Multas Ley 21.719 para pymes: hasta 20.000 UTM

Respuesta breve: desde el 1 de diciembre de 2026, las empresas que incumplan la nueva normativa chilena de protección de datos personales podrán enfrentar amonestaciones y multas de hasta 5.000, 10.000 o 20.000 UTM, según la infracción sea leve, grave o gravísima. Estos son límites máximos y no multas automáticas.

La Ley N.o 21.719 fue publicada el 13 de diciembre de 2024 y modifica la Ley N.o 19.628. Entre otros cambios, crea la Agencia de Protección de Datos Personales e incorpora un nuevo régimen de fiscalización, infracciones y sanciones.

Para ser jurídicamente precisos, los artículos 34 bis, 34 ter, 34 quáter y 35 que regulan estas infracciones y multas quedarán incorporados al texto reformado de la Ley N.o 19.628 cuando la modificación entre en vigencia.

Los datos principales son:

Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM.
Infracciones graves: multa de hasta 10.000 UTM.
Infracciones gravísimas: multa de hasta 20.000 UTM.
Entrada en vigencia: 1 de diciembre de 2026.
Autoridad fiscalizadora: Agencia de Protección de Datos Personales.
Regla especial para empresas de menor tamaño: posible amonestación escrita durante los primeros doce meses, pero no una exención automática.

Una pyme no queda fuera de la normativa por tener pocos trabajadores, usar planillas o mantener una base de clientes pequeña. Lo relevante es si decide para qué y cómo se tratan datos personales de otras personas.

Este artículo se concentra en las multas y consecuencias del incumplimiento. Para revisar las obligaciones generales, derechos de los titulares y medidas de preparación, puedes consultar nuestra guía sobre protección de datos personales para pymes y la Ley 21.719.

¿Desde cuándo se aplicarán las multas de la Ley 21.719?

El nuevo régimen entrará en vigencia el 1 de diciembre de 2026.

La disposición transitoria primera de la Ley N.o 21.719 estableció que sus modificaciones comenzarían a regir el primer día del mes vigésimo cuarto posterior a su publicación en el Diario Oficial. Como la ley fue publicada el 13 de diciembre de 2024, la fecha de entrada en vigencia corresponde al 1 de diciembre de 2026.

Esto significa que, al 25 de agosto de 2026, el nuevo régimen sancionatorio todavía no se encuentra vigente.

Sin embargo, eso no significa que actualmente las empresas puedan tratar libremente los datos de clientes o trabajadores. Hasta la entrada en vigencia de la reforma siguen aplicándose la Ley N.o 19.628 en su texto actual, las obligaciones contractuales y las normas especiales que correspondan.

En materia laboral, además, el artículo 154 ter del Código del Trabajo ya obliga al empleador a mantener reserva sobre la información y los datos privados de los trabajadores a los que acceda con ocasión de la relación laboral.

¿Cuáles serán las multas por incumplir la Ley 21.719?

El nuevo artículo 35 de la Ley N.o 19.628 establece tres niveles de sanciones.

Infracciones leves

Las infracciones leves podrán ser sancionadas con:

Amonestación escrita.
Multa de hasta 5.000 UTM.

Infracciones graves

Las infracciones graves podrán ser sancionadas con:

Multa de hasta 10.000 UTM.

Infracciones gravísimas

Las infracciones gravísimas podrán ser sancionadas con:

Multa de hasta 20.000 UTM.

La expresión “hasta” es fundamental. La ley fija límites máximos, pero no establece que toda infracción grave recibirá necesariamente una multa de 10.000 UTM ni que toda infracción gravísima será sancionada con 20.000 UTM.

La Agencia deberá tramitar un procedimiento sancionatorio, formular cargos, permitir que el responsable presente sus defensas y dictar una resolución fundada.

¿Cuánto equivalen 5.000, 10.000 y 20.000 UTM en pesos?

La UTM cambia mensualmente. Por eso, toda conversión a pesos debe indicar el mes utilizado como referencia.

Considerando la UTM de agosto de 2026, cuyo valor es de $71.649 según el Servicio de Impuestos Internos, los máximos generales equivalen aproximadamente a:

5.000 UTM: $358.245.000.
10.000 UTM: $716.490.000.
20.000 UTM: $1.432.980.000.

Estos montos son referenciales y cambiarán junto con el valor mensual de la UTM. El valor actualizado puede consultarse en la página de UTM, UTA e IPC del Servicio de Impuestos Internos.

Estas equivalencias tampoco incluyen posibles recargos, reincidencias ni la acumulación de sanciones por conductas independientes.

¿Las multas son automáticas?

No.

La Agencia de Protección de Datos Personales deberá analizar las circunstancias de cada caso antes de determinar si existe una infracción y cuál será la sanción aplicable.

El artículo 37 establece que, para fijar el monto, la Agencia deberá considerar criterios como:

La gravedad de la conducta.
La falta de diligencia o cuidado.
El perjuicio producido.
El número de personas afectadas.
El beneficio económico obtenido por el infractor.
La existencia de datos personales sensibles.
La existencia de datos de niños, niñas o adolescentes.
La capacidad económica del infractor.
Las sanciones anteriores.
Las circunstancias atenuantes y agravantes.

También pueden considerarse como atenuantes:

Las medidas de reparación adoptadas.
Los acuerdos alcanzados con las personas afectadas.
La colaboración con la investigación.
La ausencia de sanciones anteriores.
La autodenuncia acompañada de medidas para detener o mitigar el incumplimiento.
La acreditación de una supervisión diligente mediante los mecanismos previstos en la ley.

El monto máximo no es el punto de partida de todas las sanciones. La Agencia deberá justificar la calificación de la infracción y el monto aplicado.

¿Qué se considera una infracción leve?

El nuevo artículo 34 bis clasifica como leves, entre otras, las siguientes conductas:

Incumplir total o parcialmente el deber de información y transparencia.
No mantener un domicilio, correo electrónico o medio de contacto actualizado y operativo.
No responder una solicitud formulada por el titular.
Responder una solicitud de manera incompleta.
Responder fuera del plazo legal.
Omitir determinadas comunicaciones obligatorias a la Agencia.
Incumplir instrucciones generales de la Agencia cuando la conducta no esté clasificada como grave o gravísima.
Cometer otra infracción que no tenga asignada una categoría superior.

En la operación cotidiana de una pyme, estos problemas podrían presentarse cuando:

El sitio web recopila datos, pero no explica quién es responsable de ellos.
Un formulario no informa la finalidad para la cual se utilizarán los datos.
La política de tratamiento de datos está desactualizada o no coincide con los procesos reales.
El correo destinado a solicitudes de privacidad no funciona.
Nadie revisa las solicitudes enviadas por clientes, trabajadores o proveedores.
La empresa recibe una solicitud de acceso o rectificación, pero no responde oportunamente.

Una política de privacidad publicada no demuestra por sí sola el cumplimiento. Su contenido debe representar lo que la empresa realmente hace con la información.

¿Qué se considera una infracción grave?

El nuevo artículo 34 ter contempla como graves, entre otras, las siguientes conductas:

Tratar datos sin consentimiento o sin otro fundamento legal que permita el tratamiento.
Usar los datos para una finalidad distinta de aquella para la cual fueron recopilados.
Comunicar o ceder datos sin consentimiento cuando este sea necesario.
Comunicar los datos para una finalidad distinta de la autorizada.
Recopilar o tratar datos innecesarios para la finalidad informada.
Tratar información inexacta, incompleta o desactualizada.
Impedir u obstaculizar el ejercicio de los derechos de acceso, rectificación, supresión, oposición o portabilidad.
Realizar tratamientos de datos de niños, niñas o adolescentes incumpliendo la ley.
Vulnerar el deber de secreto o confidencialidad.
Incumplir las obligaciones de seguridad.
Omitir las comunicaciones o registros exigidos frente a una vulneración de seguridad.
Realizar transferencias internacionales de datos incumpliendo la normativa.
Desobedecer una resolución o un requerimiento específico y directo de la Agencia.

En una empresa, estos riesgos pueden aparecer cuando:

Los antecedentes entregados para una postulación laboral se utilizan posteriormente para enviar publicidad sin un fundamento que lo permita.
Una base de clientes se entrega a otra empresa para una finalidad no informada.
Se solicitan antecedentes que no son necesarios para prestar el servicio.
Antiguos trabajadores conservan acceso a carpetas, correos o plataformas.
Varias personas utilizan la misma contraseña para consultar información de clientes o trabajadores.
La empresa no tiene controles apropiados sobre documentos confidenciales.
Ocurre un incidente y no se conserva registro de lo sucedido ni de las medidas adoptadas.
Se ignora una solicitud válida de eliminación o rectificación.

Estas situaciones deben evaluarse caso a caso. Por ejemplo, compartir contraseñas no aparece literalmente como una infracción autónoma, pero puede demostrar que las medidas de seguridad eran insuficientes.

¿Qué se considera una infracción gravísima?

El nuevo artículo 34 quáter reserva esta categoría para conductas de especial gravedad, muchas de ellas asociadas al fraude, al conocimiento de la ilegalidad o a una actuación deliberada.

Entre ellas se encuentran:

Tratar datos personales de manera fraudulenta.
Utilizar maliciosamente los datos para una finalidad distinta de la autorizada.
Comunicar o ceder, a sabiendas, información falsa, incompleta, inexacta o desactualizada.
Vulnerar la confidencialidad de datos personales sensibles.
Vulnerar la confidencialidad de datos sobre infracciones penales, civiles, administrativas o disciplinarias.
Tratar o comunicar, a sabiendas, datos sensibles incumpliendo la ley.
Tratar o comunicar, a sabiendas, datos de niños, niñas o adolescentes incumpliendo la ley.
Omitir deliberadamente la comunicación de una vulneración de seguridad.
Realizar, a sabiendas, transferencias internacionales contrarias a la normativa.
Incumplir una resolución de la Agencia relacionada con los derechos de una persona.
Entregar información falsa o manifiestamente errónea durante la certificación de un modelo de prevención.
No realizar una evaluación de impacto cuando sea legalmente obligatoria.

En el ámbito laboral, el riesgo puede ser especialmente alto cuando la organización administra:

Antecedentes médicos.
Licencias y documentos de salud.
Datos biométricos.
Información sobre afiliación sindical o gremial.
Datos sobre orientación sexual o identidad de género.
Denuncias internas.
Investigaciones de acoso.
Antecedentes disciplinarios.
Información sobre posibles infracciones.

No todos los datos de un trabajador son jurídicamente sensibles. El RUT, el domicilio, la remuneración, la cuenta bancaria, el contrato o los registros de asistencia son datos personales, pero no necesariamente datos personales sensibles según la definición legal.

Esto no significa que puedan divulgarse libremente. Continúan sujetos a los deberes de finalidad, proporcionalidad, seguridad y confidencialidad, además de la reserva laboral establecida en el Código del Trabajo.

¿Las pymes tendrán un año de gracia sin multas?

No existe un año de inmunidad ni una exención automática para las pymes.

El artículo sexto transitorio establece una regla especial para las empresas calificadas como empresas de menor tamaño durante los primeros doce meses posteriores a la entrada en vigencia.

Ese período se extenderá, en términos prácticos, desde el 1 de diciembre de 2026 hasta el 30 de noviembre de 2027.

Durante esos doce meses, cuando corresponda aplicar una sanción a una empresa de menor tamaño, la Agencia podrá optar por una amonestación escrita.

La palabra “podrá” significa que se trata de una facultad de la Agencia. No significa que esté obligada a reemplazar toda multa por una advertencia.

La amonestación deberá indicar:

La gravedad de la infracción.
La conducta infractora.
Las circunstancias atenuantes.
Las circunstancias agravantes, cuando existan.

Además:

La amonestación sigue siendo una sanción.
Se encuentra sujeta al deber de registro.
No libera a la empresa de corregir la conducta.
No posterga la entrada en vigencia de las obligaciones.
No garantiza que futuros incumplimientos reciban el mismo tratamiento.

Las anotaciones del Registro Nacional de Sanciones y Cumplimiento serán públicas durante cinco años.

No es correcto afirmar que las pymes no podrán recibir multas durante el primer año o que la ley comenzará a aplicárseles recién en diciembre de 2027.

¿Qué empresas pueden acceder a la regla especial del primer año?

La disposición transitoria se refiere específicamente a las empresas de menor tamaño definidas por el artículo segundo de la Ley N.o 20.416.

La clasificación general se determina según los ingresos anuales por ventas, servicios y otras actividades del giro del año calendario anterior:

Microempresa: ingresos anuales de hasta 2.400 UF.
Pequeña empresa: ingresos superiores a 2.400 UF y de hasta 25.000 UF.
Mediana empresa: ingresos superiores a 25.000 UF y de hasta 100.000 UF.

La cantidad de trabajadores no es el criterio principal utilizado por esta clasificación.

La Ley N.o 20.416 contiene reglas y exclusiones adicionales. Por eso, una empresa debe verificar que efectivamente cumple la definición legal y no asumir que obtiene el tratamiento especial solo porque comercialmente se presenta como una pyme.

Puedes revisar la clasificación en la Ley N.o 20.416 sobre empresas de menor tamaño y en la explicación publicada por el Servicio de Impuestos Internos.

¿Puede una sanción superar las 20.000 UTM?

Sí, en determinadas situaciones las consecuencias económicas totales pueden superar el máximo general de 20.000 UTM asignado a una infracción gravísima.

Incumplimiento de las medidas correctivas

Cuando la Agencia aplique una sanción, también deberá señalar las medidas necesarias para corregir las causas del incumplimiento.

Estas medidas deberán adoptarse dentro de un plazo máximo de sesenta días.

Si la empresa no las implementa oportunamente, se aplicará un recargo de 50% sobre la multa cursada.

Reincidencia

Cuando exista reincidencia, la Agencia podrá aplicar una multa de hasta tres veces el monto asignado a la infracción.

Para estos efectos, la ley considera reincidente al responsable que haya sido sancionado en dos o más ocasiones durante los últimos treinta meses, siempre que las resoluciones correspondientes se encuentren firmes o ejecutoriadas.

Porcentaje sobre los ingresos de empresas de mayor tamaño

Cuando una empresa que no está clasificada como empresa de menor tamaño reincida en una infracción grave o gravísima, la multa podrá alcanzar la alternativa más gravosa entre:

La multa aumentada por reincidencia.
Hasta 2% de los ingresos anuales por ventas, servicios y otras actividades del giro, si la infracción es grave.
Hasta 4% de esos ingresos anuales, si la infracción es gravísima.

La regla del 2% o 4% no se aplica directamente a las empresas calificadas como empresas de menor tamaño bajo la Ley N.o 20.416.

Acumulación de sanciones

Cuando una misma conducta origine dos o más infracciones, se impondrá una sola multa, considerando la infracción más grave.

En cambio, cuando existan dos o más conductas infractoras independientes, las sanciones correspondientes podrán acumularse.

Por lo tanto, las 20.000 UTM no constituyen necesariamente un límite global para todas las conductas que podrían investigarse dentro de un mismo caso.

¿Qué otras consecuencias puede enfrentar una empresa?

La multa no es la única consecuencia prevista por la nueva normativa.

Medidas correctivas

La Agencia podrá ordenar que la empresa modifique procesos, controles o actividades que originaron la infracción.

No adoptar esas medidas dentro del plazo otorgado puede generar el recargo de 50% sobre la multa.

Registro público de la sanción

La ley crea el Registro Nacional de Sanciones y Cumplimiento.

Este registro será:

Público.
Gratuito.
Electrónico.

Identificará a los responsables sancionados y señalará:

La gravedad de la infracción.
La conducta infractora.
Las circunstancias atenuantes y agravantes.
La sanción aplicada.

Las anotaciones serán públicas durante cinco años.

Esto puede afectar la confianza de clientes, trabajadores, proveedores y organizaciones que evalúan contratar a la empresa.

Suspensión del tratamiento de datos

Cuando se impongan multas por infracciones gravísimas reiteradas dentro de un período de veinticuatro meses, la Agencia podrá suspender total o parcialmente las operaciones de tratamiento de datos por hasta treinta días.

Durante ese tiempo, la empresa deberá corregir sus procesos.

Si no cumple lo ordenado, la suspensión podrá prorrogarse en períodos sucesivos de hasta treinta días.

Para una empresa que depende de una plataforma, una base de clientes o sistemas de recursos humanos, una suspensión puede producir un impacto operacional incluso mayor que la multa.

Responsabilidad civil

El artículo 47 contempla la obligación de indemnizar los daños patrimoniales y extrapatrimoniales causados a las personas cuando una infracción les produzca perjuicio.

La acción indemnizatoria se encuentra sujeta a las condiciones y al procedimiento establecidos por la propia ley.

Un mismo hecho podría generar:

Un procedimiento administrativo.
Una multa.
Medidas correctivas.
Registro público.
Una eventual demanda de indemnización.
Otras responsabilidades legales cuando correspondan.

¿Cómo se relaciona la Ley 21.719 con los datos de los trabajadores?

La Ley N.o 21.719 no es una ley laboral, pero sus obligaciones alcanzan a los empleadores cuando estos deciden cómo y para qué se tratan los datos personales de sus trabajadores.

Una empresa puede administrar información como:

RUT y datos de identificación.
Domicilio y medios de contacto.
Contratos y anexos.
Remuneraciones.
Cuenta bancaria.
Registros de asistencia.
Licencias médicas.
Datos previsionales.
Evaluaciones.
Medidas disciplinarias.
Denuncias e investigaciones internas.

Además, el artículo 154 ter del Código del Trabajo dispone actualmente que el empleador debe mantener reserva de toda la información y datos privados del trabajador a los que tenga acceso con ocasión de la relación laboral.

Este deber ya se encuentra vigente y no comienza el 1 de diciembre de 2026.

La nueva normativa de protección de datos agregará un marco más detallado de:

Licitud.
Finalidad.
Proporcionalidad.
Calidad de la información.
Seguridad.
Transparencia.
Confidencialidad.
Responsabilidad.

El consentimiento tampoco es la única base que puede permitir el tratamiento de datos laborales.

El nuevo artículo 16 contempla, por ejemplo, que determinados datos sensibles podrán tratarse sin consentimiento cuando sea necesario para ejercer derechos o cumplir obligaciones en materia laboral o de seguridad social, siempre que el tratamiento se realice dentro del marco de la ley.

Esto no autoriza al empleador a recopilar cualquier información. Cada dato debe ser necesario para una finalidad legítima y contar con un fundamento aplicable.

El texto vigente del deber de reserva puede revisarse en el Código del Trabajo publicado por la Biblioteca del Congreso Nacional.

¿Qué ocurre con las denuncias e investigaciones de Ley Karin?

Las investigaciones por acoso sexual, acoso laboral y violencia en el trabajo pueden contener información privada, sensible o relacionada con eventuales responsabilidades disciplinarias.

El artículo 2, letra d), del Decreto N.o 21 del Ministerio del Trabajo y Previsión Social establece el principio de confidencialidad.

Este principio exige que quienes participan en una investigación resguarden el acceso y la divulgación de la información que conocen durante el procedimiento.

En la práctica, una empresa debería revisar:

Quién puede recibir una denuncia.
Quién puede acceder a sus antecedentes.
Dónde se almacenan los documentos.
Cómo se realizan las notificaciones.
Cómo se registran las entrevistas.
Cómo se comparten los informes.
Qué permisos tienen las carpetas o sistemas.
Cómo se eliminan accesos cuando una persona deja de participar.
Cómo se evita que la información circule por canales informales.

Guardar una denuncia en una carpeta abierta a toda la organización, compartirla mediante una cuenta común o reenviarla a personas que no participan en el procedimiento puede vulnerar el deber de confidencialidad y aumentar el riesgo bajo la nueva normativa.

El reglamento puede consultarse en el Decreto N.o 21 sobre investigaciones de acoso sexual, laboral y violencia en el trabajo.

¿Un trabajador o extrabajador puede exigir que se eliminen todos sus datos?

No necesariamente.

La nueva normativa reconocerá el derecho a solicitar la supresión de datos cuando, entre otras circunstancias:

Ya no sean necesarios para la finalidad con la que fueron recopilados.
El consentimiento haya sido revocado y no exista otro fundamento legal.
Los datos hayan sido obtenidos o tratados ilícitamente.
La información se encuentre caduca.
Exista una obligación de eliminarla.

Sin embargo, la supresión no procede cuando el tratamiento sea necesario para:

Cumplir una obligación legal.
Ejecutar un contrato.
Cumplir una función pública o una actividad de interés público.
Formular, ejercer o defender una reclamación administrativa o judicial.
Otras situaciones autorizadas expresamente por la ley.

Por lo tanto, la empresa no debería eliminar automáticamente todo el expediente de un extrabajador después de recibir una solicitud.

Tampoco debería conservar indefinidamente cada documento “por si acaso”.

La respuesta adecuada exige distinguir entre:

Documentos que deben conservarse por una obligación legal.
Antecedentes necesarios para ejercer o defender derechos.
Información que todavía cumple una finalidad vigente.
Datos que deberían bloquearse.
Información que puede anonimizarse.
Copias duplicadas o innecesarias que deberían eliminarse.

Para revisar qué antecedentes laborales suele administrar una empresa, puedes consultar nuestro checklist de documentos laborales para pymes.

¿Toda filtración de datos genera una multa?

No de manera automática.

Un incidente de seguridad y una infracción declarada por la Agencia no son exactamente lo mismo. La empresa deberá demostrar las medidas de seguridad que mantenía, cómo reaccionó y si cumplió sus obligaciones de registro y comunicación.

El nuevo artículo 14 sexies obliga a reportar a la Agencia, sin dilaciones indebidas, las vulneraciones que produzcan destrucción, filtración, pérdida, alteración o acceso no autorizado cuando exista un riesgo razonable para los derechos y libertades de las personas.

La empresa también deberá registrar antecedentes como:

La naturaleza del incidente.
Sus posibles efectos.
Las categorías de datos afectadas.
El número aproximado de personas afectadas.
Las medidas adoptadas.
Las acciones destinadas a prevenir nuevos incidentes.

Cuando la vulneración afecte determinados datos especialmente protegidos, también deberá comunicarse a los titulares. La ley menciona:

Datos personales sensibles.
Datos de niños y niñas menores de catorce años.
Datos relativos a obligaciones económicas, financieras, bancarias o comerciales.

Incumplir las obligaciones de seguridad u omitir comunicaciones o registros puede constituir una infracción grave.

Omitir deliberadamente la comunicación de una vulneración puede constituir una infracción gravísima.

¿Qué debería hacer una pyme antes del 1 de diciembre de 2026?

Una preparación inicial puede organizarse en las siguientes acciones.

Identificar los datos personales

Registrar qué información administra la empresa sobre:

Clientes.
Trabajadores.
Postulantes.
Proveedores personas naturales.
Usuarios.
Contactos comerciales.
Denunciantes y participantes de investigaciones.

Identificar las finalidades

Definir para qué se utiliza cada categoría de datos y evitar usos diferentes de los informados.

Revisar el fundamento del tratamiento

Determinar si cada operación se basa en:

Consentimiento.
Una obligación legal.
La ejecución de un contrato.
Intereses legítimos.
Otro fundamento permitido.

No debe asumirse que todo tratamiento requiere consentimiento ni que haber obtenido un consentimiento permite cualquier uso posterior.

Actualizar la información entregada a las personas

Revisar:

Formularios.
Contratos.
Avisos de privacidad.
Política de tratamiento de datos.
Procesos de selección.
Comunicaciones comerciales.
Sistemas de atención.

La información publicada debe coincidir con la operación real.

Crear un canal para ejercer derechos

Definir un correo, formulario o medio electrónico operativo para recibir solicitudes de:

Acceso.
Rectificación.
Supresión.
Oposición.
Portabilidad.
Bloqueo temporal.

También debe existir una persona responsable de revisar y responder esas solicitudes.

Ordenar los permisos y accesos

Aplicar accesos según las funciones de cada persona.

Esto incluye:

Evitar usuarios compartidos.
Eliminar accesos de exempleados.
Separar documentos laborales y comerciales.
Restringir información sensible.
Registrar cambios relevantes.
Utilizar autenticación reforzada cuando corresponda.

Establecer plazos de conservación

Definir cuánto tiempo debe mantenerse cada categoría documental y qué ocurrirá al terminar ese plazo.

Una política de conservación debe evitar:

Eliminar anticipadamente documentos obligatorios.
Mantener información innecesaria de manera indefinida.
Conservar duplicados sin justificación.
Acumular información sin responsable.

Revisar a los proveedores

Identificar qué terceros almacenan o procesan información por cuenta de la empresa.

Los contratos deberían precisar:

El objeto del encargo.
La duración.
La finalidad.
Los tipos de datos.
Las categorías de titulares.
Las medidas de seguridad.
Las obligaciones de las partes.
La devolución o eliminación de los datos al terminar el servicio.

Preparar un protocolo de incidentes

Definir:

Quién recibe los reportes.
Quién toma decisiones.
Cómo se contiene el incidente.
Qué antecedentes deben registrarse.
Cuándo debe informarse a la Agencia.
Cuándo debe informarse a las personas afectadas.
Cómo se documentan las medidas adoptadas.

Conservar evidencia del cumplimiento

Mantener registros de:

Políticas.
Procedimientos.
Solicitudes y respuestas.
Evaluaciones.
Accesos.
Capacitaciones.
Incidentes.
Contratos con proveedores.
Medidas correctivas.

Cumplir no consiste únicamente en tener una política de privacidad. La empresa debe poder demostrar que sus procesos reales respetan lo que declara.

La gestión documental para pymes puede ayudar a controlar documentos, responsables, vencimientos y permisos. Sin embargo, ninguna plataforma garantiza por sí sola el cumplimiento si no existen criterios, controles y responsabilidades definidos.

Preguntas frecuentes sobre las multas de la Ley 21.719

¿Cuál es la multa máxima por infringir la Ley 21.719?

El máximo general para una infracción gravísima es de 20.000 UTM. Sin embargo, pueden existir aumentos por reincidencia, un recargo de 50% por no cumplir las medidas correctivas o acumulación de sanciones por conductas independientes.

¿Las multas se aplicarán también a las pymes?

Sí. Una empresa de menor tamaño no está excluida de la normativa. El tamaño y la capacidad económica se consideran al determinar la sanción, pero no eliminan la obligación de cumplir.

¿Durante el primer año las pymes solo recibirán advertencias?

No necesariamente. Entre el 1 de diciembre de 2026 y el 30 de noviembre de 2027, la Agencia podrá aplicar una amonestación escrita a las empresas de menor tamaño. Es una facultad, no una obligación.

¿Una amonestación quedará registrada?

Sí. La amonestación especial del primer año está sujeta al deber de registro. Las anotaciones del Registro Nacional de Sanciones y Cumplimiento serán públicas durante cinco años.

¿El 4% de los ingresos se aplicará a cualquier pyme?

No. La regla de hasta 2% o 4% de los ingresos está prevista para empresas que no sean empresas de menor tamaño y que reincidan en infracciones graves o gravísimas, respectivamente.

¿Tener una política de privacidad evita una multa?

No. La política es parte del cumplimiento, pero debe coincidir con los procesos reales. También deben revisarse las finalidades, fundamentos legales, accesos, proveedores, seguridad, conservación y atención de solicitudes.

¿Es obligatorio obtener consentimiento para tratar todos los datos?

No. El consentimiento es una de las posibles bases de licitud. También pueden existir obligaciones legales, relaciones contractuales, intereses legítimos u otros fundamentos contemplados por la ley.

¿Toda pyme deberá nombrar un delegado de protección de datos?

La ley no establece una obligación general de designarlo para todas las pymes. El artículo 50 señala que el responsable podrá nombrar un delegado.

Si una empresa adopta voluntariamente el modelo certificado de prevención previsto en el artículo 49, ese programa deberá incluir la designación de un delegado.

En las micro, pequeñas y medianas empresas, el dueño o la máxima autoridad podrá asumir personalmente esas tareas, siempre que cumpla las condiciones aplicables.

¿Es obligatorio certificar un modelo de prevención?

No. El modelo certificado del artículo 49 es voluntario.

Sin embargo, el artículo 48 sí obliga a todos los responsables de datos a adoptar acciones destinadas a prevenir infracciones.

¿Quién aplicará las sanciones?

La Agencia de Protección de Datos Personales instruirá los procedimientos, investigará las infracciones y aplicará las sanciones correspondientes.

¿Una empresa podrá defenderse?

Sí. La Agencia deberá formular cargos y permitir que el responsable presente descargos y pruebas. La resolución final deberá ser fundada y podrá ser objeto de los recursos administrativos y judiciales previstos en la ley.

Prepararse antes de una fiscalización

El objetivo de ordenar el tratamiento de datos no debería limitarse a evitar una multa.

Una gestión responsable también permite:

Reducir accesos indebidos.
Eliminar información duplicada.
Mejorar la seguridad.
Responder correctamente a clientes y trabajadores.
Administrar mejor a los proveedores.
Disminuir el impacto de un incidente.
Demostrar las medidas adoptadas.
Proteger la confianza en la empresa.

En Pyme en Orden ayudamos a revisar procesos digitales, documentos, accesos, formularios y flujos de información para identificar brechas y definir un plan de mejora.

Puedes solicitar un diagnóstico para revisar el punto de partida de tu empresa.

Fuentes oficiales

Este artículo tiene fines informativos generales. No reemplaza una asesoría jurídica adaptada a los tratamientos de datos, obligaciones y riesgos específicos de cada organización.

```