Centro de documentación

El 1 de diciembre de 2026. Fue publicada el 13 de diciembre de 2024 con 24 meses de vacancia para que las organizaciones se adapten.

Hay un proyecto de ley en el Senado (Boletín 18.623-07, Mensaje del 31 de agosto de 2026) que propone moverla al 1 de diciembre de 2027. Está en primer trámite y no es ley, así que el 1 de diciembre de 2026 sigue rigiendo. Y aunque se postergue, la ANCI (Ley 21.663) ya fiscaliza hoy y tus clientes ya exigen cumplimiento por contrato.

A toda organización pública o privada que trate datos personales en Chile, sin excepción por tamaño o rubro. Si tienes trabajadores, clientes o proveedores identificables, aplica.

El nuevo organismo público que fiscaliza el cumplimiento, tramita denuncias, sanciona infracciones y dicta instrucciones. Puede actuar de oficio o por denuncia de cualquier persona.

Hasta 5.000 UTM las leves, 10.000 UTM las graves y 20.000 UTM las gravísimas. Hay reincidencia con 2 o más sanciones firmes en 30 meses, y la multa puede llegar a 3 veces su monto. En empresas que no son de menor tamaño (Ley 20.416), reincidentes en graves o gravísimas, el tope es el mayor entre 3 veces la multa y el 2 % o 4 % de los ingresos anuales del último año calendario (arts. 35 y 36).

Las obligaciones les rigen igual desde diciembre de 2026. Durante los primeros 12 meses la Agencia podrá amonestar por escrito en vez de multar: es una facultad, no algo automático, y la amonestación queda anotada en el registro público (art. sexto transitorio). Es tiempo para corregir, no para esperar.

Acceso, Rectificación, Cancelación, Oposición y Portabilidad: los derechos que cualquier titular puede ejercer ante tu empresa, con plazos legales de respuesta.

El inventario formal de todos los procesos de tu empresa que usan datos personales: finalidad, base legal, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad. La ley no lo exige como obligación autónoma: es una buena práctica que sustenta el deber de información (art. 14 ter) y el modelo de prevención (art. 49).

Solo si cumple el estándar nuevo: específico, informado, inequívoco y revocable. Las autorizaciones genéricas tipo "para todos los fines" no sobreviven y deben regularizarse.

La justificación legal de cada tratamiento. El consentimiento es una entre varias: también existen el contrato, la obligación legal, el interés legítimo y otras. Elegir la correcta es la decisión de diseño más importante del cumplimiento.

Evaluar severidad y avisar a la Agencia sin dilaciones indebidas (la ley no fija horas), y a los titulares cuando la vulneración afecta datos sensibles, de menores de 14 años o financieros (art. 14 sexies), registrando cada comunicación. Necesitas un procedimiento escrito y ensayado antes de que ocurra.

Sí, pero bajo el régimen nuevo: países con nivel adecuado, cláusulas contractuales u otras garantías. Usar SaaS extranjero sin salvaguardas documentadas pasa a ser infracción.

La ley promueve designar un encargado de prevención con autonomía y recursos. Para la mayoría de las empresas medianas, un DPO externo con tooling es más barato y más defendible que improvisar el rol internamente.

Un programa de cumplimiento formal — análogo al de la Ley 20.393 — que la ley reconoce como atenuante al graduar sanciones y que puede certificarse. Es la mejor relación costo/protección del régimen.

Sí: imágenes, biometría y registros de acceso identifican personas. Videovigilancia y control biométrico son tratamientos que deben tener base legal, información a los titulares y plazos de eliminación.

Depende del punto de partida: una pyme ordenada, 2–3 meses; una empresa mediana con varios sistemas, 4–6. Por eso el diagnóstico es urgente aunque la implementación se programe: define el tamaño real del trabajo.