Marcela es encargada de cumplimiento en una corredora de seguros de Concepción. Un jueves abre la política de privacidad de la empresa, escrita en 2019, y lee en el primer párrafo: «conforme a la Ley 19.628 sobre protección de la vida privada». Su gerente le pregunta si hay que botarla y escribir otra para «la ley nueva».
La respuesta corta es que no hay una ley nueva con otro número. Hay una ley vieja que cambió mucho. Este artículo cuenta qué cambió, leído en el propio texto de la Ley 21.719.
La 21.719 modifica la 19.628, no la reemplaza
La Ley 19.628 se promulgó en agosto de 1999 y siguió rigiendo todos estos años. La Ley 21.719, promulgada el 25 de noviembre de 2024 y publicada el 13 de diciembre de ese año, no la deroga. Su artículo primero empieza así: «Introdúcense las siguientes modificaciones en la ley N° 19.628». Esas modificaciones entran en vigencia el 1 de diciembre de 2026.
El primer cambio es el nombre. La ley deja de llamarse «sobre protección de la vida privada» y pasa a llamarse «sobre protección de los datos personales». Por eso, desde el 1 de diciembre, lo correcto es citar «la Ley 19.628, modificada por la Ley 21.719». Cuando alguien dice «la Ley 21.719», casi siempre se refiere a ese resultado.
Lo que se reescribió entero
La 21.719 no cambia frases sueltas en las partes centrales de la ley: las reemplaza completas. Según su propio texto, se reemplazan:
- El artículo 1°, que fija el objeto de la ley.
- El artículo 3°, que hoy contiene los principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad.
- El Título I, el de los derechos de las personas.
- El Título II, el del tratamiento de datos: el consentimiento, los deberes de quien trata datos y los datos sensibles.
- El Título IV, el de los órganos públicos.
Cuando una ley reemplaza títulos enteros, buscar diferencias línea por línea sirve de poco. Lo práctico es leer esas partes de nuevo, como si fueran nuevas.
Lo que se agrega
Un alcance que cruza la frontera. El nuevo artículo 1° bis dice cuándo se aplica la ley: cuando quien trata los datos está en Chile, cuando alguien de afuera los trata a nombre de una empresa establecida en Chile, y cuando una empresa de afuera ofrece bienes o servicios a personas que están en Chile o monitorea su comportamiento.
Definiciones nuevas. El artículo 2° suma, como literales nuevos, el consentimiento, cada uno de los derechos, la portabilidad, la cesión, la elaboración de perfiles, el tercero mandatario o encargado, la Agencia y el Registro Nacional de Sanciones y Cumplimiento. También se reescriben las definiciones de dato personal y de dato sensible, que hoy incluye, entre otros, la situación socioeconómica, el perfil biológico y los datos biométricos.
Un título de derechos con más piezas. Hoy incluye el acceso, la rectificación, la supresión, la oposición, el derecho a no ser objeto de decisiones automatizadas (8° bis), el bloqueo (8° ter) y la portabilidad (9°), con un procedimiento y un plazo: 30 días corridos para responder, prorrogables una vez por otros 30 (artículo 11). El bloqueo ya estaba definido en la ley; hoy tiene artículo propio y un plazo de dos días hábiles para contestar la solicitud.
Deberes con nombre y artículo. El Título II nuevo ordena lo que tiene que hacer quien trata datos: guardar secreto (14 bis), informar (14 ter), proteger desde el diseño y por defecto (14 quáter), adoptar medidas de seguridad (14 quinquies), reportar vulneraciones (14 sexies), firmar un contrato con quien trata datos por su cuenta (15 bis) y, en ciertos casos, hacer una evaluación de impacto antes de empezar (15 ter).
Una Agencia que fiscaliza. La 21.719 lo dice en su nombre: «crea la Agencia de Protección de Datos Personales». La Agencia fiscaliza, resuelve los reclamos de las personas y sanciona. La ley crea también el Registro Nacional de Sanciones y Cumplimiento, que es público, y fija multas por infracciones leves, graves y gravísimas. Las cifras están en este artículo y en nuestra página sobre la ley.
Un modelo de prevención voluntario. Las empresas pueden adoptar un programa de cumplimiento con un delegado de protección de datos, que la Agencia certifica y que cuenta como atenuante (artículos 49 a 51). Lo explicamos en este artículo.
Un cambio en las deudas. En el artículo 17 entra un inciso nuevo: las deudas prescritas se borran de los registros sin que nadie tenga que pedirlo.
Ejemplo. La política de Marcela, de 2019, no dice nada de portabilidad ni de decisiones automatizadas. Desde el 1 de diciembre, el artículo 14 ter le pide informar, entre otras cosas, los derechos que la persona puede ejercer, si los datos se transfieren a otro país y si hay decisiones automatizadas.
Lo que desaparece
Un artículo transitorio de la 21.719 manda al Servicio de Registro Civil e Identificación eliminar el registro de los bancos de datos personales que contemplaba el antiguo artículo 22 de la 19.628. Lo tiene que hacer dentro de los sesenta días anteriores a la entrada en vigencia de los cambios.
Sin plazo extra para las bases que ya existen
Los artículos transitorios de la 21.719 no traen una regla aparte para los datos que una empresa ya tenía antes del 1 de diciembre. Lo que traen es un alivio acotado: durante los primeros doce meses, a una empresa de menor tamaño la Agencia puede sancionarla con una amonestación por escrito en vez de una multa, y esa amonestación igual queda en el registro público. Lo contamos en la ley para una pyme.
Qué hace Marcela con su política
No la bota, pero la relee entera contra la lista del artículo 14 ter, cambia la cita de la ley y agrega lo que falta. Y se hace una pregunta que en 2019 no existía: qué datos de clientes pasan hoy por herramientas de IA. Con la ley modificada, un proveedor de IA que procesa datos por cuenta de la empresa es un encargado y necesita un contrato, y si procesa fuera de Chile hay una transferencia internacional con reglas propias. Lo desarrollamos en La Ley 21.719 y la IA.
Lo que hace Plumii
Plumii es un chat de IA para empresas que firma ese contrato de encargo, dice de frente que los modelos corren fuera de Chile con un proveedor bajo contrato, y deja registro de qué datos que identifican a una persona salieron en cada mensaje. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.