Caso ficticio
Es lunes en la mañana y Juanita Pérez, gerenta de administración de una distribuidora de alimentos en una ciudad de la zona central, abre un correo del directorio con una sola línea: «¿Estamos listos para la ley de datos?». No sabe qué contestar. La empresa tiene clientes, proveedores, ochenta trabajadores y una planilla con todo eso, y nadie ha mirado la ley.
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y fijó su vigencia para el primer día del mes 24 después de esa fecha. Desde entonces rigen sus cambios a la Ley 19.628, y la Agencia de Protección de Datos Personales puede fiscalizar y sancionar.
La respuesta para Juanita cabe en ocho pasos: saber qué datos tiene la empresa, tener un permiso para cada uso, publicar una política de privacidad, firmar contratos con quienes tratan datos por ella, saber qué datos salen de Chile, tener seguridad y un plan para cuando algo falle, un canal para responder a las personas y reglas para usar IA. Cada paso es corto y lleva al artículo que lo explica entero. Si todavía no tienes claros los conceptos de dato personal, responsable y base de licitud, parte por La Ley 21.719 en tres conceptos.
1. Saber qué datos tienes
Antes de cumplir nada, hay que saber de qué se trata. Haz una lista simple: qué datos personales tiene la empresa (de clientes, de trabajadores, de postulantes, de proveedores), dónde están, para qué se usan, quién los ve y cuánto tiempo se guardan.
La ley no usa la palabra «inventario», pero lo necesitas igual: el artículo 14 ter te pide publicar qué tipos de datos tratas, de quiénes, para qué y con qué base. Sin la lista, no puedes escribirlo.
Ejemplo. Juanita descubre que ventas guarda el celular de cada cliente, que RR.HH. tiene las licencias médicas en una carpeta compartida y que nadie borra los CV de postulantes de hace tres años.
2. Un permiso para cada uso
Cada uso de un dato necesita una base de licitud: el consentimiento de la persona (artículo 12) o alguna de las otras que enumera el artículo 13, como la ejecución de un contrato o una obligación legal. Y la empresa tiene que poder acreditar cuál usó. Al lado de cada fila de tu lista, anota la base. Si alguna fila no tiene, ahí hay trabajo.
Los datos sensibles —salud, afiliación sindical, situación socioeconómica, entre otros— tienen reglas más exigentes: las licencias médicas de la carpeta de RR.HH. son uno. Lee el consentimiento y los otros permisos y qué es un dato sensible.
3. Una política de privacidad publicada
El artículo 14 ter pide tener a disposición del público, en tu sitio web o en un medio equivalente, una lista concreta de información: quién es el responsable, cómo se le escribe, qué datos trata, para qué, con qué base, a quién se los comunica, cuánto los guarda, si salen de Chile y qué derechos tiene cada persona. Con la lista del paso 1, Juanita tiene casi todo. El detalle está en qué tiene que decir tu política de privacidad.
4. Contratos con quienes tratan datos por ti
La contadora externa, la empresa que manda tus correos masivos, el software de remuneraciones: todos tratan datos por cuenta de tu empresa. El artículo 15 bis pide que esa relación quede en un contrato que diga el objeto, la duración, la finalidad, el tipo de datos, de quiénes son y los derechos y obligaciones de cada parte. Revisa qué contratos tienes y cuáles faltan: el contrato de encargo.
5. Saber qué datos salen de Chile
Si algún proveedor procesa datos fuera de Chile —un sistema en la nube, un asistente de IA—, eso es una transferencia internacional y el artículo 27 dice cuándo es lícita. Además, tu política tiene que contarlo. Más en cuando los datos salen de Chile.
6. Seguridad, y un plan para cuando algo falle
El artículo 14 quinquies pide medidas de seguridad acordes al riesgo y poder acreditar que existen y funcionan. El 14 sexies pide reportar a la Agencia las vulneraciones que pongan en riesgo razonable los derechos de las personas, y en algunos casos avisarles a ellas. Decide hoy quién hace qué ese día: qué hacer ante una filtración de datos.
7. Un canal para responder a las personas
Cualquier persona puede pedirle a tu empresa acceso, rectificación, supresión, oposición, portabilidad o bloqueo de sus datos. El artículo 11 dice que la solicitud llega a un correo, un formulario o un medio equivalente, y que tienes 30 días corridos para responder, prorrogables una sola vez por otros 30. Define el correo, quién lo lee y cómo se busca la información: con la lista del paso 1, Juanita responde en horas. Más en los derechos ARCO y sus plazos.
8. Reglas para el uso de IA
Tus colaboradores ya pegan en asistentes de IA reclamos de clientes, liquidaciones y CV. Para la ley eso es tratar datos personales, con todo lo anterior: base de licitud, sólo lo necesario, contrato con el proveedor y, casi siempre, transferencia internacional. Hace falta una herramienta autorizada y una política de uso que la gente conozca. Lo explicamos en La Ley 21.719 y la IA y en la política de uso de IA en la empresa.
Lo que depende de tu caso
- Evaluación de impacto. Si un tratamiento puede significar un alto riesgo —por ejemplo, tratamiento masivo o a gran escala, o decisiones automatizadas con efectos jurídicos significativos—, el artículo 15 ter pide evaluarlo antes de empezar.
- Modelo de prevención de infracciones. Es voluntario, lo certifica la Agencia y cuenta como atenuante si algún día hay una sanción: el modelo de prevención de infracciones.
- Si tu empresa es de menor tamaño, lee la Ley 21.719 para pymes.
No hay que tenerlo perfecto el 30 de noviembre
Lo que sí conviene es haber partido: la lista de datos, el canal para responder y las reglas de IA se pueden tener en pocas semanas. Lo demás se ordena encima. Eso es lo que Juanita puede contestarle al directorio: dónde está hoy en cada uno de los ocho pasos.
Dónde entra Plumii
En el paso 8. Plumii es un chat de IA con la cuenta de la empresa, con una regla para cada dato que identifica a una persona —se tapa, se bloquea o pasa— y un registro de uso sin las conversaciones, para poder mostrar cómo se usa la IA. La relación queda en un contrato de encargo. No resuelve los otros siete pasos; ayuda en ese. Mira cómo funciona.
Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.