Estándares de cumplimiento de la Ley 21.719 y tamaño de empresa: ¿la ley exige lo mismo a una pyme que a una gran empresa?

Es probablemente la pregunta más repetida en las reuniones de directorio y en los comités de cumplimiento chilenos desde que se publicó la Ley 21.719: si una empresa de doce personas tendrá que montar la misma estructura de protección de datos que un banco o una isapre. La respuesta corta es que no en todo, pero la respuesta útil exige abrir el articulado, porque la ley sí diferencia, aunque diferencia menos de lo que muchos suponen y en un lugar muy específico del texto. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Ese lugar es el artículo 14 septies. Es una norma breve, técnica y casi invisible en la conversación pública, y es la que establece expresamente que los estándares o condiciones mínimas de dos deberes se determinarán considerando el tamaño de la entidad, entre otros factores. También contiene un dato que conviene decir sin adornos: el detalle de esos estándares quedó entregado a una instrucción general de la Agencia que, a la fecha de este artículo, aún no se ha dictado.

En este artículo revisamos qué gradúa realmente el artículo 14 septies, cuáles son sus cinco factores, qué obligaciones no se mueven ni un milímetro según el tamaño, por qué se confunde tanto con el régimen del artículo sexto transitorio para empresas de menor tamaño, y cómo tomar decisiones defendibles hoy sin esperar un documento que todavía no está publicado.

¿La Ley 21.719 exige lo mismo a una empresa grande y a una pequeña?

No en todo, y la diferencia está en un artículo poco citado. La Ley 21.719 de Chile se aplicará íntegramente tanto a la empresa grande como a la pequeña, pero su artículo 14 septies dispone que los estándares o condiciones mínimas que se impongan al responsable para cumplir dos deberes —el de información y transparencia y el de seguridad— serán determinados considerando, entre otros factores, el tamaño de la entidad. La obligación de cumplir no se gradúa; el nivel de exigencia con que se cumplen esos dos deberes, sí. Dicho de otro modo: la diferenciación no vuelve opcional ninguna obligación de la ley.

En la práctica circulan dos lecturas equivocadas y opuestas. La primera dice que la ley es idéntica para todos y que una pyme deberá replicar la arquitectura de cumplimiento de una gran corporación, lo que produce parálisis y presupuestos irreales. La segunda dice que la Ley 21.719 en realidad no es para pymes y que basta esperar, lo que produce una exposición innecesaria justo cuando la ley entrará en vigencia el 1 de diciembre de 2026 conforme a su artículo primero transitorio.

Ambas lecturas fallan por la misma razón: confunden el estándar con el deber. La Ley 21.719 no crea un catálogo de obligaciones para empresas grandes y otro para pequeñas. Crea un conjunto único de deberes y admite que el estándar de dos de ellos se determine con criterios proporcionales a la realidad del responsable. Distinguir esto es el primer paso para dimensionar bien un proyecto de cumplimiento en Chile.

• Lo que se gradúa: los estándares o condiciones mínimas con que se cumplen el deber de información y transparencia (art. 14 ter) y el deber de adoptar medidas de seguridad (art. 14 quinquies).
• Lo que el artículo 14 septies no alcanza: los principios del artículo 3, los derechos y plazos de los artículos 10 y 11, el deber de secreto del artículo 14 bis, la protección desde el diseño y por defecto del artículo 14 quater, el reporte de brechas del artículo 14 sexies y las reglas de cesión del artículo 15. Ello es sin perjuicio de que el principio de proporcionalidad del artículo 3 informe todo tratamiento.
• Lo que todavía no está escrito: el detalle de cada estándar, porque el propio artículo 14 septies dispone que esos estándares y las medidas diferenciadas serán determinados por la Agencia mediante instrucción general.

¿Qué factores usa el artículo 14 septies para definir el estándar que te aplica?

Cinco, y están enumerados en el propio texto. El artículo 14 septies de la Ley 21.719 manda considerar el tipo de dato de que se trata; si el responsable es persona natural o jurídica; el tamaño de la entidad o empresa de acuerdo a las categorías del artículo segundo de la Ley 20.416; la actividad que desarrolla; y el volumen, naturaleza y finalidades de los datos personales que trata.

Aquí está la parte que casi nadie subraya: el tamaño es uno de cinco factores, no el criterio dominante. Una empresa pequeña que trata datos de salud, datos biométricos o datos de niños, niñas y adolescentes concentra un riesgo alto pese a su tamaño, y los factores de tipo de dato, actividad y finalidades empujan su estándar hacia arriba. A la inversa, una empresa mediana cuyo tratamiento se limita a una nómina interna y a un registro acotado de clientes corporativos tendrá un perfil bastante más simple.

Por eso la pregunta operativa no es solo cuántos trabajadores tienes o cuánto facturas, sino qué datos tratas, de cuántas personas, para qué, y cuán central es el dato en tu modelo de negocio. Los cinco factores funcionan combinados: leerlos por separado lleva a conclusiones erradas en los dos sentidos. Conviene recordar, además, que la ponderación final de estos factores quedará precisada en la instrucción general que dicte la Agencia.

¿Por qué el estándar concreto todavía no existe?

Porque la propia ley lo dejó entregado a la autoridad. El artículo 14 septies de la Ley 21.719 dispone que estos estándares o condiciones mínimas y las medidas diferenciadas serán determinados por la Agencia mediante instrucción general. A la fecha de este artículo esa instrucción general no se ha dictado, lo que es coherente con el calendario: la Agencia de Protección de Datos Personales es creada por esta misma ley, que solo entrará en vigencia el 1 de diciembre de 2026 según su artículo primero transitorio.

Conviene decirlo con claridad porque el mercado está lleno de afirmaciones categóricas sobre un supuesto estándar oficial para pymes. Hoy no existe tal documento. Cualquier tabla que prometa el listado exacto de medidas de seguridad exigibles a una microempresa chilena está anticipándose a una decisión administrativa que aún no se ha tomado. Eso no invalida el trabajo preparatorio, pero sí obliga a distinguir entre lo que la ley ya dice y lo que un consultor supone.

Lo que sí puedes dar por firme es el marco: los deberes serán exigibles desde la entrada en vigencia, los factores de graduación están fijados en el texto legal, y la Agencia tendrá competencia para precisarlos. La ausencia de la instrucción general no suspende ni relativiza los deberes; solo deja al responsable con la carga de justificar su propio criterio mientras tanto.

• Estará vigente desde el 1 de diciembre de 2026: el deber de información y transparencia del artículo 14 ter y el deber de adoptar medidas de seguridad del artículo 14 quinquies, exigibles a todo responsable.
• Ya está en el texto legal: los cinco factores del artículo 14 septies, que puedes aplicar como metodología propia de priorización.
• Todavía no existe: la instrucción general de la Agencia con el detalle de los estándares o condiciones mínimas y de las medidas diferenciadas.

¿Qué obligaciones de la Ley 21.719 no cambian según el tamaño de la empresa?

Casi todas las demás. La diferenciación del artículo 14 septies de la Ley 21.719 se refiere a los estándares de dos deberes; fuera de ese perímetro, el texto no establece un régimen distinto según el tamaño de empresa. Ni los principios, ni los derechos de los titulares, ni los plazos, ni las reglas de cesión tienen una versión reducida para pymes en Chile.

El caso más relevante en el día a día son los derechos. El artículo 11 obliga al responsable a acusar recibo y pronunciarse a más tardar dentro de 30 días corridos desde el ingreso de la solicitud, prorrogable por una sola vez hasta por 30 días corridos más. Son días corridos, no hábiles, y ese plazo es idéntico para una microempresa y para un holding. Si la solicitud es de bloqueo temporal, la respuesta va en 2 días hábiles y, mientras no se resuelva, no se pueden tratar esos datos. Y si el responsable deniega, debe fundar la negativa e informar al titular que dispone de 30 días hábiles para reclamar ante la Agencia.

Lo mismo ocurre aguas abajo. Conforme al artículo 41, cuando el responsable haya denegado la solicitud o no haya respondido dentro del plazo legal, el titular puede reclamar ante la Agencia por escrito dentro de treinta días hábiles contados desde que recibe la respuesta negativa o desde que venció el plazo del responsable. La Agencia debe resolver dentro de los diez días hábiles siguientes si acoge el reclamo a tramitación —y se entiende acogido si no se pronuncia en ese término—; una vez acogido, el responsable dispone de treinta días corridos, prorrogables hasta por el mismo plazo, para responder. Ese procedimiento no contempla una vía abreviada por tamaño de empresa: la carga administrativa de responder bien es la misma para todos.

• Principios del artículo 3: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad.
• Derechos y plazos de los artículos 10 y 11: acceso, rectificación, supresión, oposición y portabilidad, más el bloqueo, con 30 días corridos prorrogables por una sola vez hasta por 30 días corridos más.
• Deber de secreto o confidencialidad del artículo 14 bis y deber de protección desde el diseño y por defecto del artículo 14 quater.
• Brechas del artículo 14 sexies: reportar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de los titulares, registrar las vulneraciones, y comunicarlas a los titulares cuando se refieran a datos sensibles, a datos de niños y niñas menores de catorce años o a datos de obligaciones económicas, financieras, bancarias o comerciales.
• Cesión del artículo 15: debe constar por escrito o a través de cualquier medio electrónico idóneo, individualizando a las partes, los datos cedidos y las finalidades previstas; el cesionario adquiere la condición de responsable y el cedente la mantiene respecto de las operaciones que continúe realizando.
• Encargo a un tercero mandatario o encargado del artículo 15 bis y evaluación de impacto del artículo 15 ter, según corresponda al tratamiento.
• Reglas especiales de datos sensibles del artículo 16 y siguientes. Y una restricción que conviene revisar con asesoría cuando existan prácticas de filtro de antecedentes: el artículo 25 establece que los datos relativos a infracciones penales, civiles, administrativas y disciplinarias solo pueden ser tratados por los organismos públicos para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias y en los casos expresamente previstos en la ley.
• Responsabilidad civil del artículo 47: el responsable deberá indemnizar el daño patrimonial y extrapatrimonial que cause a los titulares cuando, en sus operaciones de tratamiento, infrinja los principios del artículo 3 o los derechos y obligaciones de la ley y les cause perjuicio. Las acciones civiles derivadas de una infracción prescribirán en cinco años contados desde que quede ejecutoriada la resolución administrativa o la sentencia que imponga la multa respectiva.

¿El artículo sexto transitorio significa que las pymes quedan sin sanción el primer año?

No, y esta es la confusión más frecuente del mercado chileno. El artículo sexto transitorio de la Ley 21.719 establece que, durante los primeros doce meses desde la entrada en vigencia, cuando proceda una sanción respecto de empresas de menor tamaño de la Ley 20.416, la Agencia podrá aplicar una amonestación por escrito. Es una facultad de la autoridad, no una inmunidad ni una suspensión de las obligaciones.

La distinción es limpia: el artículo 14 septies regula el estándar de cumplimiento, es decir, con qué exigencia se cumplen dos deberes. El artículo sexto transitorio regula la sanción aplicable, es decir, qué puede hacer la Agencia si no cumples. Son dos planos distintos, y confundirlos lleva a decisiones malas, porque una empresa puede quedar dentro de ese régimen transitorio de sanción y, aun así, estar incumpliendo deberes que generan reclamos de titulares y eventual responsabilidad civil.

Hay además un detalle que suele pasarse por alto: la amonestación escrita igualmente se registra. El artículo 39 crea el Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia, público, electrónico y de acceso gratuito, con anotaciones que permanecen públicas por cinco años. Para una empresa que participa en licitaciones o vende a clientes corporativos, esa visibilidad puede pesar más que el monto de una multa.

El tamaño reaparece en un tercer lugar, en el régimen sancionatorio del artículo 35. Los topes generales —amonestación escrita o multa de hasta 5.000 UTM en infracciones leves, hasta 10.000 UTM en las graves y hasta 20.000 UTM en las gravísimas— aplican a todos. Lo que no aplica a todos es la sanción calculada sobre los ingresos anuales: el 2% en infracciones graves y el 4% en gravísimas procede solo si el infractor no es una empresa de menor tamaño de la Ley 20.416 y, además, reincide en una infracción grave o gravísima. El mismo artículo permite ordenar medidas para subsanar en un plazo no mayor a 60 días, con un recargo de 50% si no se cumplen, y en caso de reincidencia la multa puede llegar hasta tres veces el monto.

• Estándar de cumplimiento (art. 14 septies): define con qué exigencia se cumplen los deberes de información y de seguridad, y se gradúa por cinco factores que la Agencia precisará por instrucción general.
• Sanción aplicable (art. 35 y artículo sexto transitorio): define qué ocurre si incumples, y considera el tamaño en dos puntos concretos.
• Publicidad de la sanción (art. 39): no se gradúa por tamaño; incluso la amonestación escrita queda anotada y las anotaciones permanecen públicas por cinco años.

¿Cómo avanzar hoy sin esperar la instrucción general de la Agencia?

Aplicando proporcionalidad al riesgo y dejando el criterio documentado. Si el artículo 14 septies de la Ley 21.719 vincula la graduación a los cinco factores que ya conoces, puedes usar esos mismos factores como metodología propia: clasificar tus tratamientos, priorizar los de mayor riesgo y registrar por qué decidiste lo que decidiste. Eso es coherente con el principio de responsabilidad del artículo 3, que exige poder acreditar el cumplimiento y no solo afirmarlo.

El orden de trabajo que recomendamos a empresas medianas y pymes en Chile es deliberadamente aburrido, porque funciona: primero saber qué datos tienes, después decidir dónde poner el esfuerzo, y solo al final comprar herramientas. La mayoría de los proyectos que fracasan empiezan por la herramienta y nunca llegan al inventario. Y una advertencia útil: ninguna certificación técnica de mercado es obligatoria por esta ley; puede ayudar como referencia de buenas prácticas, pero no reemplaza el análisis de los deberes legales.

Si tu organización quiere ir un paso más allá, la ley ofrece una vía voluntaria. El artículo 48 obliga a adoptar acciones preventivas y el artículo 49 permite adoptar voluntariamente un programa de cumplimiento con siete elementos mínimos, que la Agencia certifica y supervisa conforme al artículo 51, con un reglamento aprobado por el Decreto Supremo N° 662 de 2025 del Ministerio de Hacienda y certificación vigente por tres años. El artículo 39 también consigna en el registro público a quienes tengan modelos certificados de prevención vigentes, de modo que el cumplimiento puede volverse un activo comercial y no solo un costo.

Cuando la instrucción general se publique, lo razonable será revisar el estándar adoptado y ajustarlo. Pero una empresa que llegue a diciembre de 2026 con un inventario ordenado, información al titular real y específica, contratos de encargo firmados, un procedimiento de respuesta a solicitudes con el plazo del artículo 11 controlado y un criterio de riesgo escrito, estará en una posición sólida para acreditar cumplimiento frente al estándar que la Agencia defina. Este artículo es informativo y no constituye asesoría legal para un caso concreto: cada tratamiento debe evaluarse con apoyo profesional.

• Inventaria tus tratamientos: qué datos, de cuántos titulares, con qué finalidad, dónde están alojados y quién accede.
• Marca las bases de alto riesgo aplicando el factor tipo de dato: primero los datos sensibles del artículo 16 y siguientes.
• Clasifica formalmente tu empresa según el artículo segundo de la Ley 20.416 y guarda ese respaldo por escrito.
• Cierra lo que no se gradúa por tamaño: procedimiento de respuesta a solicitudes con el plazo de 30 días corridos del artículo 11 (y 2 días hábiles para el bloqueo), protocolo de brechas del artículo 14 sexies y contratos de encargo del artículo 15 bis.
• Ajusta la información del artículo 14 ter a tus finalidades reales, no a una plantilla genérica.
• Escribe un memorándum interno de criterio: qué medidas adoptaste, por qué son proporcionales al riesgo y qué queda sujeto a revisión cuando la Agencia dicte la instrucción general.

Preguntas frecuentes

¿La Ley 21.719 exige lo mismo a una pyme que a una gran empresa?

No en todo. La Ley 21.719 de Chile se aplicará íntegramente a ambas, pero su artículo 14 septies permite graduar los estándares o condiciones mínimas de los deberes de información y de seguridad según cinco factores, entre ellos el tamaño de la entidad conforme a la Ley 20.416. Las demás obligaciones no tienen un régimen distinto por tamaño.

¿Qué deberes se pueden graduar según el artículo 14 septies?

Solo dos. El artículo 14 septies de la Ley 21.719 se refiere a los deberes de información (artículo 14 ter) y de seguridad (artículo 14 quinquies). No autoriza a rebajar el deber de secreto del artículo 14 bis, la protección desde el diseño y por defecto del artículo 14 quater ni el reporte de brechas del artículo 14 sexies.

¿Dónde se define el tamaño de empresa para efectos de la Ley 21.719?

En el artículo segundo de la Ley 20.416, que fija normas especiales para las empresas de menor tamaño en Chile. El artículo 14 septies de la Ley 21.719 remite expresamente a esas categorías, de modo que la clasificación no depende de la percepción interna del negocio sino de un criterio legal ya existente.

¿Ya existen los estándares diferenciados por tamaño de empresa?

No. El artículo 14 septies establece que estos estándares o condiciones mínimas y las medidas diferenciadas serán determinados por la Agencia mediante instrucción general. A la fecha de este artículo esa instrucción no se ha dictado, por lo que el detalle concreto todavía no existe y conviene avanzar con criterios propios de proporcionalidad al riesgo.

¿Puede una pyme esperar a que se dicte la instrucción general?

No conviene. La Ley 21.719 entrará en vigencia el 1 de diciembre de 2026 según su artículo primero transitorio, y los deberes de información y de seguridad serán exigibles desde esa fecha, con instrucción general o sin ella. Lo razonable es implementar medidas proporcionales al riesgo y documentar por escrito el criterio usado para definirlas.

¿Qué dice el artículo sexto transitorio sobre las empresas de menor tamaño?

Que durante los primeros doce meses desde la entrada en vigencia de la Ley 21.719, cuando proceda una sanción respecto de empresas de menor tamaño de la Ley 20.416, la Agencia podrá aplicar una amonestación por escrito. Es una facultad de la autoridad, no una inmunidad, y la amonestación se anota igual en el registro del artículo 39.

¿La amonestación escrita deja rastro público?

Sí. El artículo 39 de la Ley 21.719 crea el Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia, público, electrónico y de acceso gratuito. Las anotaciones permanecen públicas por cinco años, de modo que una amonestación escrita también quedará visible para clientes, contrapartes y procesos de licitación en Chile.

¿La sanción calculada sobre ingresos anuales se aplica a las pymes?

El 2% de los ingresos anuales en infracciones graves y el 4% en gravísimas procede solo si el infractor no es una empresa de menor tamaño de la Ley 20.416 y, además, reincide en una infracción grave o gravísima. Los topes en UTM del artículo 35 de la Ley 21.719 sí aplican a todos los responsables.

¿El tamaño de la empresa cambia los plazos para responder los derechos ARSOP?

No. El artículo 11 de la Ley 21.719 fija un plazo único para todos: el responsable debe acusar recibo y pronunciarse a más tardar dentro de 30 días corridos desde el ingreso de la solicitud, prorrogable por una sola vez hasta por 30 días corridos más. Son días corridos, no hábiles, y ese plazo no se gradúa por tamaño.

¿Cómo demuestro que mi estándar es suficiente si la instrucción general no existe?

Documentando el análisis: qué datos tratas, de cuántos titulares, con qué finalidad, en qué categoría de la Ley 20.416 estás y qué medidas adoptaste frente a cada riesgo. El principio de responsabilidad del artículo 3 de la Ley 21.719 exige poder acreditar el cumplimiento, no solo afirmarlo ante la Agencia.

Fuentes oficiales

• Ley 21.719, texto oficial — Biblioteca del Congreso Nacional de Chile (Ley Chile)

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.