. Lo que no puedes hacer es tratar datos sin ninguna base que lo justifique.

Tienes que informar con claridad qué datos recolectas, para qué los usas y a quién se los entregas, por ejemplo si trabajas con un proveedor externo de nómina o de facturación. Eso normalmente se traduce en una política de privacidad publicada en tu sitio. Como referencia de qué se espera de ese documento, puedes revisar la política de privacidad de TomContable.

También tienes que respetar los llamados derechos ARCO+: acceso, rectificación, supresión, oposición y portabilidad, además de un derecho a bloqueo temporal cuando hay una disputa sobre un dato. Si un cliente o un trabajador te pide corregir o eliminar su información, tienes 30 días corridos para responder, prorrogables una vez por otros 30 si el caso es complejo.

Y si manejas datos de terceros por encargo de un cliente, como cuando llevas las remuneraciones de otra empresa, esa relación también debería quedar en un contrato que defina qué puedes hacer con esos datos y qué no.

Brechas de seguridad: qué hacer si algo se filtra

Si alguna vez se pierde, filtra o accede sin autorización a información de tus clientes o trabajadores, la ley te obliga a notificar a la Agencia de Protección de Datos Personales por el medio más expedito posible y sin dilaciones indebidas, cuando exista un riesgo razonable para las personas afectadas. No hay un plazo fijo tipo 72 horas como en otros países, pero la exigencia es actuar rápido, no cuando te acuerdes.

Si la brecha involucra datos sensibles, datos de menores de 14 años, o información económica, financiera o bancaria, también tienes que avisar directamente a las personas afectadas, explicando en lenguaje simple qué pasó y qué estás haciendo al respecto.

Sobre el Delegado de Protección de Datos, la buena noticia es que no es obligatorio para una pyme. Puedes designar a alguien de tu equipo como responsable interno del tema sin que eso implique crear un cargo formal.

Qué hacer antes del 1 de diciembre

Con el tiempo que queda, conviene avanzar en orden en vez de intentar todo a la vez.

1. Haz un inventario simple: qué datos de clientes, trabajadores y proveedores manejas, dónde están guardados y quién tiene acceso a ellos.
2. Define la base legal de cada tratamiento, sin mezclar todo bajo consentimiento cuando en realidad se trata de un contrato o una obligación legal.
3. Escribe y publica una política de privacidad clara, con los derechos de las personas y un canal para ejercerlos.
4. Revisa los contratos con proveedores que tratan datos por ti, como quien te lleva las remuneraciones o la facturación, y deja por escrito qué pueden y qué no pueden hacer con esa información.
5. Define un procedimiento simple para responder solicitudes de acceso, rectificación o supresión dentro del plazo de 30 días.
6. Prepara un protocolo básico para brechas de seguridad: a quién avisar internamente, cómo se notifica a la Agencia y cuándo corresponde avisar también a los afectados.
7. Conversa con tu equipo lo esencial: qué es un dato sensible y por qué las claves de acceso o la información de clientes no se comparten por cualquier canal.

Ninguno de estos pasos exige contratar un estudio de abogados completo, pero sí exige orden y tiempo, y ambos se acaban más rápido de lo que parece. Si quieres revisar tu caso con calma antes de diciembre, en las asesorías para tu pyme podemos ver juntos por dónde empezar.