Cómo se calcula la multa de la Ley 21.719: los ocho criterios del artículo 37

La cifra que circula en casi todo el contenido disponible es la misma: hasta 20.000 UTM. Es correcta, pero es solo el techo. La pregunta que realmente se hace un directorio o una gerencia de finanzas es otra: de qué depende terminar cerca de ese máximo o en una fracción de él, y qué parte de esa diferencia está en manos de la empresa. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La Ley 21.719 responde esa pregunta en un artículo específico, el 37, que enumera ocho criterios de determinación del monto y ordena a la Agencia de Protección de Datos Personales aplicarlos prudencialmente. A eso se suman las atenuantes y agravantes del artículo 36, las reglas de concurso cuando hay varias infracciones y un recargo que depende exclusivamente de cómo reacciona la empresa después.

Este artículo desarrolla los ocho criterios uno por uno, distingue los que quedan fijados por los hechos de los que dependen de la reacción posterior, y precisa dos puntos donde el contenido disponible suele equivocarse: cuándo se llega al 2% o 4% de los ingresos y qué es exactamente la reincidencia.

¿Cómo se calcula la multa de la Ley 21.719 y por qué el tope no es el monto?

La multa de la Ley 21.719 se calcula en dos movimientos. Primero, la Agencia de Protección de Datos Personales califica la infracción según su gravedad, y con eso queda fijado un techo. Segundo, dentro de ese margen determina el monto concreto aplicando los ocho criterios del artículo 37. El techo no es el precio: es el límite superior de un rango cuyo mínimo la ley no predetermina.

La palabra que ordena todo el régimen chileno es "hasta". El artículo 35 de la Ley 21.719 no dice que una infracción gravísima se sanciona con 20.000 UTM; dice que se sanciona con multa de hasta 20.000 UTM. Esa distinción es la que separa una lectura alarmista de una evaluación de riesgo utilizable en un comité de directorio. Dos empresas sancionadas por la misma conducta pueden terminar con montos distintos, y la diferencia debe quedar fundada en la resolución.

La calificación de gravedad tampoco es libre. El artículo 34 de la Ley 21.719 clasifica las infracciones en leves, graves y gravísimas, y los artículos 34 bis, 34 ter y 34 quater contienen los catálogos de conductas de cada categoría. Tratar datos personales sin consentimiento del titular o sin un antecedente o fundamento legal que otorgue licitud al tratamiento es grave; vulnerar el deber de secreto o confidencialidad sobre datos personales sensibles es gravísima; omitir la respuesta, responder de forma incompleta o fuera de plazo una solicitud del titular es leve. Conviene notar dos matices: el catálogo de infracciones leves cierra con una cláusula residual —cualquier otra infracción a los derechos y obligaciones de la ley que no sea calificada como grave o gravísima— y la respuesta tardía o denegada sin causa justificada frente a solicitudes fundadas de bloqueo temporal está calificada como grave. La conducta define el tramo, y el tramo define el techo.

• Infracción leve (artículo 34 bis): amonestación escrita o multa de hasta 5.000 UTM.
• Infracción grave (artículo 34 ter): multa de hasta 10.000 UTM.
• Infracción gravísima (artículo 34 quater): multa de hasta 20.000 UTM.

¿Cuáles son los ocho criterios del artículo 37 y en cuáles puede influir tu empresa?

El artículo 37 de la Ley 21.719 exige que la Agencia aplique prudencialmente ocho criterios para determinar el monto: la gravedad de la conducta; si la conducta fue realizada con falta de diligencia o cuidado, en los casos en que no se consideren estos elementos en la configuración de la infracción; el perjuicio producido —especialmente el número de titulares afectados—; el beneficio económico obtenido, en caso de que lo hubiese; si el tratamiento incluye datos personales sensibles o datos de niños, niñas y adolescentes; la capacidad económica del infractor; las sanciones aplicadas con anterioridad por la Agencia en las mismas circunstancias; y las circunstancias atenuantes y agravantes que concurran.

La palabra "prudencialmente" no es decorativa. Significa que la Agencia pondera los ocho criterios en conjunto y funda su decisión, no que los suma con pesos predefinidos. La ley no contiene una fórmula aritmética, una tabla de puntajes ni un valor por titular afectado: cualquier estimación que se presente como cifra exacta está sobreinterpretando el texto. Lo que sí puedes anticipar es en qué dirección empuja cada criterio y cuáles de ellos siguen abiertos después de un incidente.

Ese es el corte útil para una gerencia. Cuatro criterios quedan fotografiados por los hechos: el número de titulares afectados, el beneficio económico obtenido, la naturaleza de los datos involucrados y tu capacidad económica. Ninguno se puede negociar el día después. Los otros cuatro —la diligencia previa, las atenuantes que puedas activar, el historial de sanciones y, en parte, la calificación de gravedad de la conducta— dependen de decisiones que tu empresa toma antes y después del incidente.

La lectura práctica es que el trabajo de mitigación ocurre en dos ventanas distintas y no intercambiables. La ventana anterior al incidente se cierra sola: gobierno de datos, inventario de tratamientos, minimización, control de accesos y, sobre todo, un modelo de prevención certificado. La ventana posterior se abre con el incidente y se cierra rápido: autodenuncia, medidas de cese y mitigación, reparación a los titulares y colaboración con la investigación administrativa.

¿Qué atenuantes y agravantes del artículo 36 mueven realmente la aguja?

El artículo 36 de la Ley 21.719 reconoce cinco atenuantes: las acciones unilaterales de reparación y los acuerdos reparatorios con los titulares afectados; la colaboración que el infractor preste en la investigación administrativa de la Agencia; la ausencia de sanciones previas; la autodenuncia ante la Agencia, comunicando junto con ella las medidas de cese o mitigación adoptadas; y haber cumplido diligentemente los deberes de dirección y supervisión.

La quinta atenuante es la más relevante desde el punto de vista de gobierno corporativo y la menos comentada. El artículo 36 precisa que el cumplimiento diligente de los deberes de dirección y supervisión se verifica con el certificado expedido conforme al artículo 51, es decir, con un modelo de prevención de infracciones certificado y vigente. Es la única atenuante que no se puede improvisar: exige una decisión tomada con anticipación y sostenida en el tiempo.

Las otras cuatro atenuantes se activan en la ventana posterior. La ley no fija un plazo para la autodenuncia, pero por definición supone comunicar la infracción por iniciativa propia y, además, informar junto con ella las medidas de cese o mitigación adoptadas. La reparación pesa en la medida en que sea real y verificable frente a los titulares afectados. La colaboración no está graduada en el texto legal, de modo que lo razonable es documentarla: qué información se entregó, cuándo y con qué utilidad para la investigación.

Del lado agravante, el artículo 36 define la reincidencia como la situación del responsable que ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley. Conviene precisar un punto donde el contenido disponible suele confundirse: reincidir en infracciones graves no transforma la conducta en gravísima. El catálogo del artículo 34 quater no contempla la reincidencia. La conducta sigue calificada como grave, con su tope de 10.000 UTM, y la reincidencia opera sobre esa base habilitando los multiplicadores del artículo 35, no reclasificando la infracción.

• Atenuantes construibles antes del incidente: modelo de prevención certificado conforme al artículo 51 y ausencia de sanciones previas.
• Atenuantes construibles después del incidente: autodenuncia con las medidas de cese o mitigación adoptadas, reparación a los titulares y colaboración en la investigación administrativa.
• Agravante principal: la reincidencia, entendida como haber sido sancionado en dos o más ocasiones en los últimos treinta meses.

¿Qué pasa si una misma conducta origina varias infracciones?

Se impone una sola multa. El artículo 37 de la Ley 21.719 establece dos reglas de concurso: si una conducta da origen a dos o más infracciones, o si una infracción es medio para cometer otra, se aplica una única multa considerando la sanción de la infracción más grave. Solo cuando se verifican dos o más conductas infraccionales independientes entre sí se acumulan las sanciones de cada una.

La diferencia entre ambos escenarios es económicamente relevante y suele pasarse por alto en los ejercicios de dimensionamiento. Un tratamiento sin fundamento de licitud que además deriva en una comunicación indebida y en una respuesta tardía al titular no equivale a tres multas apiladas si todo proviene de la misma conducta o si unas infracciones fueron medio para otra: la ley manda considerar la sanción de la más grave y aplicar una sola multa.

La consecuencia práctica para el análisis de exposición es que el ejercicio correcto no consiste en contar cuántos incumplimientos formales tiene tu empresa y multiplicarlos por el tope. Consiste en identificar cuántas conductas infraccionales genuinamente independientes existen en tu operación: tratamientos distintos, con finalidades distintas, en momentos distintos. Ese número, y no el inventario de hallazgos de una auditoría, es el que determina si hay acumulación.

Dicho eso, la independencia de las conductas se evalúa caso a caso en el procedimiento administrativo, y no existe todavía práctica de la Agencia que permita anticipar cómo se trazará esa línea. Una compañía con líneas de negocio separadas que replica el mismo defecto de consentimiento en cada una queda más expuesta a la acumulación que otra donde el defecto proviene de una única decisión central mal tomada. Documentar la trazabilidad de las decisiones de tratamiento ayuda a sostener la tesis de conducta única cuando corresponde.

¿Cuándo la multa se triplica o alcanza el 2% o 4% de los ingresos?

Solo por reincidencia, y el porcentaje sobre ingresos exige además una segunda condición. El artículo 35 de la Ley 21.719 permite a la Agencia aplicar una multa de hasta tres veces el monto cuando concurre la reincidencia de la letra a) del artículo 36. Y si el infractor no es una empresa de menor tamaño de la ley N° 20.416 y además reincide en infracción grave o gravísima, la multa podrá alcanzar la cifra más gravosa entre el triple o el 2% de los ingresos anuales por ventas y servicios del último año calendario tratándose de infracciones graves, y el 4% tratándose de gravísimas.

Este es el punto donde conviene ser preciso, porque circula la idea de que cualquier infracción gravísima expone a la empresa al 4% de sus ingresos. No es así en Chile. Las dos condiciones del artículo 35 son copulativas: hace falta no ser empresa de menor tamaño y, adicionalmente, reincidir en infracción grave o gravísima. Una primera sanción, por gravísima que sea, se mueve dentro del tope de 20.000 UTM, sin perjuicio del recargo que el propio artículo 35 contempla si no se adoptan las medidas para subsanar.

Ese recargo no depende de la infracción original sino de lo que ocurre después. Junto con la sanción, la Agencia señala las medidas que el infractor debe adoptar para subsanar la infracción, en un plazo no mayor a 60 días; si no las adopta, el artículo 35 contempla un recargo de 50% sobre la multa. Es la porción del monto más fácil de evitar y la que más dice del compromiso real de la organización.

Para empresas de menor tamaño hay una regla transitoria acotada. El artículo sexto transitorio de la Ley 21.719 dispone que, durante los primeros doce meses desde la entrada en vigencia, cuando proceda una sanción para empresas de menor tamaño de la ley N° 20.416, la Agencia podrá aplicar una amonestación por escrito. Es una facultad de la Agencia, no una inmunidad automática ni un régimen permanente, y la amonestación igualmente se anota en el Registro del artículo 39.

• Multiplicador por reincidencia: hasta tres veces el monto de la multa (artículo 35).
• Porcentaje sobre ingresos: 2% (graves) o 4% (gravísimas), solo si no eres empresa de menor tamaño de la ley N° 20.416 y además reincides en infracción grave o gravísima.
• Recargo de 50%: si no adoptas, en el plazo no mayor a 60 días, las medidas para subsanar que señale la Agencia.
• Régimen transitorio PyME: amonestación por escrito posible durante los primeros doce meses de vigencia, como facultad de la Agencia.

¿Cuándo se paga la multa y qué otras consecuencias trae la sanción?

Las multas de la Ley 21.719 se pagan en la Tesorería General de la República dentro del plazo de diez días hábiles contado desde que la resolución de la Agencia se encuentre firme, según el artículo 37. Después, el comprobante de pago se presenta a la Agencia dentro de diez días hábiles desde efectuado el pago. Que la resolución esté firme supone haber agotado o no ejercido las vías de impugnación, entre ellas la reclamación judicial ante la Corte de Apelaciones que regula el artículo 43.

La multa no siempre es la única consecuencia. El artículo 38 de la Ley 21.719 permite a la Agencia disponer la suspensión de las operaciones y actividades de tratamiento de datos que realiza el responsable, hasta por treinta días, cuando se imponen multas por infracciones gravísimas reiteradas en un período de veinticuatro meses. La suspensión puede ser parcial o total, no afecta el almacenamiento de los datos, no puede decretarse cuando con ello se afecten los derechos de los titulares y, si el responsable no cumple lo ordenado, puede prorrogarse por períodos sucesivos de máximo treinta días. Cuando la suspensión afecta a una entidad sujeta a la supervisión de un organismo público fiscalizador, la Agencia debe poner previamente los antecedentes en conocimiento de esa autoridad. Vale la pena precisar que el artículo 38 contempla únicamente la suspensión como sanción accesoria: no establece prohibiciones de tratamiento por un período determinado ni la publicación de la resolución sancionatoria como sanciones adicionales.

La visibilidad pública llega por otra vía. El artículo 39 de la Ley 21.719 crea el Registro Nacional de Sanciones y Cumplimiento, público, gratuito y electrónico, administrado por la Agencia, que consigna a los responsables sancionados distinguiendo la gravedad de la infracción, la conducta infraccionada, las atenuantes y agravantes y la sanción impuesta. Las anotaciones son de acceso público por cinco años contados desde la fecha en que se practicó la anotación. El mismo registro consigna a quienes adopten modelos certificados de prevención vigentes, de modo que el certificado del artículo 51 tiene efecto reputacional además de atenuante.

Por último, la sanción administrativa no cierra la exposición. El artículo 47 de la Ley 21.719 obliga al responsable a indemnizar el daño patrimonial y extrapatrimonial; la acción se interpone una vez ejecutoriada la resolución favorable de la Agencia o firme la sentencia, y se tramita conforme al procedimiento sumario de los artículos 680 y siguientes del Código de Procedimiento Civil. En materia de plazos, el artículo 40 fija en cuatro años la prescripción de las acciones para perseguir la responsabilidad infraccional —contados desde la ocurrencia del hecho, o desde que la infracción haya cesado si es continuada, e interrumpiéndose con la notificación del inicio del procedimiento administrativo— y en tres años la prescripción de las sanciones impuestas. Las acciones civiles del artículo 47, en cambio, prescriben en cinco años contados desde que queda ejecutoriada la resolución o sentencia que impone la multa.

Preguntas frecuentes

¿Cuál es el monto máximo de una multa de la Ley 21.719 en Chile?

El artículo 35 de la Ley 21.719 fija topes por gravedad: las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con multa de hasta 10.000 UTM y las gravísimas con multa de hasta 20.000 UTM. Son máximos, no montos automáticos.

¿La Agencia aplica una fórmula matemática para calcular la multa?

No. El artículo 37 de la Ley 21.719 ordena a la Agencia aplicar prudencialmente ocho criterios, lo que significa ponderarlos en conjunto y fundamentar el resultado. La ley no contiene una tabla de puntajes ni un valor predefinido por titular afectado en el régimen chileno de protección de datos.

¿Qué criterios del artículo 37 ya no puedo cambiar cuando ocurre el incidente?

El perjuicio producido y el número de titulares afectados, el beneficio económico obtenido, la presencia de datos sensibles o de niños, niñas y adolescentes, y tu capacidad económica quedan fijados por los hechos. La Ley 21.719 los evalúa tal como se presentan al momento de la infracción.

¿Tener un modelo de prevención certificado reduce la multa?

Es una atenuante. El artículo 36 de la Ley 21.719 reconoce como circunstancia atenuante haber cumplido diligentemente los deberes de dirección y supervisión, lo que se verifica con el certificado expedido conforme al artículo 51. Es la única atenuante que puedes construir antes de que ocurra cualquier incidente en Chile.

¿Cuándo la multa puede llegar al 2% o al 4% de los ingresos?

Solo si concurren dos condiciones a la vez: que el infractor no sea empresa de menor tamaño de la ley N° 20.416 y que además reincida en infracción grave o gravísima. Ahí la Ley 21.719 permite aplicar la cifra más gravosa entre el triple o el 2% (graves) y el 4% (gravísimas) de los ingresos anuales por ventas y servicios del último año calendario.

¿Qué pasa si una misma conducta genera varias infracciones?

El artículo 37 de la Ley 21.719 dispone que si una conducta da origen a dos o más infracciones, o si una infracción es medio para cometer otra, se impone una sola multa considerando la sanción de la infracción más grave. Solo las conductas infraccionales independientes entre sí acumulan sanciones.

¿Qué es el recargo de 50% del artículo 35?

Junto con la sanción, la Agencia señala las medidas para subsanar la infracción, que deben adoptarse en un plazo no mayor a 60 días. Si el infractor no las adopta, la Ley 21.719 contempla un recargo de 50% sobre la multa. Es la parte del monto que depende íntegramente de tu conducta posterior.

¿Cuándo y dónde se paga la multa de la Ley 21.719?

Las multas se pagan en la Tesorería General de la República dentro del plazo de diez días hábiles contado desde que la resolución de la Agencia se encuentre firme. Luego, el comprobante de pago se presenta a la Agencia dentro de diez días hábiles desde efectuado el pago.

¿Reincidir en infracciones graves convierte la conducta en gravísima?

No. El catálogo de infracciones gravísimas del artículo 34 quater de la Ley 21.719 no incluye la reincidencia. Esta es una circunstancia agravante del artículo 36, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley, y habilita los multiplicadores del artículo 35.

¿Las empresas de menor tamaño quedan exentas de multa?

No quedan exentas. El artículo sexto transitorio de la Ley 21.719 permite que, durante los primeros doce meses desde la entrada en vigencia, la Agencia pueda aplicar una amonestación por escrito cuando proceda una sanción para empresas de menor tamaño de la ley N° 20.416. Es una facultad, y la amonestación igualmente se registra conforme al artículo 39.

Fuentes oficiales

• Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.