Durante años, respaldar y proteger la información fue una decisión de gestión de riesgo: lo hacías porque perder datos duele. Con la Ley 21.719, esa lógica cambia. La información que tu empresa maneja —clientes, trabajadores, proveedores— queda amparada por un estándar legal exigible, con una autoridad que fiscaliza y sanciona.
Qué es y desde cuándo rige
La Ley 21.719 se publicó en diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Moderniza el marco chileno de protección de datos (que llevaba décadas sin actualizarse) y lo acerca al estándar europeo (GDPR). Su pieza central: crea la Agencia de Protección de Datos Personales, un organismo con facultades para fiscalizar el cumplimiento y aplicar sanciones. Se contempla una ventana de gradualidad para las empresas más pequeñas, pero la obligación llega para todos.
Tu "información crítica" está llena de datos personales
Piensa en dónde vive la información que hace funcionar tu empresa: la base de clientes en el CRM, los registros del ERP —incluido SAP Business One—, los correos, las planillas de remuneraciones, los documentos de RRHH, y los respaldos de todo eso. Casi toda esa información contiene datos personales, y por lo tanto queda bajo el alcance de la ley.
La consecuencia es directa: perder esa información, que se filtre en un ataque, o no poder recuperarla a tiempo, ya no es solo un problema operativo. Es un incumplimiento con consecuencias legales y económicas.
Qué exige en la práctica
Sin entrar en tecnicismos legales, estos son los deberes que impactan directamente a la operación de TI:
- Medidas de seguridad adecuadas al riesgo: control de accesos, cifrado y capacidad real de recuperación. En la práctica, esto significa respaldos probados y documentados, no solo "tener backups" que nadie ha verificado.
- Notificación de brechas: ante un incidente de seguridad, informar a la Agencia y a las personas afectadas sin dilaciones indebidas (el estándar internacional de referencia son ~72 horas).
- Derechos de las personas: acceso, rectificación, cancelación, oposición y portabilidad de sus datos.
- Contratos de encargo (DPA): acuerdos formales con los proveedores que tratan datos por ti.
- Evidencia, no intención: la fiscalización mira registros, logs e inventarios con fecha, no solo políticas escritas en un documento.
Cuánto cuesta no cumplir
Las sanciones se estructuran por gravedad de la infracción:
Además, en casos graves o gravísimos con reincidencia, la multa puede escalar hasta el 2% o 4% de los ingresos anuales por ventas y servicios en Chile. (Los montos en pesos son referenciales: el valor de la UTM se ajusta mes a mes.)
Cómo prepararte
Una hoja de ruta razonable para el área de TI incluye:
- Inventariar dónde están los datos personales y quién accede a ellos.
- Reforzar control de accesos y cifrado.
- Asegurar respaldos automáticos, cifrados, probados y con recuperación verificada —y con evidencia documentada de cada uno.
- Tener un plan claro ante ransomware e incidentes, con capacidad de recuperación rápida.
- Formalizar los contratos con proveedores que tratan datos.
¿Tu información crítica está lista para diciembre de 2026?
Solicita una evaluación gratuita y revisemos juntos qué deberías respaldar y cómo.
Solicitar evaluación gratuita →