Patricio es dueño de una ferretería en Talca. Tiene doce trabajadores, una planilla con 800 clientes de cuenta corriente, una contadora externa y un sitio web donde se pueden pedir cotizaciones. Un proveedor le comenta que desde diciembre hay multas por datos personales «hasta para los almacenes». Patricio no tiene abogado ni área de TI, y la pregunta que se hace es simple: ¿qué es lo mínimo que tengo que tener?
Sí, la ley también es para ti
La Ley 21.719 se aplica a todo tratamiento de datos personales que haga «una persona natural o jurídica» (artículo 1°). No hay un tamaño mínimo. Si tu pyme tiene datos de clientes, de trabajadores o de proveedores que son personas, la ley la alcanza.
Lo que sí cambia con el tamaño es cuánto se exige y cómo se sanciona. Eso está escrito en tres lugares de la ley.
Lo que la ley ajusta para una empresa pequeña
Estándares según el tamaño. El artículo 14 septies dice que los estándares mínimos para cumplir dos deberes —el de información y el de seguridad— se fijan considerando, entre otros factores, el tamaño de la empresa según las categorías de la Ley 20.416, que define a las empresas de menor tamaño. También cuentan el tipo de dato, la actividad y el volumen de datos. La Agencia los fijará mediante una instrucción general. La idea es que una ferretería y un banco no tengan la misma vara; cuál será la de cada uno lo dirá esa instrucción.
Un primer año con amonestación posible. Durante los primeros doce meses desde el 1 de diciembre de 2026, si corresponde sancionar a una empresa de menor tamaño, la Agencia puede aplicar una amonestación por escrito en vez de una multa (artículo sexto transitorio de la Ley 21.719). Es una facultad de la Agencia, no una exención: la empresa igual tiene que cumplir, y la amonestación queda anotada en el Registro Nacional de Sanciones y Cumplimiento, que es público.
Un techo distinto en caso de reincidir. Las multas son las mismas para todos: hasta 5.000, 10.000 o 20.000 UTM según la infracción sea leve, grave o gravísima, y las leves pueden sancionarse sólo con amonestación escrita (artículo 35). Lo que no se aplica a las empresas de menor tamaño es la regla que permite llevar la multa al 2 % o al 4 % de los ingresos anuales cuando una empresa reincide en una infracción grave o gravísima. Además, la Agencia considera la capacidad económica del infractor al fijar el monto (artículo 37). El detalle está en las multas de la ley.
Lo mínimo, en siete puntos
- Saber qué datos tienes y para qué. Una hoja con cada lista —clientes, trabajadores, proveedores—, qué datos trae y para qué la usas. Es la base de todo lo demás.
- Tener un permiso para cada uso. Muchas veces no es el consentimiento: los datos de la cuenta corriente de un cliente se usan para cumplir el contrato con él. Los permisos están explicados en este artículo.
- Publicar tu política de privacidad en tu sitio web, con lo que pide el artículo 14 ter. No tener un correo o medio de contacto actualizado para que las personas ejerzan sus derechos es, por sí solo, una infracción leve (artículo 34 bis, letra b). Qué tiene que decir la política, en este artículo.
- Responder las solicitudes en plazo: 30 días corridos, prorrogables una vez por otros 30 (artículo 11).
- Firmar un contrato con quien trata datos por ti: la contadora que hace las liquidaciones, el que te lleva el sitio web, el software de facturación (artículo 15 bis).
- Cuidar lo básico de seguridad: quién tiene acceso a la planilla de clientes, que no ande en un pendrive, que las claves no sean las mismas para todos.
- Decidir cómo se usa la IA en tu empresa, porque probablemente ya se usa. Con qué herramienta, y qué datos sí y cuáles no.
Ejemplo. El hijo de Patricio, que lleva las redes sociales de la ferretería, pega la lista de clientes con deuda en un chat de IA gratuito para que le redacte recordatorios de pago. Para hacer el recordatorio, la IA no necesita ni un nombre: basta una plantilla con un espacio en blanco, que después se completa. Y con una cuenta personal, la ferretería no tiene contrato con ese proveedor.
Si quieres ir un paso más allá
La ley permite adoptar un modelo de prevención de infracciones, con un delegado de protección de datos, que la Agencia certifica y que cuenta como atenuante si algo sale mal. Es voluntario, y en las micro, pequeñas y medianas empresas el dueño puede asumir él mismo las tareas de delegado (artículo 50). Lo explicamos en este artículo.
Lo que hace Plumii
Para el punto 7, Plumii es un chat de IA con la cuenta de la empresa: firma el contrato de encargo, tapa nombres, RUT, correos, teléfonos, direcciones y patentes antes de que lleguen al modelo, bloquea tarjetas y contraseñas, y deja registro de quién lo usó y qué datos traía cada mensaje. Cuesta 8.000 pesos más IVA al mes por cada colaborador con acceso. Mira los planes.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.