Ley de Protección de Datos Personales en Chile: qué derechos tienes y cómo ejercerlos

Desde el 1 de diciembre de 2026 la protección de datos personales en Chile tiene quien la haga cumplir: puedes exigir a una empresa o a un servicio público saber qué guarda de ti, corregirlo o borrarlo, y hay multas millonarias para quien no responda.

Qué cambia la nueva ley de protección de datos personales

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y reescribe la Ley 19.628, que llevaba vigente desde el 28 de agosto de 1999 sin una autoridad que la fiscalizara. Su artículo primero transitorio fijó la entrada en vigencia para el primer día del mes 24 posterior a la publicación, es decir, el 1 de diciembre de 2026. Ese mismo texto crea la Agencia de Protección de Datos Personales, con facultades para investigar, sancionar y resolver reclamos.

Hay un matiz que conviene tener claro: el 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) que busca postergar la vigencia al 1 de diciembre de 2027 y ampliar el consejo directivo de la Agencia. Mientras ese proyecto no se apruebe y se publique como ley, la fecha legal sigue siendo diciembre de 2026, tal como se explica en la nota sobre la discusión del aplazamiento.

Los seis derechos que puedes exigir

El artículo 4 reconoce seis derechos sobre los datos propios. Son personales, intransferibles e irrenunciables: ningún contrato puede obligarte a renunciar a ellos, y si la persona fallece pueden ejercerlos sus herederos, salvo prohibición expresa.

Derecho	Qué te permite pedir
Acceso	Confirmar si tratan tus datos y obtenerlos junto con su origen, la finalidad, los destinatarios y el plazo de conservación.
Rectificación	Corregir datos inexactos, desactualizados o incompletos, y que se avise a quienes ya los recibieron.
Supresión	Eliminar datos que no son necesarios, que se obtuvieron sin base legal, que están caducados o cuando revocaste el consentimiento.
Oposición	Pedir que un tratamiento específico no se realice, por ejemplo el envío de publicidad o la elaboración de perfiles.
Portabilidad	Recibir tus datos en un formato electrónico estructurado y de uso común, y transferirlos a otro responsable.
Bloqueo	Suspender temporalmente el tratamiento mientras se resuelve una rectificación, supresión u oposición.

Cómo ejercer tus derechos paso a paso

El procedimiento está en el artículo 11 y no requiere abogado ni costo alguno.

Identifica al responsable. Es la empresa, institución o servicio que decide para qué se usan tus datos, no el proveedor tecnológico que los almacena.
Presenta la solicitud por escrito al correo electrónico, formulario de contacto o medio electrónico que el responsable debe tener publicado y operativo.
Incluye los datos mínimos: tu identificación, un domicilio o correo para la respuesta y la identificación de los datos o del tratamiento. En rectificación y supresión debes señalar los cambios o la causal invocada.
Espera la respuesta: el responsable tiene 30 días corridos, prorrogables por una sola vez hasta por otros 30, y debe responder por escrito dejando respaldo del envío.
Si pediste bloqueo, la respuesta llega en dos días hábiles y mientras no se resuelva el responsable no puede tratar esos datos.

Si la solicitud se rechaza total o parcialmente, la respuesta debe estar fundada y debe informarte que tienes 30 días hábiles para reclamar ante la Agencia.

Si no te responden, la Agencia entra a la cancha

Vencido el plazo sin respuesta, o ante una negativa, el reclamo se presenta por escrito ante la Agencia de Protección de Datos Personales dentro de 30 días hábiles. La Agencia revisa los requisitos en 10 días hábiles, notifica al responsable, que tiene 30 días corridos para contestar, y puede abrir un término de prueba de 10 días hábiles. Además del reclamo administrativo existe la reclamación judicial y la acción de indemnización por daño patrimonial y extrapatrimonial, que prescribe en cinco años contados desde que la resolución o la sentencia queda firme.

Datos sensibles y menores de edad: reglas más estrictas

La ley considera sensibles los datos que revelan origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, salud, perfil biológico, datos biométricos, vida sexual, orientación sexual e identidad de género. Para tratarlos se necesita consentimiento expreso, con excepciones acotadas, como los datos que la propia persona hizo manifiestamente públicos.

En niños, niñas y adolescentes el estándar sube. Se considera niños a los menores de 14 años y adolescentes a los de 14 a 17. Los datos de los primeros requieren consentimiento de padres o representantes legales; los adolescentes se rigen como adultos, salvo sus datos sensibles, que hasta los 16 años necesitan autorización de un adulto responsable.

Qué deben cumplir las empresas y cuánto arriesgan

Tres deberes concentran las obligaciones nuevas. Primero, información y transparencia: publicar la política de tratamiento con los datos que se tratan, su finalidad, la base legal, los destinatarios, el plazo de conservación, las transferencias internacionales y si hay decisiones automatizadas. Segundo, seguridad: medidas técnicas y organizativas proporcionales al riesgo, como cifrado, seudonimización y respaldos, y la carga de probar que existían recae en la empresa. Tercero, reportar vulneraciones: toda filtración con riesgo para las personas se informa a la Agencia sin dilaciones indebidas y, si afecta datos sensibles, financieros o de menores de 14 años, también a cada titular.

Las multas se calculan en unidades tributarias mensuales. Con la UTM de octubre de 2026 en $72.151, según el Servicio de Impuestos Internos, el cuadro queda así:

Tipo de infracción	Multa máxima	Equivalente en pesos
Leve	5.000 UTM	$360.755.000
Grave	10.000 UTM	$721.510.000
Gravísima	20.000 UTM	$1.443.020.000

Si hay reincidencia, la multa puede llegar al triple del monto asignado. Y si la empresa reincide en una infracción grave o gravísima, el monto puede alcanzar el 2% o el 4% de sus ingresos anuales, respectivamente, cuando esa cifra supera la multa en UTM. La Agencia fija además medidas para subsanar el problema en 60 días; si no se cumplen, la multa sube un 50%.

Qué puedes hacer desde ahora

La ley aterriza mejor con medidas concretas. Antes de aceptar un registro, revisa si la política de privacidad indica para qué usarán tus datos y cuánto tiempo los guardarán; si no lo dice, ese es el primer incumplimiento que puedes reclamar. Evita los consentimientos en bloque: la ley exige una manifestación libre, específica, inequívoca e informada, así que aceptar todo junto no sirve como autorización para cualquier uso.

Haz una solicitud de acceso al menos una vez al año en los servicios donde tienes cuenta: es gratis y te muestra qué información manejan y a quién se la han entregado. Guarda copia de cada solicitud y de la respuesta con su fecha, porque ese respaldo es lo que te permite reclamar. Si el problema son claves y accesos, conviene repasar las recomendaciones de esta guía de ciberseguridad y, si se trata de datos financieros, los plazos de la banca digital en Chile, que corren por un carril distinto al de la ley de datos.

Preguntas frecuentes

¿Desde cuándo rige la Ley 21.719?

El 1 de diciembre de 2026, salvo que se apruebe y publique el proyecto que la posterga al 1 de diciembre de 2027. Hasta que eso ocurra, la fecha vigente es la que fijó el artículo primero transitorio de la propia ley, consultable en LeyChile.

¿Cuánto tarda una empresa en responder?

Treinta días corridos desde que ingresa la solicitud, con una prórroga única de otros treinta. Las solicitudes de bloqueo temporal se responden en dos días hábiles.

¿Puedo pedir que borren todos mis datos?

Solo por las causales del artículo 7: datos innecesarios, consentimiento revocado sin otra base legal, obtención ilícita, datos caducados, orden judicial o de la Agencia, u oposición exitosa. La supresión no procede cuando el tratamiento es necesario para cumplir una obligación legal, ejecutar un contrato, cumplir una función pública o ejercer el derecho a informar.

¿Qué pasa si filtran mis datos?

La empresa debe reportar la vulneración a la Agencia y, en casos de datos sensibles, financieros o de menores de 14 años, avisarte a ti con un lenguaje claro sobre qué datos se vieron afectados, las consecuencias posibles y las medidas adoptadas.

¿La ley se aplica a los organismos públicos?

Sí. El artículo 1 obliga a toda persona natural o jurídica, incluidos los órganos públicos, y la ley contempla reglas específicas para el Congreso, el Poder Judicial, la Contraloría, el Ministerio Público, el Banco Central y el Servicio Electoral.

El texto completo, con sus 55 artículos y disposiciones transitorias, está disponible en LeyChile (Ley 21.719); el proyecto de postergación puede seguirse en la tramitación del boletín 18.623-07. La norma anterior, la Ley 19.628, seguirá aplicándose hasta la entrada en vigencia de la nueva.

Redacción Liven