LEY 21.719 / PREPARACIÓN TÉCNICA
01 DIC 2026Cumplir la Ley 21.719 antes del 1 de diciembre.
Si guardas datos de clientes, pacientes o trabajadores, te van a pedir evidencia operativa: registros con fecha, inventarios y bitácoras.
LA PRIMERA REVISIÓN OCURRE SOBRE TUS SISTEMAS REALES.
PUNTO CIEGO A REVISARPREPARACIÓN TÉCNICA
01 DIC 2026
Saber qué datos existen es el primer control.
- 01Datos personales
- 02Dónde viven
- 03Quién accede
- 04Qué ocurre si hay un incidente
Auditoría técnica de sistemas · alcance fijo.
02 / INVENTARIO OPERATIVOMAPA DE DEPENDENCIA
El inventario que falta.
La auditoría parte por hacer visible el proceso crítico: qué datos toca, dónde viven, quién puede verlos y qué evidencia existe hoy.
Proceso crítico
Para qué los tratas
INVENTARIO DE SISTEMASDónde viven y con quién se comparten
ACCESOS Y PERMISOSQuién puede verlos o modificarlos
RIESGOS Y HUECOS03 / BANCO DE VERIFICACIÓNCONTROLES OPERATIVOS
No basta con una política guardada.
La evidencia tiene que existir en la operación: permisos revisados, respaldos probados, registros que alguien pueda leer y una respuesta definida cuando algo ocurre.
- 01
Acceso por rol y necesidad de conocer
Revisión de cuentas, permisos heredados y acceso que ya no corresponde.
- 02
Cifrado en tránsito y en reposo
Dónde se protege la información mientras circula y mientras queda almacenada.
- 03
Secretos fuera del código
Credenciales y llaves manejadas fuera de los repositorios y de los despliegues.
- 04
Respaldos y prueba de restauración
Un respaldo que nunca se restauró no es un respaldo.
- 05
Registro de auditoría
Quién hizo qué, cuándo y sobre qué dato o proceso.
- 06
Respuesta a incidentes
Un recorrido escrito para detectar, contener, documentar y avisar.
EL CONTROL TIENE QUE EXISTIR EN LA OPERACIÓN, NO SOLO EN UN DOCUMENTO
04 / SOBRE DE ENTREGADOCUMENTOS QUE QUEDAN
Lo que queda contigo.
El resultado no es una recomendación genérica. Es un inventario, una lectura de brechas y protocolos aplicados sobre el proceso que revisamos.
ENTREGA TÉCNICAANEXO / SISTEMAS
La operación escrita.
- Registro de tratamientos
- Proceso crítico levantado
- Protocolos escritos y aplicados
- Informe técnico
ENTREGA EJECUTIVARESUMEN / DECISIÓN
La decisión ordenada.
- Brechas priorizadas
- Plan de acción
- Prioridades para gerencia o directorio
05 / FRONTERA DEL ENCARGOTÉCNICO ≠ JURÍDICO
Alcance técnico, decisión legal.
Esta auditoría revisa
- Sistemas reales de la operación
- Procesos críticos y recorrido de los datos
- Accesos, respaldos, registros y respuesta operativa
- Evidencia y controles a implementar
Esta auditoría no promete
- Certificar cumplimiento legal por sí sola
- Sustituir las definiciones legales que correspondan a la empresa
- Eliminar toda posibilidad de fiscalización o incidente
La diferencia es que revisamos lo que ocurre en tus sistemas, no solo lo que dice una política.
06 / ACTA DE AUDITORÍACÓMO SE HACE
Cómo se hace.
Sesión con quien opera
Entendemos tus sistemas y procesos con la gente que los vive, no con la teoría.
Auditoría y levantamiento
Revisamos los sistemas reales y levantamos el proceso crítico con ejemplos concretos, accesos y evidencia.
Informe y plan
Cerramos en una reunión: brechas priorizadas, plan de acción, y el documento queda contigo.
07 / PREGUNTAS FRECUENTESLO QUE YA PREGUNTAN
Lo que todos preguntan de la Ley 21.719
¿Cuándo empieza a regir la Ley 21.719?
El 1 de diciembre de 2026. Se publicó el 13 de diciembre de 2024 con dos años de plazo para que las empresas se adecuaran; ese plazo se acaba.
¿A qué empresas se les aplica?
A cualquiera que trate datos personales de personas en Chile, sin importar su tamaño ni su rubro. Si tienes una base de clientes, una ficha de pacientes, un sistema de remuneraciones o un formulario de contacto, estás tratando datos personales.
¿Cuáles son las multas?
Hasta 5.000 UTM las infracciones leves, 10.000 UTM las graves y 20.000 UTM las gravísimas. En caso de reincidencia en infracciones graves o gravísimas la sanción puede llegar a entre 2% y 4% de los ingresos anuales de la empresa en Chile.
¿Qué es el registro de actividades de tratamiento?
Es el inventario de qué datos personales tratas, para qué, con qué fundamento legal, con quién los compartes y cuánto tiempo los guardas. Es el documento base: sin él no se puede demostrar nada de lo demás, y es lo primero que se pide en una fiscalización.
¿Necesito un delegado de protección de datos?
La ley exige designar un responsable formal del cumplimiento. En una empresa mediana no significa contratar a alguien nuevo: significa que una persona concreta tiene el rol asignado por escrito y las atribuciones para ejercerlo.
¿En qué cambia respecto de la Ley 19.628?
La 19.628 de 1999 declaraba principios pero casi no se fiscalizaba. La 21.719 crea una agencia con facultades sancionatorias, incorpora obligaciones concretas y documentadas —registro, evaluación de impacto, notificación de brechas— y sube las multas a un rango que un directorio sí mira.
¿Esto lo resuelve un abogado o un equipo técnico?
Los dos, y ahí está el problema habitual: un informe legal te dice qué exige la ley, pero no toca tus sistemas. Lo que se fiscaliza es la operación —quién tiene acceso a qué, si los respaldos se restauran, si queda registro de quién miró un dato. Por eso esta auditoría se hace sobre los sistemas y no sobre el papel.
02 / REVISIÓN
Conversemos tus datos
Cuéntanos qué datos personales o procesos te preocupa revisar.
SOLICITUD / RESPUESTA EN 48 HORAS HÁBILES