Ley 19.628 vs. Ley 21.719: qué cambia en la protección de datos

La respuesta corta

No hay una ley nueva con otro número. La Ley 21.719, promulgada el 25 de noviembre de 2024 y publicada el 13 de diciembre de ese año, no deroga la 19.628: su artículo primero empieza «Introdúcense las siguientes modificaciones en la ley N° 19.628». Esas modificaciones rigen desde el 1 de diciembre de 2026.

Lo que cambia es mucho. La 21.719 no corrige frases sueltas en las partes centrales de la ley: reemplaza completos el artículo 1° (el objeto), el artículo 3° (los principios), el Título I (los derechos de las personas), el Título II (el tratamiento de datos: el consentimiento, los deberes y los datos sensibles) y el Título IV (los órganos públicos). Y agrega lo que la 19.628 no tenía: deberes con nombre y artículo, una Agencia que fiscaliza y multas.

Por eso Juanita no tiene que botar su política, pero sí releerla entera. Cada cambio de la ley toca una línea de ella.

Línea por línea, la política de 2019

«Conforme a la Ley 19.628 sobre protección de la vida privada». El primer cambio es el nombre: la ley pasa a llamarse «sobre protección de los datos personales». Lo correcto, desde el 1 de diciembre, es citar «la Ley 19.628, modificada por la Ley 21.719».

«Usamos tus datos para prestarte nuestros servicios». El artículo 3° reescrito ordena los principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Y el artículo 14 ter le pide a la política decir las finalidades de cada tratamiento, la base de licitud de cada uno y, si alguno se apoya en un interés legítimo, cuál es. Una frase general ya no alcanza.

«Puedes pedir acceso o corrección de tus datos». El Título I nuevo trae más derechos: acceso, rectificación, supresión, oposición, el derecho a no ser objeto de decisiones automatizadas (8° bis), el bloqueo (8° ter) y la portabilidad (9°). Trae también un procedimiento y un plazo: 30 días corridos para responder, prorrogables una vez por otros 30 (artículo 11). El bloqueo ya estaba definido en la ley; hoy tiene artículo propio y dos días hábiles para contestar la solicitud. La política tiene que nombrar el acceso, la rectificación, la supresión, la oposición y la portabilidad (artículo 14 ter, letra f). El detalle, en Derechos ARCO con la Ley 21.719.

Lo que no dice: ante quién reclamar. En 2019 no existía la Agencia. La 21.719 «crea la Agencia de Protección de Datos Personales», que fiscaliza, resuelve los reclamos de las personas y sanciona, y crea también el Registro Nacional de Sanciones y Cumplimiento, que es público. La política ahora tiene que informar el derecho de recurrir ante la Agencia si la empresa rechaza o no responde a tiempo (artículo 14 ter, letra g). Las multas, por infracciones leves, graves y gravísimas, están en este artículo.

«Protegemos tus datos con medidas de seguridad». El Título II nuevo pone nombre a cada deber: guardar secreto (14 bis), informar (14 ter), proteger desde el diseño y por defecto (14 quáter), adoptar medidas de seguridad (14 quinquies), reportar vulneraciones (14 sexies), firmar un contrato con quien trata datos por cuenta de la empresa (15 bis) y, en ciertos casos, hacer una evaluación de impacto antes de empezar (15 ter). La política tiene que contar su política y medidas de seguridad (artículo 14 ter, letra e).

Lo que la política de 2019 no tiene. El artículo 14 ter pide además, entre otras cosas: la fecha y versión de la política; la identificación del encargado de prevención, si la empresa adoptó el modelo de prevención de infracciones, que es voluntario; si los datos se transfieren a otro país y si ese país tiene un nivel adecuado de protección; el plazo durante el que se conservan los datos; el derecho a retirar el consentimiento cuando esa es la base; y si hay decisiones automatizadas, incluida la elaboración de perfiles.

Ejemplo. La política de Juanita no dice nada de portabilidad, de la Agencia, de plazos de conservación ni de decisiones automatizadas. Son cuatro párrafos nuevos, no una política nueva. Qué tiene que decir completa, en Política de privacidad en Chile.

Lo demás que cambió

Y lo que no toca la política de Juanita:

• El alcance. El nuevo artículo 1° bis dice cuándo se aplica la ley: cuando quien trata los datos está en Chile, cuando alguien de afuera los trata a nombre de una empresa establecida en Chile, y cuando una empresa de afuera ofrece bienes o servicios a personas que están en Chile o monitorea su comportamiento.
• Las definiciones. El artículo 2° suma, entre otras, el consentimiento, cada uno de los derechos, la elaboración de perfiles, el encargado y la Agencia, y reescribe las de dato personal y dato sensible, que hoy incluye, entre otros, la situación socioeconómica, el perfil biológico y los datos biométricos (qué es un dato sensible).
• El registro que desaparece. Un artículo transitorio manda al Servicio de Registro Civil e Identificación eliminar el registro de bancos de datos personales del antiguo artículo 22 de la 19.628.
• Sin plazo extra para los datos que ya existen. Los transitorios no traen una regla aparte para los datos que una empresa ya tenía. Lo que traen es un alivio acotado: durante los primeros doce meses, a una empresa de menor tamaño la Agencia puede sancionarla con una amonestación por escrito en vez de una multa, y esa amonestación igual queda en el registro público (Ley 21.719 para pymes).

Dónde ayuda Plumii

Si en la corredora de Juanita se usa IA con datos de clientes, dos cambios le tocan: el proveedor de IA es un encargado y necesita un contrato (15 bis), y si procesa fuera de Chile la política tiene que decirlo (14 ter, letra h). Plumii firma ese contrato de encargo en una empresa, dice de frente que los modelos corren fuera de Chile con un proveedor bajo contrato, y deja registro de qué datos que identifican a una persona salieron en cada mensaje. Mira cómo funciona.

Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.