Ley 21.719: qué debe cambiar en tu oficina antes de diciembre de 2026

El 1 de diciembre de 2026 entra en plena vigencia la Ley N° 21.719, la nueva ley chilena de protección de datos personales. Reemplaza a la Ley 19.628 de 1999 y, por primera vez, crea un organismo con dientes: la Agencia de Protección de Datos Personales (APDP), con facultades para fiscalizar y sancionar.

La mayoría de las empresas está leyendo esto como un problema del área de TI: sistemas, respaldos, ciberseguridad. Es una lectura incompleta. La ley no obliga al servidor: obliga a la organización. Y una parte del cumplimiento se juega en un lugar mucho menos glamoroso que un data center — el mueble donde tu equipo guarda contratos, fichas de personal y copias de cédulas.

Qué cambia con la Ley 21.719

La norma se publicó en el Diario Oficial en diciembre de 2024 y otorgó un plazo de dos años para que las organizaciones se adapten. Ese plazo se acaba. Los cambios de fondo son cuatro:

• Una autoridad que fiscaliza. La APDP puede iniciar procedimientos, requerir antecedentes y aplicar multas.
• Sanciones reales. La escala llega hasta 5.000 UTM en infracciones leves, 10.000 UTM en graves y 20.000 UTM en gravísimas. Para empresas grandes y reincidentes, la multa puede calcularse sobre un porcentaje de los ingresos anuales.
• Derechos exigibles. Cualquier persona puede pedirte acceso, rectificación, cancelación, oposición y portabilidad de sus datos, con plazos de respuesta.
• Deber de seguridad y de aviso. Debes proteger los datos con medidas proporcionales al riesgo y avisar de las brechas sin dilaciones indebidas.

El cambio cultural es más importante que cualquiera de esos puntos: se pasa de declarar que cuidas los datos a demostrarlo. Un párrafo de política de privacidad en el sitio web ya no es evidencia de nada.

Las tres siglas que conviene entender

RAT — Registro de Actividades de Tratamiento. Es el inventario de tus datos: qué información de personas manejas, de quiénes, para qué, dónde vive, quién accede, cuánto tiempo la guardas y con quién la compartes. Es el documento que una fiscalización pide primero, porque sin él no puedes demostrar nada más.

MPI — Modelo de Prevención de Infracciones. Es el sistema interno —responsable designado, procedimientos, controles, capacitación— que acredita que la empresa actuó con diligencia. Tenerlo, y poder mostrar que funciona, es lo que puede separar una sanción gravísima de una considerablemente menor.

DPO — Delegado de Protección de Datos. Es obligatorio para organismos públicos y para quienes tratan datos a gran escala o datos sensibles (salud, biometría, situación socioeconómica). Para el resto es recomendable, y en la práctica alguien tiene que ser el dueño del tema.

El punto ciego: los datos que viven en papel

Aquí está el error más común. La Ley 21.719 no distingue entre soporte digital y soporte físico: lo que regula es el tratamiento de datos personales, cualquiera sea la forma en que se almacenen. Una carpeta con contratos de trabajo es una base de datos personales. Un archivador con licencias médicas contiene datos sensibles. Una copia de cédula sobre un escritorio también.

Y la definición de brecha de seguridad es igual de amplia: cualquier suceso que provoque destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales bajo tu custodia. Nada en esa frase exige que haya un hacker de por medio.

Situaciones perfectamente cotidianas que califican:

• El kárdex de Recursos Humanos que quedó abierto durante la reunión con un proveedor externo.
• La cajonera sin llave donde se guardan las fichas de postulantes, en un piso con oficinas compartidas.
• Las carpetas de finanzas apiladas sobre un mueble abierto, a la vista del personal de aseo nocturno.
• El notebook corporativo que pasa la noche sobre el escritorio en una oficina con acceso rotativo.

Ninguna de esas cosas se resuelve con un firewall. Se resuelven con control de acceso físico: mobiliario que cierra, se asigna a un responsable y deja registro de quién tiene la llave.

Cómo se ve una oficina que puede demostrar cumplimiento

La pregunta que ordena todo es la del webinar que anda circulando: si la Agencia llega el lunes, ¿qué carpeta abres? Traducida al espacio físico, se convierte en cinco preguntas concretas:

1. ¿Dónde vive cada tipo de documento? Contratos, fichas médicas, antecedentes de postulantes y respaldos contables no deberían compartir mueble ni nivel de acceso.
2. ¿Ese mueble cierra? Y si cierra, ¿la llave está en la cerradura?
3. ¿Quién tiene la llave? Debe existir un responsable nombrado por mueble, no una llave que circula.
4. ¿Qué pasa fuera del horario? Una política de escritorio limpio exige que cada persona tenga dónde guardar bajo llave lo que estaba usando.
5. ¿Cómo se destruye lo que ya no debe guardarse? La ley también limita cuánto tiempo puedes conservar los datos.

Nada de esto es caro comparado con la escala de multas. Es, sobre todo, un problema de diseño del puesto de trabajo: si el equipo no tiene dónde guardar bajo llave, va a dejar los papeles afuera. No por descuido, sino por falta de mueble.

Mobiliario que ayuda a cerrar esa brecha

Tres formatos cubren la mayoría de los casos en una oficina chilena promedio:

• Kárdex o archivador vertical metálico, para el archivo de carpetas colgantes de RR.HH. y contabilidad. Busca cierre central: una sola vuelta de llave bloquea todos los cajones a la vez.
• Cajonera con chapa, junto a cada puesto, para la documentación en uso. Es la que hace viable la política de escritorio limpio.
• Locker metálico, para efectos personales y equipos portátiles, especialmente en oficinas con puestos compartidos o turnos.

En los tres casos, revisa dos detalles antes de comprar: que el producto incluya llaves (idealmente dos por mueble) y que la estructura sea de acero, no de aglomerado con una chapa decorativa.

Qué hacer en las próximas semanas

Un plan mínimo y realista, en orden:

1. Levanta el RAT, incluyendo explícitamente el archivo en papel. Recorre la oficina, no solo los sistemas.
2. Clasifica qué de eso son datos sensibles, que exigen el estándar más alto.
3. Nombra un responsable del tema, sea DPO formal o no.
4. Cierra las brechas físicas evidentes: mobiliario con llave, control de llaves y política de escritorio limpio.
5. Escribe el procedimiento de brechas antes de necesitarlo: quién detecta, quién decide, quién notifica.
6. Capacita al equipo y deja registro de esa capacitación. El registro es parte de la evidencia.

Este artículo es una guía práctica de mobiliario y organización del espacio de trabajo, no asesoría legal. Para el diseño del RAT, el MPI y los contratos con encargados de tratamiento, conviene trabajar con abogados especialistas en protección de datos. Puedes revisar el texto oficial de la Ley 21.719 en la Biblioteca del Congreso Nacional.

Preguntas frecuentes