El gobierno de datos, o gobernanza de datos, es el sistema de roles, políticas y controles que define quién responde por cada dato y cómo se prueba su buen uso. La Ley 21.719 de Chile no lo exige con ese nombre, pero desde el 1 de diciembre de 2026 obligará a publicar qué datos se tratan, acreditar la licitud del tratamiento y resguardar su seguridad.
Lo esencial en 30 segundos
- La Ley 21.719 no menciona el gobierno de datos ni obliga a adoptar un marco de referencia o una norma ISO.
- Desde el 1 de diciembre de 2026, la ley exigirá resultados que dependen de él: publicar qué datos tratas (art. 14 ter), proteger desde el diseño (art. 14 quáter) y asegurar los datos (art. 14 quinquies).
- Desde el 1 de diciembre de 2026, la empresa deberá poder acreditar la licitud de cada tratamiento (art. 3 letra a) y, si un incidente llega a una controversia, que sus medidas de seguridad existían y funcionaban (art. 14 quinquies).
- El delegado de protección de datos es voluntario (art. 50), salvo en el modelo de prevención de infracciones (art. 49 letra a).
- El comité de datos, los dueños por dominio y el RAT son buena práctica.
Las gerencias de datos construyen catálogos, reglas de calidad y comités; las de cumplimiento preparan políticas para la Ley 21.719. Si avanzan por separado, la empresa paga dos veces por responder las mismas preguntas: qué datos tiene, dónde están, quién los usa, para qué y hasta cuándo. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Aquí verás qué parte del gobierno de datos exigirá la ley desde el 1 de diciembre de 2026, qué parte es buena práctica y una lista de verificación por artículo. Las fuentes normativas se revisaron el 21 de octubre de 2026.
¿Qué es el gobierno de datos?
El gobierno de datos, también llamado gobernanza de datos, es el conjunto de decisiones, roles, políticas y controles con que una organización define quién responde por cada conjunto de datos, qué reglas se le aplican y cómo se verifica que se cumplan.
Conviene distinguirlo de la gestión de datos: el gobierno decide y supervisa; la gestión ejecuta. Existen marcos de referencia de la industria, como el DAMA-DMBOK, pero la ley chilena no obliga a adoptar ninguno.
La ley de protección de datos personales cubre un terreno más acotado: la información vinculada o referida a personas naturales identificadas o identificables (artículo 2 letra f). El cumplimiento se juega donde ambos se cruzan, en los datos personales.
¿La Ley 21.719 exige tener un gobierno de datos?
No con ese nombre. Ni la ley ni el Decreto 662, que reglamenta los modelos de prevención de infracciones, usan las expresiones «gobierno de datos» o «gobernanza de datos».
Desde el 1 de diciembre de 2026, la ley exigirá resultados que no se logran sin gobierno y pondrá varias pruebas de cargo de la empresa. El responsable «deberá ser capaz de acreditar la licitud del tratamiento» (artículo 3 letra a), responderá por el cumplimiento de los principios (artículo 3 letra e) y deberá adoptar acciones para prevenir infracciones (artículo 48). Si un incidente de seguridad llega a una controversia judicial o administrativa, le corresponderá acreditar que sus medidas existían y funcionaban (artículo 14 quinquies).
Exigirá el contenido: la información que debe publicarse, datos exactos, plazos de conservación, medidas de seguridad acordes al riesgo, contratos con encargados y evaluaciones de impacto cuando procedan. Es buena práctica la forma: comité de datos, dueños por dominio, catálogo, indicadores de calidad y marcos de controles.
¿Qué roles de gobierno de datos sirven para cumplir la ley?
La ley asigna la mayoría de las obligaciones al responsable de datos (artículos 2 letra n y 14) y algunas también al encargado (artículo 15 bis), pero no dice qué área interna debe ejecutarlas. En una empresa grande conviene repartirlas así:
- Directorio o máxima autoridad. Designa al delegado, si lo hay (artículo 50), y conviene que apruebe la política de tratamiento.
- Delegado de protección de datos. Voluntario (artículo 50), salvo en el modelo de prevención (artículo 49 letra a). Deberá tener autonomía respecto de la administración en las materias de la ley, y un grupo empresarial podrá compartir uno si sus sociedades operan bajo los mismos estándares y políticas y el delegado es accesible para todas.
- Dueños de datos por dominio. Gerentes que responden por la finalidad, la base de licitud y el plazo de conservación de sus tratamientos. La ley no los menciona, pero aplican el principio de responsabilidad.
- Custodios técnicos. TI y seguridad ejecutan las medidas de los artículos 14 quáter y 14 quinquies y generan la evidencia.
- Encargados externos. Proveedores que tratan datos por cuenta de la empresa: desde el 1 de diciembre de 2026 necesitarán un contrato con contenido mínimo y, para delegar el encargo, una autorización específica y por escrito (artículo 15 bis). Hoy la ley vigente solo exige que el mandato conste por escrito, con las condiciones de uso de los datos.
Si la empresa tiene un encargado de prevención o delegado, deberá identificarlo en la información que mantenga a disposición del público (artículo 14 ter letra b).
¿Qué exige la ley sobre inventario, calidad y ciclo de vida de los datos?
Inventario. Publicar con exactitud lo que exigirá el artículo 14 ter (categorías de datos, universo de titulares, destinatarios, finalidades, base de licitud, plazo de conservación y fuente) no es posible sin un inventario, aunque la ley pida describirlo de forma genérica y no tratamiento por tratamiento. La ley no lo llama registro de actividades de tratamiento (RAT); el Decreto 662 admite usar uno dentro del modelo de prevención (artículo 3 letra d del reglamento). Puedes partir con la plantilla de RAT.
Calidad. Desde el 1 de diciembre de 2026, tratar datos personales inexactos, incompletos o desactualizados en relación con los fines del tratamiento será infracción grave (artículo 34 ter letra d), salvo que su actualización corresponda al titular por ley o contrato.
Linaje. Efectuada una rectificación, «no se podrán volver a tratar los datos sin rectificar» (artículo 6), y los cambios por rectificación, supresión u oposición deberán comunicarse a quienes recibieron los datos (artículo 11). Eso exige saber hacia qué sistemas, filiales y proveedores fluye cada dato.
Ciclo de vida. Los datos podrán conservarse solo el tiempo necesario para la finalidad y luego deberán suprimirse o anonimizarse, salvo excepción legal; un plazo mayor requerirá autorización legal o consentimiento del titular (artículo 3 letra c). Seudonimizar no basta: el dato seudonimizado puede volver a atribuirse a su titular con información adicional; el anonimizado deja de ser personal (artículo 2 letras k y l). Más en retención y eliminación de datos.
¿Qué debe incluir una lista de verificación de gobernanza de datos para la Ley 21.719?
La tabla cruza cada componente con el deber legal que ayuda a cumplir y la evidencia que conviene tener si la Agencia de Protección de Datos Personales la pide; cada fila obligatoria sin evidencia es una tarea pendiente.
| Componente | Deber de la ley | Artículo | Evidencia que conviene tener |
|---|---|---|---|
| Inventario y política | Publicar, entre otros, la política con fecha y versión, las categorías de datos y de titulares, finalidades, base de licitud, destinatarios, plazo de conservación, fuente y medidas de seguridad | 14 ter | Inventario que respalde la política e historial de versiones |
| Base de licitud | Acreditar la licitud de cada tratamiento | 3 letra a; 13 | Análisis escrito por tratamiento |
| Calidad | Datos exactos, completos, actuales y pertinentes | 3 letra d | Reglas de calidad y registro de correcciones |
| Linaje | Corregir las copias en uso y comunicar los cambios a quienes recibieron los datos | 6; 11 | Mapa de flujos y constancia de las comunicaciones |
| Retención | Conservar solo lo necesario; luego suprimir o anonimizar, salvo excepción legal | 3 letra c | Tabla de plazos y constancia de las supresiones |
| Privacidad desde el diseño | Medidas desde el diseño y, por defecto, solo los datos estrictamente necesarios | 14 quáter | Revisión documentada en cada proyecto |
| Evaluación de impacto | Hacerla antes de un tratamiento que pueda producir un alto riesgo, y siempre en los cuatro casos de la ley | 15 ter | Evaluaciones fechadas antes del inicio |
| Seguridad | Medidas apropiadas al riesgo, como cifrado, seudonimización y verificación periódica de su eficacia | 14 quinquies | Matriz de accesos y resultados de pruebas |
| Incidentes | Reportar a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de los titulares, registrar el reporte y avisar también a los titulares si hay datos sensibles, de niños y niñas menores de catorce años o financieros | 14 sexies | Procedimiento y registro de vulneraciones |
| Encargados | Contrato con contenido mínimo; delegar el encargo solo con autorización específica y escrita | 15 bis | Contratos y autorizaciones vigentes |
| Derechos de los titulares | Responder en 30 días corridos, prorrogables una vez, y guardar respaldo de la respuesta | 11 | Registro de solicitudes y copia de cada respuesta |
| Delegado y programa | Voluntarios; si se adopta el modelo de prevención, el delegado es obligatorio | 49; 50 | Acta de designación, plan anual y matriz de riesgos |
No todos los pendientes pesan igual: omitir una evaluación de impacto cuando corresponda será infracción gravísima (artículo 34 quáter letra k), y vulnerar las obligaciones de seguridad, grave (artículo 34 ter letra j). Revisa cuándo procede la evaluación de impacto.
¿Cómo se conecta el gobierno de datos con el modelo de prevención de infracciones?
El modelo de prevención de infracciones es un programa de cumplimiento voluntario (artículo 49) y, para una empresa con gobierno de datos, una extensión natural. El inventario cubre la caracterización de datos y titulares (letra c); la identificación de procesos riesgosos (letra d) se vuelve una matriz de riesgos que considera la graduación de las sanciones de la ley (artículo 3 letra e del Decreto 662), y los reportes internos (letra f) podrán integrarse a canales de denuncia existentes si cumplen la ley y el reglamento (artículo 3 letra g del Decreto 662). Lo que se agrega: un delegado obligatorio, con medios y facultades definidos (letras a y b), protocolos para los procesos riesgosos (letra e) y sanciones internas con procedimientos de denuncia (letra g). Además, las reglas internas deberán incorporarse a los contratos de trabajo y de servicios, incluidos los de los máximos ejecutivos, o al reglamento interno (artículo 49).
La Agencia certificará el modelo por tres años (artículos 51 y 52), y ese certificado acreditará la atenuante del artículo 36 N° 5. Antes del 1 de diciembre de 2026 no podrá hacerlo: la función de certificar (artículo 30 bis letra m) y los artículos 49 a 53 entran en vigencia ese día (artículo primero transitorio de la Ley 21.719), y mientras tanto el artículo cuarto transitorio limita al Consejo a las letras a), b), g) y h) del artículo 30 bis y a las funciones del artículo 30 ter. La implementación, en cambio, puede comenzar antes de la incorporación al registro (artículo 18 del Decreto 662). Más en modelo de prevención de infracciones.
¿Por dónde empezar antes del 1 de diciembre de 2026?
Si ya existe un programa de gobierno de datos, conviene extenderlo a los datos personales en vez de levantar una estructura paralela:
- Perímetro: qué dominios tienen datos personales y quién es su dueño.
- Inventario con los campos del artículo 14 ter.
- Calidad y linaje de los datos que se comunican o ceden a terceros.
- Retención por categoría, con supresión o anonimización programada.
- Privacidad en el ciclo de proyectos, con evaluación de impacto cuando corresponda.
- Decisión sobre el delegado y el modelo de prevención.
Existe un proyecto de prórroga que al 20 de octubre de 2026 seguía en primer trámite en el Senado, pero no es ley: la fecha legal sigue siendo el 1 de diciembre de 2026. El panorama completo está en el resumen de la Ley 21.719; nuestro enfoque, en implementación de la Ley 21.719 para grandes empresas.
¿Tu gobierno de datos ya produce la evidencia que pedirá la Ley 21.719?
En un diagnóstico de 30 minutos cruzamos tu gobierno de datos con los deberes de la ley: qué evidencia ya tienes, qué brechas quedan y si te conviene el modelo de prevención de infracciones.
Solicitar diagnósticoPreguntas frecuentes
¿Qué es la gobernanza de datos?
La gobernanza de datos, o gobierno de datos, es el conjunto de roles, políticas y controles que define quién responde por cada conjunto de datos, qué reglas se le aplican y cómo se verifica su cumplimiento. La gestión de datos ejecuta esas reglas.
¿La Ley 21.719 obliga a tener un programa de gobierno de datos?
No con ese nombre. Pero desde el 1 de diciembre de 2026 obligará a acreditar la licitud de cada tratamiento (artículo 3 letra a), a publicar qué datos se tratan (artículo 14 ter) y a adoptar medidas de seguridad acordes al riesgo (artículo 14 quinquies), resultados difíciles de lograr sin gobierno de datos.
¿Qué diferencia hay entre gobierno de datos y protección de datos personales?
El gobierno de datos es una disciplina de gestión que abarca todos los datos de la empresa. La protección de datos personales es un régimen legal que en Chile cubre solo la información sobre personas naturales identificadas o identificables (artículo 2 letra f).
¿Es obligatorio el registro de actividades de tratamiento (RAT) en Chile?
No como documento con ese nombre. La Ley 21.719 exigirá publicar la información del artículo 14 ter, y el RAT es una forma ordenada de tenerla. El Decreto 662 admite usarlo para caracterizar los tratamientos dentro del modelo de prevención de infracciones.
¿Es obligatorio designar un delegado de protección de datos?
No. El artículo 50 dice que el responsable «podrá designar» un delegado; si lo hace, deberá designarlo el directorio, un socio administrador o la máxima autoridad de la empresa. Será obligatorio si la empresa adopta el modelo de prevención de infracciones (artículo 49 letra a).
¿La calidad de los datos es una obligación legal en Chile?
Para los datos personales, sí: deberán ser exactos, completos, actuales y pertinentes en relación con su proveniencia y los fines del tratamiento (artículo 3 letra d). Desde el 1 de diciembre de 2026, tratarlos inexactos, incompletos o desactualizados en relación con esos fines será infracción grave (artículo 34 ter letra d), salvo que su actualización corresponda al titular por ley o contrato.
¿Cuándo es obligatoria la evaluación de impacto en un proyecto de datos?
Cuando sea probable que el tratamiento produzca un alto riesgo para los derechos de los titulares, y siempre en los cuatro casos del artículo 15 ter, entre ellos el tratamiento masivo o a gran escala y el monitoreo sistemático de una zona de acceso público. Deberá hacerse antes de iniciar el tratamiento, y omitirla será infracción gravísima (artículo 34 quáter letra k).
¿Una certificación ISO reemplaza la certificación del modelo de prevención?
No. ISO/IEC 27701:2025 es una norma internacional para sistemas de gestión de la información de privacidad, y la ley chilena no la contempla como forma de acreditar el cumplimiento. El modelo de prevención lo certificará la Agencia de Protección de Datos Personales (artículo 51), y ese certificado acreditará la atenuante del artículo 36 N° 5. Lo detallamos en ISO 27701 y la Ley 21.719.
Fuentes oficiales
- Ley 19.628 consolidada con las modificaciones de la Ley 21.719 (vigente desde el 1 de diciembre de 2026)
- Ley 21.719 — texto publicado, con sus disposiciones transitorias, Biblioteca del Congreso Nacional
- Decreto 662 del Ministerio de Hacienda, reglamento de los modelos de prevención de infracciones
- ISO/IEC 27701:2025 — Privacy information management systems
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.