Ley 21.719: cómo preparar tu operación para el nuevo régimen de protección de datos personales en Chile

Chile reformó integralmente su régimen de protección de datos personales con la Ley N° 21.719, que entra en vigencia el 1 de diciembre de 2026. Hasta entonces, sigue rigiendo la Ley 19.628; después de esa fecha, las empresas que tratan datos personales — clientes, empleados, técnicos en terreno, proveedores — deben operar bajo un estándar más exigente, alineado con la lógica que ya existe en otros países de la región y con el GDPR europeo.

Este artículo es una guía operacional pensada para gerentes de TI, compliance, operaciones y proveedores SaaS que trabajan con empresas chilenas en rubros con presencia distribuida: retail, salud, farmacias, facilities, servicios técnicos en terreno y logística. No es asesoría legal: es la lectura práctica de qué cambia y qué conviene tener resuelto antes de que la ley sea exigible.

Qué es la Ley 21.719 y qué cambia respecto a la Ley 19.628

La Ley 19.628 está vigente desde 1999 y, en términos prácticos, llegó tarde a la realidad digital. La Ley 21.719 actualiza ese marco con tres movimientos centrales:

• Reconoce explícitamente roles diferenciados en el tratamiento de datos: quien decide para qué se usan los datos (responsable) y quien los procesa por encargo de ese responsable (encargado del tratamiento). Esa distinción es lo que vuelve obligatorios los contratos tipo DPA con proveedores tecnológicos.
• Refuerza los derechos del titular sobre sus datos: acceso, rectificación, supresión, oposición, portabilidad y, en general, la posibilidad de saber qué se hace con su información y exigir cambios.
• Sube el estándar de seguridad y trazabilidad que se espera de cualquier empresa que trate datos personales: registros de actividades de tratamiento, registro de accesos, políticas de retención, medidas técnicas y organizativas demostrables.

Para las empresas operativas, la consecuencia práctica es que la protección de datos deja de ser un texto en la política de privacidad y pasa a ser una capacidad operacional: hay que poder demostrar cómo se cumple, no solo declararlo.

A quién aplica y por qué importa para operaciones de campo

La ley aplica a cualquier organización que trate datos personales de personas en Chile, sin importar su tamaño. Lo que la vuelve especialmente relevante en operaciones con equipos distribuidos es que esos equipos generan y consumen datos personales todo el día:

• Retail y cadenas de tiendas: datos de empleados de sucursal, datos de clientes en programas de fidelización, evidencia fotográfica de personas en auditorías de tienda.
• Salud y farmacias: datos de pacientes y de personal sanitario, registros de inspección con identificación de responsables, evidencia de controles de cadena de frío y stock.
• Facilities y mantenimiento: datos de técnicos asignados, datos de contacto del cliente en cada sitio, evidencia fotográfica de espacios donde aparecen personas.
• Servicios técnicos en terreno: datos del cliente final, firmas digitales de recepción, datos de pago en algunos casos.
• Logística: datos del receptor del servicio, geolocalización del personal en ruta.

Cualquier checklist con foto, cualquier orden de trabajo con firma del cliente, cualquier registro de horas del técnico es tratamiento de datos personales. La pregunta no es si la ley aplica, sino cómo se cumple sin frenar la operación.

Roles que reconoce la ley: responsable y encargado del tratamiento

Este es el cambio conceptual más importante para entender por qué tu proveedor SaaS importa.

• Responsable del tratamiento: la empresa que decide para qué se recolectan los datos. Si eres una cadena de retail que usa una plataforma para gestionar mantenimiento de tiendas, tú eres responsable de los datos de tus técnicos, de tus proveedores y de la información operativa que tu equipo registra.
• Encargado del tratamiento: el tercero que procesa esos datos por cuenta del responsable. El proveedor SaaS donde corre tu operación es, típicamente, encargado.

La ley exige que esa relación esté formalizada por escrito. El instrumento práctico para hacerlo es un DPA (Data Processing Agreement): un contrato que define qué datos se tratan, con qué finalidad, por cuánto tiempo, qué medidas de seguridad aplican, qué pasa cuando termina la relación y cómo se manejan los incidentes.

Si tu proveedor SaaS no ofrece DPA hoy, no significa necesariamente que esté incumpliendo: significa que tú, como responsable, vas a quedar sin respaldo cuando la ley sea exigible. Pedir el DPA antes de diciembre de 2026 es una conversación que conviene tener ahora, no después.

Derechos del titular que tu operación debe poder atender

La ley reconoce derechos que el titular puede ejercer en cualquier momento. Tu operación tiene que poder responderlos en un plazo razonable:

• Acceso: entregar al titular los datos personales que tienes sobre él.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: eliminar datos cuando ya no son necesarios o cuando el titular lo solicita y no hay obligación legal de conservarlos.
• Oposición: que el titular se oponga a tratamientos específicos, típicamente con fines de marketing.
• Portabilidad: entregar los datos en un formato estructurado que el titular pueda llevarse a otro proveedor.

Para una empresa operativa, esto se traduce en preguntas muy concretas: ¿puedo extraer todos los datos personales de un ex empleado en menos de quince días hábiles? ¿puedo eliminar de forma definitiva los datos de un cliente que canceló su contrato hace dos años? ¿puedo demostrar que efectivamente los eliminé y no quedaron copias dispersas en backups, exportaciones de Excel o chats de WhatsApp?

Qué debe preparar una empresa con operaciones en terreno

Hay seis bloques que conviene tener resueltos antes de la fecha de vigencia. No son opcionales: son la base operacional de cualquier régimen moderno de protección de datos.

1. Registro de actividades de tratamiento

Un inventario interno donde figura, para cada proceso que trata datos personales: qué datos se tratan, con qué finalidad, sobre qué base legal, durante cuánto tiempo, quién tiene acceso y a qué terceros se comparten. No tiene que ser un documento extenso; tiene que existir y estar actualizado.

2. DPA firmado con tus proveedores SaaS

Cualquier proveedor que tenga acceso a tus datos personales — gestión operacional, comunicaciones, contabilidad, RRHH, almacenamiento — debe tener DPA. Es la formalización del rol de encargado del tratamiento.

3. Trazabilidad y registro de accesos

Quién accedió a qué dato y cuándo. En operaciones de terreno esto incluye supervisores que consultan información de clientes, administradores que exportan reportes, técnicos que descargan información en su celular. Sin registro de accesos, no se puede investigar un incidente ni demostrar diligencia.

4. Política de retención y eliminación

Definir cuánto tiempo se conserva cada tipo de dato y qué pasa al cumplirse el plazo. Conservar todo "por si acaso" deja de ser una postura defendible: la ley exige justificar por qué un dato sigue almacenado.

5. Medidas técnicas y organizativas

Cifrado en tránsito y en reposo, control de accesos por rol, autenticación robusta, backups, planes de respuesta a incidentes, capacitación del equipo. Son medidas estándar; lo que cambia es que ahora hay que poder demostrarlas.

6. Procedimiento para solicitudes de los titulares

Un canal claro (correo, formulario) y un proceso interno que escale la solicitud a quien corresponda, la documente y la responda en plazo. Lo más importante: que exista, que esté escrito y que el equipo sepa que existe.

Casos concretos donde el cumplimiento se juega en la operación de campo

La protección de datos no se rompe en la base de datos: se rompe en el día a día de la operación. Algunos escenarios típicos:

• Un técnico toma una foto de evidencia y aparece una persona identificable en segundo plano. Conviene tener política sobre qué se hace cuando aparecen rostros de terceros y, cuando sea posible, sistemas que permitan ocultar áreas.
• Una auditoría de sucursal registra el nombre del responsable del local en el reporte. Ese reporte se comparte con tres áreas internas y un proveedor externo. Cada uno de esos accesos debe quedar registrado.
• Un checklist en farmacia registra datos del químico farmacéutico responsable de una verificación. Esos datos tienen que poder eliminarse cuando esa persona ya no trabaja en la empresa y el plazo de retención se cumple.
• Un ex empleado pide acceso a todos sus datos. Tu plataforma operacional debería poder responder en días, no en semanas, y sin reconstruir información desde planillas dispersas.
• Un cliente final pide que sus datos personales en órdenes de trabajo históricas sean suprimidos. Tienes que poder ejecutarlo de forma trazable y, si por obligación legal hay datos que deben conservarse, justificarlo.

En todos estos casos, la diferencia entre cumplir y no cumplir está en si la información está ordenada en un sistema operacional con registro de accesos, o dispersa entre planillas, WhatsApp y correos.

Cómo headQ acompaña la transición a la Ley 21.719

headQ es una plataforma chilena de gestión de operaciones de campo. Por diseño, opera con los controles que el nuevo régimen exige:

• Arquitectura multi-tenant con aislamiento lógico por organización y separación de datos a nivel de schema, con controles de acceso, auditoría y backups por tenant.
• DPA disponible para clientes Enterprise, formalizando el rol de encargado del tratamiento.
• Roles y permisos granulares por usuario y por sitio, alineados con el principio de necesidad de acceso.
• Registro de accesos y trazabilidad sobre quién hizo qué dentro del sistema.
• Política de retención y eliminación documentada en la política de privacidad: 30 días de gracia para exportación tras cancelación, eliminación posterior y backups con plazo máximo definido.
• Derechos del titular: acceso a tus datos a través de exportaciones, posibilidad de rectificación y supresión, portabilidad en formatos estándar.
• Medidas de seguridad: cifrado en tránsito (HTTPS/TLS), hash seguro de contraseñas, acceso restringido al personal autorizado, backups diarios.

El objetivo no es vender cumplimiento como una característica de marketing: es que cuando llegue diciembre de 2026, tu operación pueda demostrar que los datos personales que procesa están bajo control, en un sistema diseñado para ello.

Conclusión

La Ley 21.719 no es un tema legal: es un tema de operación. Lo que define si una empresa va a estar lista no es la política de privacidad publicada en el sitio, sino si el sistema operacional permite responder rápido a una solicitud de acceso, eliminar datos sin dejar copias residuales, demostrar quién accedió a qué información y formalizar la relación con cada proveedor que toca esos datos.

El plazo de adecuación parece largo, pero los proyectos de inventario de datos, revisión de proveedores, ajuste de políticas internas y capacitación toman meses. Empezar ahora es lo que separa a las empresas que llegarán preparadas de las que llegarán reactivas.

Si quieres conocer cómo headQ apoya este cumplimiento en operaciones de retail, salud, farmacias, facilities y servicios técnicos, agenda una conversación con nuestro equipo.

Preguntas frecuentes

¿Cuándo entra en vigencia la Ley 21.719?

El 1 de diciembre de 2026. Hasta esa fecha sigue rigiendo la Ley 19.628. Después, las obligaciones del nuevo régimen son exigibles.

¿Aplica a empresas pequeñas o solo a grandes empresas?

Aplica a cualquier organización que trate datos personales de personas en Chile. El estándar es el mismo; lo que cambia es la escala de los recursos que cada empresa puede dedicar a cumplirlo.

¿Qué es un DPA y por qué lo necesito?

Un Data Processing Agreement es el contrato que formaliza la relación entre tu empresa (responsable del tratamiento) y un proveedor que procesa datos por tu cuenta (encargado del tratamiento). La ley exige que esa relación esté por escrito y describa finalidad, medidas de seguridad, retención y manejo de incidentes.

¿Qué pasa si mi proveedor SaaS no ofrece DPA?

Tú, como responsable, quedas sin respaldo formal frente a la autoridad y frente a los titulares. La conversación con tus proveedores conviene tenerla antes de diciembre de 2026, no después.

¿headQ está preparado para la Ley 21.719?

Sí. headQ opera con arquitectura multi-tenant aislada por organización, DPA disponible, roles y permisos granulares, registro de accesos, política de retención documentada y medidas de seguridad estándar de la industria.