La Ley 21.719 se aplica a tratamientos de datos personales. Para saber si alcanza a una organización, hay que identificar qué operaciones realiza con información de personas naturales y cuál es el vínculo de esos tratamientos con Chile. La norma comenzará a regir el 1 de diciembre de 2026.
Ese análisis debe hacerse tratamiento por tratamiento. Una misma empresa puede quedar dentro del ámbito de la ley en algunos procesos y ocupar roles distintos en otros.
El punto de partida son los datos personales
La ley regula el tratamiento de información vinculada o referida a una persona natural identificada o identificable.
En una empresa, los datos personales pueden incluir nombres, correos electrónicos, teléfonos, RUT, antecedentes laborales, registros de acceso y cuentas de usuario. También pueden incluir información de facturación, tickets de soporte o registros de uso cuando esos datos puedan vincularse con una persona natural identificada o identificable.
La definición legal de tratamiento es amplia. Comprende cualquier operación sobre datos personales, automatizada o no, como recolectarlos, almacenarlos, organizarlos, consultarlos, comunicarlos, transferirlos o eliminarlos.
¿Qué vínculo con Chile hace aplicable la Ley 21.719?
El artículo 1 bis establece el ámbito de aplicación territorial y contempla cuatro situaciones que conviene revisar.
| Situación de la empresa | Qué conviene evaluar |
| Responsable o mandatario establecido o constituido en Chile | Los tratamientos de datos personales que realiza bajo ese vínculo territorial |
| Mandatario que procesa datos por cuenta de un responsable establecido en Chile | Su rol como encargado y las operaciones que realiza siguiendo las instrucciones del responsable |
| Responsable o mandatario extranjero que ofrece bienes o servicios a titulares en Chile o monitorea su comportamiento | Los tratamientos asociados a esos servicios, incluso cuando no existe cobro, y las actividades de análisis, rastreo, perfilamiento o predicción |
| Responsable extranjero sujeto a la legislación chilena por contrato o derecho internacional | El tratamiento alcanzado por ese contrato o por la regla de derecho internacional aplicable |
La tabla resume los supuestos legales. La infografía muestra los escenarios más frecuentes en la operación empresarial.
Empresas extranjeras que operan con personas en Chile
La Ley 21.719 también contempla ciertos tratamientos realizados por organizaciones establecidas fuera del país.
Esto incluye operaciones destinadas a ofrecer bienes o servicios a titulares que se encuentran en Chile, incluso cuando no se les cobra, y actividades destinadas a monitorear su comportamiento mediante análisis, rastreo, perfilamiento o predicción.
La ley también se aplica al tratamiento realizado por un responsable extranjero cuando la legislación chilena resulte aplicable por contrato o por derecho internacional.
Para una empresa SaaS, una aplicación, un marketplace o una plataforma digital, el análisis debe mirar a quién se dirige el servicio y qué tratamiento de datos acompaña esa relación.
¿Qué ocurre con los proveedores que procesan datos?
Gran parte del tratamiento de datos dentro de una empresa ocurre con apoyo de terceros.
Servicios cloud, CRM, plataformas de nómina, software de soporte, herramientas de marketing, aplicaciones de recursos humanos y soluciones de inteligencia artificial pueden procesar información por cuenta de una organización.
Responsable y mandatario o encargado
La distinción es central porque ayuda a determinar qué obligaciones corresponden a cada parte. El responsable es la persona natural o jurídica que decide los fines y medios del tratamiento. El mandatario o encargado trata datos personales por cuenta del responsable y siguiendo sus instrucciones.
Una misma empresa puede ocupar ambos roles en procesos distintos. Una plataforma SaaS puede ser responsable respecto de los datos de sus trabajadores y candidatos y, al mismo tiempo, actuar como encargada cuando procesa datos de usuarios por cuenta de un cliente.
Cuatro cosas que no te dejan fuera de la Ley 21.719
Para una empresa establecida o constituida en Chile, ser B2B, startup o pyme, el tamaño puede influir en determinados estándares de información y seguridad, según la actividad, el volumen, la naturaleza y las finalidades del tratamiento.
Vender exclusivamente a empresas: El contrato puede ser B2B, pero el login sigue teniendo nombre y apellido, una compañía B2B puede tratar datos de representantes legales, usuarios de la plataforma de sus clientes, contactos comerciales, prospectos, trabajadores, candidatos y profesionales independientes.
Tener pocos trabajadores: Una startup o una pyme también puede realizar tratamientos relevantes de datos personales. El número de trabajadores ayuda a dimensionar ciertas medidas, pero la evaluación comienza por los datos tratados, sus finalidades y los riesgos asociados.
Tratar principalmente datos laborales: Contratación, remuneraciones, beneficios, vacaciones, asistencia, desempeño, accesos y selección de personal implican tratamiento cuando la información puede vincularse con una persona natural identificada o identificable. Algunos procesos también pueden incluir datos de salud o biométricos.
Muchas empresas chilenas utilizan infraestructura internacional. La ubicación de los servidores es relevante para revisar proveedores y transferencias internacionales, mientras que la aplicabilidad se determina a partir del tratamiento y de su vínculo con Chile.
¿Qué tratamientos están excluidos?
El artículo 1 contempla dos exclusiones: La primera corresponde a tratamientos realizados por personas naturales en relación con sus actividades personales y la segunda comprende tratamientos vinculados al ejercicio de las libertades de emitir opinión e informar, bajo las condiciones establecidas por la ley.
En el caso de los medios de comunicación social, la exclusión se vincula a los tratamientos realizados con la finalidad de opinar e informar.
Cómo hacer una primera evaluación dentro de la empresa
Una primera revisión puede comenzar identificando dónde aparecen personas naturales dentro de la operación.
Por ejemplo, trabajadores y candidatos en recursos humanos, prospectos en el CRM, usuarios en el producto, contactos en marketing, representantes de proveedores en compras y personas que escriben al equipo de soporte.
Después conviene identificar qué información se utiliza en cada caso y para qué.
También hay que entender dónde vive esa información. Puede estar en una plataforma propia, una herramienta SaaS, una hoja de cálculo, un sistema heredado o un proveedor externo.
Finalmente, hay que identificar quién decide sobre ese tratamiento y qué terceros participan.
Con esas cuatro preguntas ya es posible construir una primera imagen:
- ¿De qué personas tenemos información?
- ¿Qué datos utilizamos?
- ¿Para qué los utilizamos?
- ¿En qué sistemas y proveedores se encuentran?
Ese ejercicio permite pasar rápidamente de una conversación jurídica abstracta a una revisión concreta de la operación.
De la aplicabilidad al plan de adecuación
Determinar que un tratamiento queda dentro del ámbito de la Ley 21.719 es el punto de partida.
Después, la organización puede revisar bases de licitud, información a los titulares, derechos, proveedores, seguridad, transferencias internacionales y tratamientos de mayor riesgo.
El objetivo es llegar al 1 de diciembre de 2026 con un mapa claro de datos, sistemas, responsables y evidencia de las decisiones tomadas. Hackmetrix OS puede ayudar a organizar este proceso, centralizar información y mantener evidencia de las acciones de cumplimiento a medida que la organización avanza en su adecuación.
Fuentes primarias y trazabilidad