# Régimen y puntos clave Este mapa permite seleccionar artículos y controles. No reemplaza la lectura de la versión oficial aplicable ni de normas sectoriales. ## Regla temporal - La Ley N.º 21.719 fue publicada el 13 de diciembre de 2024. - Su artículo primero transitorio fijó la entrada de sus modificaciones el primer día del vigésimo cuarto mes posterior a la publicación: **1 de diciembre de 2026**. - El Boletín N.º 18.623-07, ingresado en septiembre de 2026, propone cambiarla al **1 de diciembre de 2027**, además de ajustes institucionales y transitorios. - Estado verificado al **16 de septiembre de 2026**: primer trámite constitucional en el Senado, con suma urgencia. La fecha jurídica publicada sigue siendo el **1 de diciembre de 2026**. - La Ley N.º 21.719 ya recibió modificaciones posteriores, entre ellas reglas transitorias. Usa su texto consolidado, no sólo el PDF original. - El Decreto N.º 662, reglamento del modelo de prevención de infracciones, fue publicado el 9 de septiembre de 2026. No confundas su publicación con la entrada en vigencia anticipada de todas las obligaciones reformadas. Presenta el calendario así: | Categoría | Fecha | Tratamiento | | --- | --- | --- | | Fecha legal publicada al 16-09-2026 | 1 de diciembre de 2026 | Se aplica salvo publicación posterior que la cambie. | | Fecha propuesta | 1 de diciembre de 2027 | No es vigente mientras el proyecto no se apruebe y publique. | Para hechos previos a la entrada finalmente aplicable, usa la versión anterior de la Ley N.º 19.628. Para preparación de producto, puedes diseñar hacia la reforma, pero etiqueta esos controles como futuros confirmados. Si el análisis mezcla períodos, entrega dos columnas o secciones. ## Clasificación inicial de datos ### Régimen anterior El artículo 2 define dato personal como información concerniente a personas naturales identificadas o identificables, y dato sensible como información sobre características físicas o morales o vida privada/intimidad, con ejemplos legales. ### Régimen reformado El artículo 2 define dato personal como información vinculada o referida a una persona natural identificada o identificable, considerando medios y factores objetivos razonablemente utilizables. Distingue: - **dato sensible:** incluye, conforme al texto, información que revele origen étnico o racial, afiliaciones, situación socioeconómica, convicciones, salud, perfil biológico, biometría, vida sexual, orientación e identidad de género; - **categorías con reglas especiales:** menores, investigación, geolocalización, obligaciones económicas e infracciones; - **dato anonimizado:** perdió irreversiblemente el nexo y deja de ser personal; - **dato seudonimizado:** sigue siendo dato personal porque existe información adicional que permite atribuirlo. Un RUT asociado a una persona natural es normalmente dato personal e identificador, no automáticamente sensible. Una IP, cookie o identificador técnico puede ser personal si permite vincular razonablemente información con una persona; la ley no enumera toda IP como sensible. ## Ley N.º 19.628 antes de la reforma Revisa al menos: | Artículo | Materia | Control práctico | | --- | --- | --- | | 1 | Tratamiento en registros o bancos y respeto de derechos. | Delimitar banco, operación, finalidad y titular. | | 2 | Definiciones. | Clasificar dato, sensibilidad, titular, responsable y tratamiento. | | 3 | Encuestas/estudios y oposición a publicidad. | Informar obligatoriedad/finalidad y gestionar oposición. | | 4 | Autorización legal o consentimiento, información y excepciones. | Registrar fuente de licitud y texto informado. | | 5 | Transmisión automatizada. | Registrar requirente, motivo, propósito y datos; limitar uso del receptor. | | 6 | Eliminación, modificación y bloqueo. | Trabajos de calidad, caducidad y supresión. | | 7 | Secreto. | Acceso mínimo, confidencialidad y controles sobre personal. | | 8 | Tratamiento por mandato. | Mandato escrito y límites de uso. | | 9 | Finalidad y exactitud. | Evitar reutilización incompatible y mantener calidad. | | 10 | Datos sensibles. | Prohibición general y excepciones aplicables. | | 11 | Debida diligencia y daños. | Seguridad proporcional y evidencia de cuidado. | | 12 a 15 | Derechos y excepciones. | Acceso, modificación, eliminación, bloqueo y propagación. | | 16 | Tutela judicial y plazos del régimen anterior. | Canal, respuesta y evidencia. | | 17 a 19 | Obligaciones económicas. | Comunicación, exclusiones, caducidad y actualización. | | 20 a 22 | Organismos públicos. | Competencia, reserva y registros aplicables. | | 23 | Daño por tratamiento indebido. | Gestión de riesgo e indemnización patrimonial y moral. | Puntos importantes: - el artículo 11 exige al responsable cuidar con debida diligencia los datos almacenados y lo hace responsable de daños; - el artículo 23 contempla indemnización por daño patrimonial y moral causado por tratamiento indebido; - la ley anterior no contiene el deber general de reporte de brechas del futuro artículo 14 sexies, la Agencia reformada ni el régimen general de multas administrativas futuras; - pueden coexistir reglas sectoriales, contractuales o de otras leyes. No atribuyas retroactivamente a este régimen derechos, bases, multas, autoridad o plazos creados por la reforma. ## Ley N.º 19.628 modificada por la Ley N.º 21.719 ### 1. Objeto, territorio y definiciones - Artículo 1: objeto, alcance material y exclusiones. - Artículo 1 bis: responsables o encargados en Chile, encargados de responsables chilenos, oferta de bienes o servicios a titulares en Chile, monitoreo y otros vínculos jurídicos. - Artículo 2: dato personal, sensible, anonimización, seudonimización, responsable, encargado, cesión, perfil y tratamiento. El artículo 1 bis es una base central para activar la skill al diseñar un producto extranjero dirigido al mercado chileno. ### 2. Principios Artículo 3: - licitud y lealtad; - finalidad; - proporcionalidad; - calidad; - responsabilidad; - seguridad; - transparencia e información; - confidencialidad. La proporcionalidad exige limitar datos a los necesarios, adecuados y pertinentes, y conservarlos sólo mientras sean necesarios, salvo fundamento adicional. El responsable debe poder acreditar licitud y cumplimiento. ### 3. Derechos y procedimiento Artículos 4 a 11: - acceso; - rectificación; - supresión; - oposición; - decisiones automatizadas y perfiles; - bloqueo temporal; - portabilidad; - forma, gratuidad, excepciones y procedimiento. El artículo 11 establece como regla que el responsable acuse recibo y responda dentro de treinta días corridos, prorrogables una sola vez por hasta treinta días. La solicitud fundada de bloqueo temporal tiene un plazo especial de dos días hábiles. Revisa requisitos, excepciones y vigencia antes de parametrizar el sistema. Para decisiones automatizadas con efectos jurídicos o afectación significativa, revisa el artículo 8 bis, incluido el derecho a información, explicación, intervención humana, expresión del punto de vista y revisión, conforme a sus supuestos y excepciones. ### 4. Licitud - Artículo 12: consentimiento libre, informado, específico, previo e inequívoco; medios de revocación equivalentes, expeditos y gratuitos; carga de acreditación. - Artículo 13: otras fuentes, incluidas obligaciones económicas bajo el Título III, obligación legal, contrato o medidas precontractuales, interés legítimo sujeto a límites y defensa de derechos. Asigna una fuente por finalidad. El interés legítimo requiere análisis y evidencia; el contrato cubre sólo lo necesario para celebrarlo o ejecutarlo. El consentimiento no subsana una finalidad prohibida ni una recolección desproporcionada. ### 5. Obligaciones del responsable Artículos 14 a 14 septies: - acreditar licitud, finalidad, calidad y demás deberes; - secreto o confidencialidad; - información y transparencia; - protección desde el diseño y por defecto; - seguridad apropiada al riesgo; - reporte y registro de vulneraciones cuando corresponda; - estándares diferenciados de cumplimiento. El artículo 14 quáter obliga a aplicar medidas técnicas y organizativas antes y durante el tratamiento y a limitar por defecto cantidad, extensión, conservación y accesibilidad. El artículo 14 quinquies exige confidencialidad, integridad, disponibilidad y resiliencia, evitar alteración, destrucción, pérdida y acceso o tratamiento no autorizado, restaurar disponibilidad y evaluar regularmente la eficacia. Seudonimización y cifrado aparecen como posibles medidas según el riesgo. En controversia por un incidente, corresponde al responsable acreditar existencia y funcionamiento de las medidas. El artículo 14 sexies regula reportes de brechas. Consulta `incidentes-y-sanciones.md`; no inventes un plazo de 72 horas. ### 6. Cesión, encargados y evaluación de impacto - Artículo 15: cesión, finalidades, fundamentos, contrato y efectos. - Artículo 15 bis: tratamiento por encargado conforme a instrucciones; contrato; subencargo autorizado por escrito; confidencialidad, seguridad, incidentes y devolución o supresión. - Artículo 15 ter: evaluación previa cuando sea probable un alto riesgo y en los supuestos enumerados por la ley. La etiqueta contractual no define el rol si el proveedor decide fines o usa los datos por cuenta propia. Inspecciona configuración y práctica. La evaluación de impacto se exige siempre, según el artículo 15 ter, para: - evaluación sistemática y exhaustiva basada en tratamiento o decisiones automatizadas, incluidos perfiles, con efectos jurídicos significativos; - tratamiento masivo o a gran escala; - observación o monitoreo sistemático de zona de acceso público; - tratamiento de sensibles y especialmente protegidos bajo excepciones al consentimiento. Verifica las listas y orientaciones que emita la Agencia. ### 7. Datos sensibles y categorías especiales Artículos 16 a 16 sexies: - artículo 16: regla general y excepciones para sensibles; - artículo 16 bis: salud y perfil biológico; - artículo 16 ter: biometría e información específica; - artículo 16 quáter: niños, niñas y adolescentes; - artículo 16 quinquies: fines históricos, estadísticos, científicos e investigación de interés público; - artículo 16 sexies: geolocalización e información específica. Para menores, distingue niños o niñas menores de 14 años, adolescentes de 14 a menos de 18 y datos sensibles de adolescentes menores de 16. Aplica interés superior y autonomía progresiva, además de cualquier norma sectorial. ### 8. Datos económicos, sector público e infracciones - Artículos 17 a 19: obligaciones económicas, financieras, bancarias o comerciales. - Artículos 20 a 26: órganos públicos y datos relativos a infracciones, competencia, derechos, comunicaciones y reserva. - Artículo 26: reglamento para comunicaciones o cesiones que involucran organismos públicos y procedimientos de anonimización; verifica si está dictado y vigente. No uses una base pública como autorización ilimitada para copiar, perfilar, revender o publicar. ### 9. Transferencias internacionales Artículos 27 a 29: - país u organización con nivel adecuado determinado por la autoridad; - cláusulas, normas corporativas u otros instrumentos con garantías adecuadas; - modelo de cumplimiento o certificación con garantías; - excepciones para transferencias específicas y no habituales; - control de la Agencia. Registra ubicación de datos, soporte, subencargados, respaldos y acceso remoto. No afirmes que un país es adecuado ni que una cláusula está aprobada sin decisión vigente de la autoridad competente. ### 10. Agencia, infracciones, sanciones y responsabilidad - Artículos 30 y siguientes: Agencia, atribuciones y fiscalización. - Artículos 33 a 47: responsabilidad, infracciones, sanciones, procedimientos y responsabilidad civil. - Artículos 48 a 53: prevención, modelo voluntario, delegado y certificación. Consulta `incidentes-y-sanciones.md` para el catálogo de los artículos 34 bis, 34 ter y 34 quáter. Mantén separadas: - prioridad técnica; - posible clasificación de infracción; - sanción máxima legal; - multa probable, que no debe estimarse sin hechos y criterios suficientes; - responsabilidad civil o penal concurrente. El artículo 48 obliga a todos los responsables a adoptar acciones de prevención. El programa certificable de los artículos 49 a 53 es voluntario; dentro de ese modelo, la designación del delegado es obligatoria. El Decreto N.º 662 desarrolla sus requisitos. ### 11. Regímenes especiales El Título VIII contempla Congreso Nacional, Poder Judicial y organismos con autonomía constitucional. Además, salud, finanzas, trabajo, educación, telecomunicaciones, consumo y entidades esenciales pueden tener reglas adicionales. Delimita autoridad y norma aplicable; no asumas que la Ley N.º 19.628 agota el análisis. ## Matriz jurídica mínima del sistema | Campo | Contenido esperado | | --- | --- | | Tratamiento | Actividad concreta y sistemas participantes. | | Titulares/datos | Grupos, categorías, edad, origen e inferencias. | | Finalidad | Específica, explícita y separada por actividad. | | Necesidad | Dato mínimo y alternativa menos invasiva. | | Fuente de licitud | Artículo, requisitos y evidencia. | | Roles | Responsable, encargado, cesionario y subencargado reales. | | Transparencia | Aviso, momento, versión y canal. | | Conservación | Plazo/criterio, ejecución, respaldos y excepciones. | | Derechos | Canal, autenticación, plazo, ejecución y registro. | | Seguridad | Riesgo, controles y evidencia de funcionamiento. | | Destinatarios/países | Comunicación, cesión, acceso remoto y transferencia. | | Incidentes | Detección, escalamiento, registro y comunicaciones. | | Impacto | Disparadores, evaluación y riesgo residual. | | Infracción potencial | Tipo, elementos acreditados y faltantes. | Cada fila debe indicar si corresponde al régimen vigente, futuro confirmado, proyecto o buena práctica.