La Ley 21.719 reemplaza casi por completo la antigua ley de datos personales y, según el texto vigente, entra en vigencia el 1 de diciembre de 2026. Para tu sistema, el cambio de fondo es este: tienes que poder demostrar por qué guardas cada dato, responder en plazo cuando una persona pide ver, corregir, borrar o llevarse sus datos, protegerlos de forma razonable y avisar cuando se filtran. Ya no basta con tener una política de privacidad en el footer.

En este artículo explicamos qué cambia en la práctica y qué revisar en tus formularios, bases de datos y procesos. No es asesoría legal: para tu caso concreto, conversa con un abogado. Lo que sigue es la mirada de quien construye y mantiene los sistemas donde viven esos datos.

Cuándo entra en vigencia (y el proyecto para postergarla)

La ley se publicó en el Diario Oficial el 13 de diciembre de 2024 y dice que entra en vigencia “el día primero del mes vigésimo cuarto posterior a la publicación”: el 1 de diciembre de 2026.

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) que modifica la ley y propone trasladar esa fecha al 1 de diciembre de 2027. Al 18 de octubre de 2026 sigue en primer trámite, en la Comisión de Constitución del Senado. Mientras no se apruebe y publique, la fecha legal sigue siendo diciembre de 2026.

Aunque se posterguen las multas, el trabajo en los sistemas es el mismo, y ordenar los datos toma más tiempo de lo que parece. Conviene partir igual.

Qué cambia, en simple

  • Necesitas una razón válida para cada dato. La ley la llama “base de licitud”: el consentimiento de la persona, un contrato con ella, una obligación legal o un interés legítimo que no pase a llevar sus derechos. Y te toca a ti probarla.
  • El consentimiento tiene que ser real. Libre, informado, específico para cada finalidad y previo. La persona puede retirarlo cuando quiera, por un medio tan simple como el que usó para darlo.
  • Solo los datos necesarios, y solo el tiempo necesario. Cumplido el fin para el que los pediste, los datos se borran o se anonimizan.
  • Más derechos para las personas. Acceso, rectificación, supresión, oposición, portabilidad (llevarse sus datos a otra empresa) y bloqueo, ejercidos por medios sencillos.
  • Seguridad y aviso de filtraciones. Debes proteger los datos según su riesgo y, si se vulneran, reportarlo a la nueva Agencia de Protección de Datos Personales “sin dilaciones indebidas”.
  • Una Agencia que fiscaliza y multa. Las multas llegan hasta 5.000, 10.000 o 20.000 UTM según la infracción sea leve, grave o gravísima, y las sanciones quedan en un registro público por cinco años.

Qué revisar en tus sistemas y formularios

1. Qué datos pides y para qué

Haz una lista de cada formulario, planilla y base de datos con información de personas: clientes, trabajadores, postulantes, proveedores. Al lado de cada dato, anota para qué lo usas y con qué base de licitud. Lo que no tenga un para qué claro, deja de pedirlo.

La ley pide protección “desde el diseño y por defecto”: que el sistema, de partida, trate solo los datos estrictamente necesarios.

2. Cómo pides el consentimiento

Cuando el consentimiento es la base, tiene que ser una acción clara de la persona, una por cada finalidad. Si lo pides junto con una compra para datos que la compra no necesita, la ley presume que no fue libre: aceptar publicidad debería ser una casilla aparte. Tu sistema debe guardar cuándo y para qué aceptó cada persona, porque es tu prueba, y permitirle retirarlo con la misma facilidad.

3. Tu política de privacidad

La ley enumera lo que debe estar publicado en tu sitio web, entre otras cosas: qué datos tratas y para qué, con qué base, a quién los comunicas, cuánto tiempo los guardas, qué medidas de seguridad tomas, cómo ejercer los derechos, si los datos salen del país y si tomas decisiones automatizadas, como perfiles, sobre las personas. Una política genérica copiada de otro sitio probablemente no cumple.

4. Un canal para las solicitudes, y un plazo

Necesitas un correo o formulario donde las personas pidan acceder, corregir, borrar u oponerse. Tienes 30 días corridos para responder, prorrogables una vez por otros 30. Si alguien pide bloquear temporalmente sus datos mientras se resuelve, tienes dos días hábiles. Además, debes guardar respaldo de cada respuesta enviada.

Responder tarde o de forma incompleta es una infracción leve. Un registro simple de solicitudes, con fecha de ingreso y vencimiento, evita que una se pierda en la bandeja de entrada.

5. Que el sistema pueda cumplir esos derechos

Es la parte más técnica y la que más se subestima. Pregúntate si tu sistema puede:

  • Encontrar todos los datos de una persona, en todas las tablas, planillas y respaldos.
  • Corregirlos en un solo lugar y que el cambio llegue a los demás sistemas.
  • Borrarlos o anonimizarlos sin romper tus registros contables o de ventas.
  • Exportarlos en un formato que la persona pueda llevarse.
  • Marcar un dato como bloqueado para que nadie lo use mientras se revisa una solicitud.

En sistemas antiguos, con datos repetidos en varias bases o planillas, esto suele ser imposible sin ordenar primero. Es un buen momento para revisar si tu sistema necesita modernizarse.

6. Seguridad proporcional al riesgo

La ley no impone una lista cerrada, pero menciona medidas como el cifrado y la seudonimización (separar los datos de la identidad de la persona), poder restaurar los datos rápido después de un incidente y revisar periódicamente que las medidas funcionan. En la práctica: accesos por rol, contraseñas y llaves fuera del código, respaldos que de verdad has probado restaurar y registro de quién accede a qué.

7. Qué hacer si hay una filtración

Ten escrito quién decide, cómo se evalúa el riesgo y cómo se reporta a la Agencia. Debes registrar cada incidente: qué pasó, qué datos y cuántas personas se vieron afectadas, y qué hiciste. Si se filtran datos sensibles, de menores de 14 años o financieros, también debes avisar a cada persona afectada.

8. Tus proveedores

Si un tercero trata datos por ti, como tu hosting, tu CRM o quien desarrolla tu sistema, la ley pide un contrato que diga qué datos trata, para qué, por cuánto tiempo y qué pasa con ellos al terminar. Ese proveedor también debe cumplir con la seguridad y avisarte si tiene una filtración.

9. Decisiones automatizadas y tratamientos de alto riesgo

Si usas perfiles o decisiones automáticas con efectos importantes para las personas, tratas datos a gran escala o monitoreas zonas de acceso público, la ley exige una evaluación de impacto antes de empezar. Si estás sumando IA a procesos con datos de clientes, revisa este punto con cuidado.

Si tu empresa es pequeña

La ley considera el tamaño. La Agencia fijará estándares diferenciados según el tipo de datos y si eres micro, pequeña o mediana empresa. Durante los primeros doce meses de vigencia, a las empresas de menor tamaño la Agencia podrá aplicarles una amonestación escrita en lugar de multa. Y en una pyme, el dueño puede asumir personalmente el rol de delegado de protección de datos.

Eso no significa que no aplique: significa que hay un margen para ordenarse, no para ignorarla.

Por dónde empezar

  1. El inventario de datos del punto 1. Sin él, todo lo demás es adivinar.
  2. El canal de solicitudes y la política de privacidad, que son lo más visible.
  3. Probar con un caso real si puedes encontrar, exportar y borrar los datos de un cliente.
  4. Corregir lo que esa prueba deje en evidencia, empezando por lo de mayor riesgo.

Si quieres revisar cómo está tu sistema frente a la ley, conversemos. Te decimos qué partes se pueden ajustar y cuáles conviene rehacer, en palabras simples y por fases.

Fuentes