La Ley 21.719 alcanza a empresas sin domicilio en Chile. El artículo 1 bis letra c) la aplica cuando el tratamiento se destina a ofrecer bienes o servicios a titulares que se encuentren en Chile, aunque sean gratuitos, o a monitorear su comportamiento, incluido el análisis, rastreo, perfilamiento o predicción de conducta.
Lo esencial en 30 segundos
- La Ley 21.719 tiene alcance extraterritorial: te alcanza aunque estés fuera de Chile si ofreces bienes o servicios a personas en Chile o monitorizas su comportamiento en el país.
- Para transferir datos al extranjero necesitas un mecanismo válido: país con nivel adecuado, cláusulas contractuales o normas corporativas vinculantes (BCRs).
- Existen excepciones (consentimiento expreso, ejecución de contrato, interés público), pero no sustituyen la debida diligencia ni la evidencia documental.
- La regla de oro: inventaría flujos → evalúa el destino → elige el mecanismo → documenta y asegura.
- El cumplimiento es obligatorio desde el 1 de diciembre de 2026; las infracciones pueden llegar a 20.000 UTM (60.000 con reincidencia).
Si tu empresa tiene operaciones, proveedores o usuarios fuera de Chile, hay dos preguntas que no puedes dejar sin respuesta: ¿la Ley 21.719 te alcanza estando fuera del país? y ¿qué mecanismos son válidos para mover datos al extranjero sin incumplir? En este artículo respondemos ambas de forma práctica, con los pasos operativos y un checklist listo para usar. Para el panorama general de la normativa, revisa nuestra guía definitiva de la Ley 21.719. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
1) Resumen ejecutivo
La Ley 21.719 moderniza la protección de datos en Chile, crea la Agencia de Protección de Datos Personales y su cumplimiento es obligatorio desde el 1 de diciembre de 2026 (fue publicada el 13 de diciembre de 2024, con un período de adecuación de 24 meses). Alinea principios y obligaciones con marcos como el GDPR, exige responsabilidad proactiva, transparencia y seguridad, y regula de forma específica las transferencias internacionales de datos personales.
Para las empresas con operaciones, proveedores o usuarios fuera de Chile, dos temas son críticos: el alcance extraterritorial (cuándo aplica la ley si estás fuera de Chile) y los mecanismos válidos para transferir datos a otros países. Si vienes del mundo europeo, te ayudará revisar las diferencias entre la Ley 21.719 y el GDPR.
2) Alcance territorial y extraterritorialidad
La ley se aplica a responsables o encargados establecidos en Chile y también, de forma extraterritorial, a quienes estando fuera traten datos de personas que se encuentren en Chile, cuando ofrezcan bienes o servicios a esas personas o monitoricen su comportamiento en el país. En la práctica, si diriges tu servicio a usuarios en Chile o procesas datos de chilenos en ese contexto, la ley te alcanza incluso si estás ubicado en el extranjero.
Consecuencia operativa: si tu sede está fuera de Chile pero captas clientes en Chile, deberás mapear qué tratamientos se realizan respecto de personas en Chile, identificar la base legal y alinear tus contratos y políticas a la Ley 21.719.
| Situación | Regla | Artículo |
|---|---|---|
| Responsable o mandatario establecido en Chile | La ley se aplica sin más requisitos. | Artículo 1 bis letra a) |
| Mandatario en el extranjero que trata por cuenta de un responsable chileno | La ley se aplica con independencia del lugar de establecimiento del mandatario. | Artículo 1 bis letra b) |
| Empresa extranjera que ofrece bienes o servicios a personas en Chile | La ley se aplica aunque no se requiera pago alguno a esos titulares. | Artículo 1 bis letra c) |
| Empresa extranjera que monitorea comportamiento de personas en Chile | La ley se aplica, incluyendo análisis, rastreo, perfilamiento o predicción de comportamiento. | Artículo 1 bis letra c) |
| Obligación del responsable sin domicilio en Chile | Señalar y mantener actualizado y operativo un correo u otro medio de contacto idóneo para titulares y para la Agencia. | Artículo 14 inciso final |
| Persona jurídica no constituida en Chile | Designar por escrito ante la Agencia a una persona capaz de actuar en su nombre para el ejercicio de derechos y las notificaciones. | Artículo 10 |
| Transferencia a un país con nivel adecuado | Lícita, conforme a la determinación de adecuación del artículo 28. | Artículo 27 letra a) |
| Transferencia amparada en cláusulas contractuales o normas corporativas vinculantes | Lícita si esos instrumentos establecen garantías adecuadas. | Artículo 27 letra b) |
| Transferencia con modelo de cumplimiento o certificación | Lícita si ambos extremos lo adoptan y establece garantías adecuadas. | Artículo 27 letra c) |
| Transferencia específica y no habitual sin adecuación ni garantías | Solo en ocho supuestos tasados, entre ellos el consentimiento expreso para esa transferencia determinada. | Artículo 27 inciso segundo |
3) Transferencias internacionales: condiciones y mecanismos
La Ley 21.719 permite transferir datos personales fuera de Chile cuando el destino cumple condiciones que aseguren un nivel adecuado de protección. Los mecanismos típicos incluyen:
- Países con nivel adecuado de protección, reconocidos por la autoridad.
- Cláusulas contractuales que aseguren derechos y garantías equivalentes.
- Normas corporativas vinculantes para grupos empresariales (BCRs).
- Otros instrumentos que en el futuro precise la Agencia o la regulación.
Recomendación práctica: antes de transferir, evalúa el marco legal del país receptor, el rol del proveedor, las salvaguardas técnicas (cifrado, control de accesos, segregación) y documenta la decisión.
El listado de países con nivel adecuado de protección y los modelos de cláusulas serán precisados por la Agencia de Protección de Datos Personales mediante regulación posterior. Mientras tanto, prioriza mecanismos contractuales sólidos y mantén la flexibilidad para incorporar los instrumentos que la autoridad defina.
4) Excepciones que habilitan la transferencia
Además de los mecanismos anteriores, la ley prevé supuestos que permiten transferir sin pasar por un "país adecuado" o cláusulas tipo, por ejemplo: Desde diciembre de 2025 existen cláusulas contractuales modelo aprobadas en Chile que puedes usar hoy.
- Consentimiento expreso del titular, informado de los riesgos.
- Ejecución de un contrato con el titular o medidas precontractuales a su solicitud.
- Interés público o cumplimiento de obligaciones derivadas de tratados internacionales.
Estas excepciones no sustituyen la debida diligencia: debes evaluar proporcionalidad, necesidad y medidas de mitigación, y dejar rastro documental.
5) Pasos operativos para cumplir cuando hay transferencias
- Inventario y mapa de datos. Identifica qué datos personales salen de Chile, a qué fines, a qué países y con qué proveedores.
- Base legal y minimización. Verifica que el tratamiento tenga base de licitud y que solo transfieras lo necesario.
- Evalúa el destino. Revisa el marco normativo del país receptor, controles de seguridad y antecedentes del proveedor.
- Selecciona el mecanismo. Adecuación, cláusulas contractuales, BCRs u otra salvaguarda válida; incorpora cláusulas de seguridad y notificación de incidentes.
- Transparencia. Actualiza la política de privacidad: finalidades, base legal, terceros, países y derechos del titular.
- Seguridad. Cifrado en tránsito y reposo, control de accesos, gestión de vulnerabilidades, pruebas y auditorías.
- Registro y evidencia. Mantén ROPA/registro de actividades, evaluaciones y contratos; esto acredita "accountability".
- Protocolo de incidentes. Define cómo evaluar, mitigar y notificar brechas que afecten datos transferidos.
6) Qué revisar en contratos con proveedores (encargados)
- Finalidad y obligación de instrucción. El encargado solo tratará datos según tus instrucciones documentadas.
- Medidas de seguridad. Estándares mínimos, cifrado, controles de acceso, registro y auditoría.
- Subencargados. Condiciones para su uso y lista actualizada de subprocesadores.
- Ubicaciones. Países donde se almacenan o acceden los datos.
- Incidentes. Plazos de aviso "sin demoras indebidas", contenido mínimo y cooperación.
- Retorno o eliminación. Al término del servicio, devolución o borrado verificable.
7) Interacción con el GDPR y otras normativas
Si ya cumples GDPR o LGPD, tendrás terreno avanzado: principios, registros, DPIA, transparencia y seguridad son convergentes. Aun así, revisa los matices locales de la Ley 21.719 (definiciones, derechos, sanciones y rol de la Agencia) y adecúa textos y procedimientos a los términos chilenos. Analizamos punto por punto las diferencias en Ley 21.719 vs. GDPR.
8) Notificación de brechas cuando hay transferencias
Si una brecha afecta datos transferidos o ubicados en el extranjero, evalúa el riesgo para titulares en Chile. Si el umbral se cumple, deberás notificar a la autoridad y, cuando corresponda, a las personas afectadas. Prevé coordinación contractual para recibir alertas del proveedor a tiempo y poder cumplir con la obligación de informar sin demoras indebidas.
9) Checklist rápido (transferencia internacional)
- ¿Identificaste datos, finalidades, países y proveedores involucrados?
- ¿Confirmaste base legal y minimización?
- ¿Evaluaste el marco del país receptor y las salvaguardas?
- ¿Tienes cláusulas contractuales o BCRs en vigor cuando no hay "adecuación"?
- ¿Actualizaste la política de privacidad y el registro de actividades?
- ¿Acreditas seguridad proporcional al riesgo (cifrado, accesos, auditoría)?
- ¿Existe un protocolo de incidentes con plazos y contenido mínimo?
¿Transfieres datos fuera de Chile?
Te ayudamos a mapear flujos internacionales, elegir el mecanismo correcto y dejar la evidencia lista. Diagnóstico de 30 minutos.
Agendar diagnósticoPreguntas frecuentes
¿La Ley 21.719 me aplica si estoy fuera de Chile?
Sí, si ofreces bienes o servicios a personas que se encuentren en Chile o monitorizas su comportamiento en el país. En tal caso, debes cumplir respecto del tratamiento realizado sobre personas en Chile, incluso si tu sede está en el extranjero.
¿Puedo transferir datos a cualquier país si tengo consentimiento?
El consentimiento expreso puede habilitar la transferencia, pero debes informar los riesgos al titular y mantener medidas de seguridad y evidencia documental. Siempre conviene evaluar si existen mecanismos más robustos, como países con nivel adecuado de protección, cláusulas contractuales o normas corporativas vinculantes (BCRs).
¿Qué sanciones existen por incumplir la Ley 21.719?
Las infracciones se clasifican en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM). En caso de reincidencia la multa puede triplicarse —hasta 60.000 UTM— o aplicarse un porcentaje de los ingresos anuales por ventas y servicios en Chile (2% en reincidencia grave y 4% en gravísima) para empresas que no son de menor tamaño, además de medidas correctivas y exposición reputacional. Detallamos el régimen completo en Multas y sanciones de la Ley 21.719.
¿Cómo reflejo las transferencias internacionales en mi política de privacidad?
Incluye finalidades, base legal, categorías de datos, terceros, países o criterios para determinarlos, plazos de conservación, derechos y canales de contacto. Si usas proveedores en la nube, identifica su rol y las salvaguardas aplicadas a la transferencia.
¿La Ley 21.719 se aplica a empresas sin oficina en Chile?
Sí. El artículo 1 bis letra c) de la Ley 21.719 la aplica cuando el responsable o mandatario no está establecido en el territorio nacional pero sus operaciones se destinan a ofrecer bienes o servicios a titulares que se encuentren en Chile, o a monitorear el comportamiento de titulares que se encuentran en el país.
¿Importa si el servicio es gratuito?
No. El artículo 1 bis letra c) de la Ley 21.719 aplica la ley al ofrecimiento de bienes o servicios a titulares en Chile «independientemente de si a éstos se les requiere un pago». Una app gratuita, un servicio freemium o un contenido sin costo quedan igualmente cubiertos.
¿Qué cuenta como monitorear el comportamiento?
El artículo 1 bis letra c) de la Ley 21.719 lo define con amplitud: incluye el análisis, rastreo, perfilamiento o predicción de comportamiento de titulares que se encuentran en el territorio nacional. Analítica de producto, publicidad basada en comportamiento y scoring caen dentro de esa descripción.
¿Qué debe hacer una empresa extranjera que queda cubierta?
El artículo 14 de la Ley 21.719 obliga al responsable sin domicilio en Chile a señalar y mantener actualizado y operativo un correo electrónico u otro medio de contacto idóneo para recibir comunicaciones de los titulares y de la Agencia. El artículo 10 añade la designación escrita ante la Agencia.
¿Cómo se autoriza una transferencia internacional de datos?
El artículo 27 de la Ley 21.719 reconoce tres vías generales: transferir a un país con niveles adecuados de protección; ampararla en cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas; o que ambas partes adopten un modelo de cumplimiento o mecanismo de certificación con esas garantías.
¿Puedo transferir datos sin ninguna de esas vías?
Solo de forma específica y no habitual, y en los supuestos tasados del inciso segundo del artículo 27 de la Ley 21.719: consentimiento expreso para esa transferencia determinada, transferencias bancarias o bursátiles específicas, tratados internacionales vigentes, convenios entre órganos públicos, autorización legal expresa, colaboración judicial internacional, ejecución de un contrato con el titular y urgencias médicas o sanitarias.
Fuentes oficiales
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional
- Artículo 1 bis (ámbito de aplicación territorial) y artículos 27 y 28 (transferencia internacional de datos) — texto refundido vigente desde el 1 de diciembre de 2026
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.