Indemnización de perjuicios por datos personales en Chile: la responsabilidad civil del artículo 47 de la Ley 21.719

Casi toda la conversación sobre la Ley 21.719 en Chile ha girado alrededor de un número: la multa. Hasta 20.000 UTM para las infracciones gravísimas, un registro público de sanciones, una Agencia de Protección de Datos Personales que la ley crea como autoridad de control. Es un titular potente, sirve para abrir presupuestos y ordenar prioridades, pero deja fuera la parte de la ley que en la práctica puede terminar costando más y que casi nadie está discutiendo en el mercado local. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Esa parte es el artículo 47. La Ley 21.719 no se limita a sancionar administrativamente: consagra una responsabilidad civil propia, con daño patrimonial y extrapatrimonial, un momento preciso para demandar y un plazo de prescripción de cinco años. Dicho de otro modo, la decisión sancionatoria puede transformarse en el antecedente que habilita demandas posteriores de uno o de muchos titulares.

Este artículo explica cómo funciona esa vía, en qué se diferencia de la multa y del registro público, y qué significa para el cálculo de riesgo de una gerencia general, un área legal o un directorio. La ley entra en vigencia el 1 de diciembre de 2026, así que todavía hay tiempo para preparar lo único que realmente defiende en un juicio: evidencia de cumplimiento.

¿Pueden demandar a mi empresa por indemnización de perjuicios por mal uso de datos personales?

Sí. El artículo 47 de la Ley 21.719 establece que el responsable de datos deberá indemnizar el daño patrimonial y extrapatrimonial que cause al o los titulares cuando, en sus operaciones de tratamiento, infrinja los principios del artículo 3, los derechos y obligaciones de la ley, y les cause perjuicio. Es una acción civil, de naturaleza distinta a la sanción que pueda aplicar la Agencia.

Conviene leer con cuidado la redacción, porque delimita el supuesto. La indemnización no se activa por cualquier molestia: el texto exige una infracción normativa, un perjuicio y que ese perjuicio se haya producido en las operaciones de tratamiento del responsable. La infracción puede ser tanto de los principios del artículo 3 —licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, confidencialidad— como de los derechos y obligaciones que la ley reconoce en el resto de su texto.

El mismo artículo 47 agrega que esta indemnización no obsta al ejercicio de los demás derechos que concede la ley. Es decir, el titular que demanda no renuncia a nada: puede haber reclamado antes ante la Agencia, puede haber obtenido una decisión favorable sobre su solicitud y, además, reclamar el daño sufrido. La vía civil se suma, no reemplaza.

Para una gerencia, la consecuencia es directa. La pregunta ya no es solo cuánto puede multar la Agencia, sino cuántos titulares afectados existen detrás de un mismo incidente y qué daño podrían acreditar. El artículo 47 habla expresamente del daño causado "al o los titulares", en plural, lo que abre la posibilidad de que varios afectados reclamen por un mismo hecho.

• Requisito 1 — infracción: incumplir un principio del artículo 3 o un derecho u obligación de la Ley 21.719.
• Requisito 2 — perjuicio: un daño concreto sufrido por el titular, patrimonial o extrapatrimonial.
• Requisito 3 — que el daño se haya producido en las operaciones de tratamiento del responsable.
• Efecto adicional: la acción del artículo 47 no obsta al ejercicio de los demás derechos que la ley concede al titular.

¿Qué puede cobrar el titular: solo el daño patrimonial o también el daño moral?

Ambos. El artículo 47 de la Ley 21.719 menciona de forma explícita el daño patrimonial y el extrapatrimonial. Ese segundo concepto es precisamente lo que vuelve esta vía especialmente relevante en materia de privacidad, porque el perjuicio típico de un mal tratamiento de datos rara vez se agota en una pérdida contable.

Piensa en los casos habituales en Chile: una filtración que expone datos de salud, un dato sensible usado para una finalidad que el titular nunca autorizó, la divulgación de la situación socioeconómica de una persona —categoría que la Ley 21.719 trata como dato sensible y que es distintiva de nuestro ordenamiento—, o la comunicación de información sobre infracciones cuando la acción o la sanción ya estaba prescrita, hipótesis que el artículo 25 prohíbe expresamente. En varios de esos escenarios el titular podría no tener una pérdida económica evidente y, aun así, alegar un daño en su vida privada, su honra o su tranquilidad.

Aquí corresponde ser honesto: la Ley 21.719 no tarifica el daño ni fija montos mínimos o máximos de indemnización. La cuantía la determinará el tribunal según la prueba que se rinda en el juicio. Cualquier cifra que circule hoy como "estándar de indemnización" en Chile es especulación, porque la ley aún no rige y no existe jurisprudencia bajo este régimen.

Lo que sí puede anticiparse es la estructura del litigio. El demandante intentará acreditar la infracción —muchas veces apoyándose en la decisión previa que ya se pronunció sobre ella— y luego la existencia y extensión del daño. La empresa discutirá ese segundo punto, y también la relación entre la infracción y el perjuicio alegado. Ahí es donde la documentación interna deja de ser un trámite y se convierte en defensa.

• Daño patrimonial: gastos, pérdidas económicas verificables, costos incurridos por el titular a raíz del tratamiento indebido.
• Daño extrapatrimonial: afectación de la vida privada, la honra, la tranquilidad o la dignidad del titular.
• La Ley 21.719 no fija montos: la cuantificación queda entregada al tribunal según la prueba rendida.

¿Cuándo se puede demandar? La secuencia que casi nadie explica

No de inmediato. Este es el dato práctico más importante del artículo 47 de la Ley 21.719: la acción indemnizatoria podrá interponerse una vez ejecutoriada la resolución que resolvió favorablemente el reclamo ante la Agencia, o cuando la sentencia se encuentre firme y ejecutoriada en caso de reclamo de ilegalidad. Existe, entonces, una etapa previa.

Esa secuencia importa por dos razones opuestas. Para la empresa es una buena noticia parcial: la acción del artículo 47 no se ejerce sin que antes exista una decisión ejecutoriada en los términos que la propia norma describe. Cómo interactúa esta vía específica con otras acciones que contempla el ordenamiento general es una discusión abierta que conviene revisar caso a caso con asesoría, sin conclusiones apresuradas. Pero también es una advertencia seria, porque significa que el resultado del procedimiento ante la Agencia deja de ser el final del problema y pasa a ser el comienzo de otro.

En materia de tutela de derechos, el camino típico en Chile parte con el artículo 41 de la Ley 21.719, que regula el reclamo del titular ante la Agencia cuando el responsable le denegó una solicitud del artículo 11 o no dio respuesta dentro del plazo legal. La ley contempla además el procedimiento administrativo por infracción de ley del artículo 42 y el procedimiento de reclamación judicial del artículo 43. El propio artículo 47 alude a la hipótesis del reclamo de ilegalidad, cuya sentencia debe encontrarse firme y ejecutoriada para habilitar la demanda civil.

Una vez cerrada esa etapa, el juicio civil se tramita conforme al procedimiento sumario de los artículos 680 y siguientes del Código de Procedimiento Civil. No es un detalle menor para quien planifica: el sumario es un procedimiento más concentrado que el juicio ordinario, de modo que la empresa tendrá poco margen para construir su prueba sobre la marcha. Si la evidencia de cumplimiento no existía antes del incidente, difícilmente aparecerá a tiempo.

• 1. El titular ejerce un derecho ARSOP. El artículo 11 de la Ley 21.719 obliga al responsable a acusar recibo y pronunciarse a más tardar dentro de 30 días corridos desde el ingreso de la solicitud, prorrogables por una sola vez hasta por 30 días corridos más.
• 2. Si la empresa deniega o no responde, el titular reclama ante la Agencia. El artículo 41 exige presentarlo por escrito, en formato físico o electrónico, dentro de 30 días hábiles contados desde que recibe la respuesta negativa o desde que venció el plazo del responsable.
• 3. La Agencia tramita: dentro de los 10 días hábiles siguientes determina si el reclamo cumple los requisitos para ser acogido a tramitación, y se entiende acogido si no se pronuncia en ese término; notificado el responsable, este dispone de 30 días corridos, prorrogables hasta por el mismo plazo, para responder; y solo si existen hechos sustanciales, pertinentes y controvertidos podrá abrirse un término probatorio de 10 días hábiles.
• 4. Si la resolución resuelve favorablemente el reclamo y queda ejecutoriada —o si hubo reclamo de ilegalidad y la sentencia queda firme y ejecutoriada—, se habilita la vía civil.
• 5. Solo entonces el titular demanda la indemnización, en procedimiento sumario conforme a los artículos 680 y siguientes del Código de Procedimiento Civil.

¿En cuánto tiempo prescribe la acción civil por datos personales en Chile?

En cinco años. El artículo 47 de la Ley 21.719 dispone que las acciones civiles que deriven de una infracción a la ley prescribirán en el plazo de cinco años, contado desde que se encuentre ejecutoriada la resolución administrativa o la sentencia judicial que imponga la multa respectiva. El punto de partida no es la fecha del incidente ni la fecha en que el titular se enteró: es el momento en que esa decisión queda a firme.

Vale la pena notar un matiz de redacción. Para habilitar la demanda, el artículo 47 se refiere a la resolución que resolvió favorablemente el reclamo ante la Agencia o a la sentencia firme del reclamo de ilegalidad; para el cómputo de la prescripción, alude a la resolución administrativa o la sentencia judicial que imponga la multa respectiva. Cómo se articulan ambas hipótesis en un caso concreto es algo que deberá precisar la práctica y, en su momento, los tribunales, de modo que conviene revisar cada situación con asesoría.

En cualquier caso, la regla de cómputo tiene una consecuencia que suele pasar desapercibida en los comités de riesgo. Entre el hecho —una filtración, una cesión indebida, una negativa injustificada a suprimir datos— y el inicio del plazo puede transcurrir bastante tiempo: primero el procedimiento ante la Agencia, después la eventual reclamación judicial y, solo cuando eso queda ejecutoriado, comienzan a correr los cinco años. La ventana total de exposición de la empresa es, por lo tanto, considerablemente más larga que cinco años desde el incidente.

Para un directorio en Chile eso se traduce en una obligación concreta de gobierno de la información: la evidencia que acredita cumplimiento debe sobrevivir a ese horizonte. Registros de solicitudes de titulares y de sus respuestas, el registro de vulneraciones a las medidas de seguridad, los contratos de cesión y de encargo, las decisiones documentadas sobre bases de licitud, las evaluaciones de impacto. Si esos respaldos se depuran a los dos años por política interna, la empresa podría llegar al juicio civil sin poder probar lo que efectivamente hizo bien.

También conviene planificar la coordinación entre áreas. Legal suele custodiar los expedientes del procedimiento administrativo; tecnología, los registros y evidencias técnicas; operaciones, los flujos de atención de titulares. Si esas piezas no están inventariadas, la defensa frente al artículo 47 se arma a última hora y con vacíos.

• Plazo: cinco años, según el artículo 47 de la Ley 21.719.
• Inicio del cómputo: desde que se encuentre ejecutoriada la resolución administrativa o la sentencia judicial que imponga la multa respectiva.
• Implicancia operativa: las políticas de retención de evidencia de cumplimiento deben cubrir un horizonte más amplio que el propio incidente.

¿En qué se diferencia esta indemnización de la multa del artículo 35 y del registro del artículo 39?

Son tres consecuencias distintas, con lógicas diferentes. La multa del artículo 35 de la Ley 21.719 la impone la Agencia y se paga al Estado. La inscripción del artículo 39 es reputacional: la sanción queda anotada en un registro público. La indemnización del artículo 47 la fija un tribunal civil y se paga al titular afectado. La ley no contempla que una reemplace a la otra; al contrario, el artículo 47 señala expresamente que la indemnización no obsta al ejercicio de los demás derechos que concede la ley.

En materia de multas, el artículo 35 distingue por gravedad: las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con multa de hasta 10.000 UTM y las gravísimas con multa de hasta 20.000 UTM. La ley contempla medidas para subsanar en un plazo no mayor a 60 días y, si no se cumplen, un recargo de 50%. En caso de reincidencia, la multa puede alcanzar hasta tres veces el monto. El porcentaje sobre los ingresos anuales —2% en infracciones graves y 4% en gravísimas— solo aplica cuando el infractor no es una empresa de menor tamaño de la ley 20.416 y además reincide en infracción grave o gravísima.

El artículo 39 crea el Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia, público, electrónico y de acceso gratuito. Consigna a los sancionados con indicación de la gravedad, la conducta, las atenuantes o agravantes y la sanción aplicada, y también a quienes tengan modelos certificados de prevención vigentes. Las anotaciones permanecen públicas por cinco años. Es información que cualquier cliente, licitante o contraparte podrá consultar.

El encadenamiento es lo que cambia el cálculo de riesgo en Chile: una infracción puede derivar en multa, quedar anotada en un registro público y, además, habilitar demandas civiles de los titulares afectados durante los cinco años siguientes a que la decisión respectiva quede ejecutoriada. Evaluar el peor escenario mirando solo el tope de UTM subestima el problema.

¿Cómo se prepara una empresa para este riesgo antes del 1 de diciembre de 2026?

Documentando. La mejor defensa frente al artículo 47 de la Ley 21.719 es poder demostrar, con registros verificables, que la empresa cumplió los principios del artículo 3 y sus deberes legales. Como la vía civil se apoya en una infracción declarada en una etapa previa, todo lo que evite o desactive esa declaración reduce a la vez la exposición administrativa y la civil.

Hay cuatro frentes donde, en la experiencia de las organizaciones chilenas que ya están adecuándose, se concentra el riesgo real. El primero es la atención de derechos: el artículo 11 exige acusar recibo y pronunciarse dentro de 30 días corridos —no hábiles—, prorrogables por una sola vez hasta por 30 días corridos más, por escrito y con respaldos que demuestren la remisión, la fecha y el contenido íntegro. Si deniega, el responsable debe fundar la negativa e informar al titular que tiene 30 días hábiles para reclamar ante la Agencia. Una denegación mal fundada o un silencio son el punto de partida natural del reclamo del artículo 41.

El segundo frente son las cesiones. El artículo 15 de la Ley 21.719 permite ceder datos con el consentimiento del titular y para el cumplimiento de los fines del tratamiento, y también cuando la cesión sea necesaria para el cumplimiento y ejecución de un contrato en que el titular es parte, cuando exista un interés legítimo del cedente o del cesionario en los términos de la letra d) del artículo 13, o cuando lo disponga la ley. Si el consentimiento otorgado al momento de la recolección no consideraba la cesión, debe recabarse antes de que esta se produzca y se considera, para todos los efectos legales, una nueva operación de tratamiento. La cesión debe constar por escrito o a través de cualquier medio electrónico idóneo, individualizando a las partes, los datos y las finalidades previstas. Si se cede sin consentimiento siendo este necesario, la cesión será nula y el cesionario deberá suprimir todos los datos recibidos, sin perjuicio de las responsabilidades legales que correspondan.

El tercer frente es la seguridad y las brechas. El artículo 14 sexies obliga a reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen destrucción, filtración, pérdida o alteración accidental o ilícita, o comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades de los titulares. Las vulneraciones deben registrarse, y comunicarse a los titulares cuando se refieran a datos sensibles, a datos de niños y niñas menores de catorce años, o a datos de obligaciones económicas, financieras, bancarias o comerciales. Conviene aclararlo porque circula mucha desinformación: la Ley 21.719 no establece un plazo de 72 horas; ese estándar pertenece al reglamento europeo.

El cuarto frente suele sorprender. El artículo 25 dispone que los datos relativos a la comisión y sanción de infracciones penales, civiles, administrativas y disciplinarias solo pueden ser tratados por los organismos públicos para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias y en los casos expresamente previstos en la ley. Eso tensiona prácticas privadas de screening o filtro de antecedentes que hoy son comunes en Chile, y merece una revisión caso a caso con asesoría legal antes de diciembre de 2026, sin conclusiones apresuradas y atendiendo a la actividad y al marco sectorial de cada organización. El mismo artículo prohíbe además el tratamiento masivo de los datos personales contenidos en los registros electrónicos de infracciones que llevan los organismos públicos, y su incumplimiento constituye una infracción.

Sobre el nivel de exigencia concreto, corresponde ser transparente: el artículo 14 septies establece que los estándares o condiciones mínimas para los deberes de información y de seguridad se determinarán considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según las categorías del artículo segundo de la ley 20.416, la actividad que desarrolla y el volumen, naturaleza y finalidades de los datos tratados; pero esos estándares y las medidas diferenciadas serán fijados por la Agencia mediante instrucción general. A julio de 2026 ese detalle todavía no existe, porque depende de una instrucción general que aún debe dictarse. Dos advertencias: esa diferenciación no vuelve opcionales las obligaciones —el deber de informar y el de resguardar los datos existen igual, lo que se modula es el estándar exigible—, y ninguna certificación técnica de mercado es obligatoria por esta ley. Lo razonable es avanzar en lo que la ley ya exige con claridad y dejar margen de ajuste.

Por último, la Ley 21.719 ofrece una herramienta que juega directamente en el terreno probatorio. El artículo 48 obliga a adoptar acciones preventivas y el artículo 49 permite adoptar voluntariamente un programa de cumplimiento con siete elementos mínimos, que la Agencia certifica y supervisa conforme al artículo 51, con reglamento aprobado por el Decreto Supremo N° 662 de 2025 del Ministerio de Hacienda y certificación vigente por tres años. Un modelo de prevención certificado no otorga inmunidad ni impide una demanda del artículo 47, pero constituye evidencia estructurada de diligencia, y además queda consignado en el registro del artículo 39.

• Registra cada solicitud de titular y su respuesta, con prueba de remisión, fecha y contenido íntegro (artículo 11).
• Formaliza por escrito o por medio electrónico idóneo las cesiones, individualizando partes, datos y finalidades (artículo 15), y distingue la cesión del encargo a un tercero mandatario del artículo 15 bis.
• Mantén el registro de vulneraciones a las medidas de seguridad y el criterio con que se evaluó el riesgo (artículo 14 sexies).
• Revisa con asesoría legal cualquier tratamiento de datos sobre infracciones penales, civiles, administrativas o disciplinarias (artículo 25).
• Define políticas de retención de evidencia de cumplimiento compatibles con la prescripción de cinco años del artículo 47.

Preguntas frecuentes

¿Puede un titular demandar directamente a mi empresa sin pasar antes por la Agencia?

Tratándose de la acción del artículo 47 de la Ley 21.719, no: la norma señala que la acción indemnizatoria podrá interponerse una vez ejecutoriada la resolución que resolvió favorablemente el reclamo ante la Agencia, o cuando la sentencia esté firme y ejecutoriada si hubo reclamo de ilegalidad. Hay una etapa previa.

¿La multa que pague mi empresa a la Agencia descuenta la indemnización al titular?

La ley no contempla ese descuento. En Chile son consecuencias de naturaleza distinta: la multa del artículo 35 de la Ley 21.719 la impone la Agencia y se paga al Estado; la indemnización del artículo 47 la fija un tribunal civil y se paga al titular afectado. Pueden coexistir por el mismo hecho.

¿Pueden demandar varios titulares por un mismo incidente de datos?

El artículo 47 de la Ley 21.719 se refiere expresamente al daño causado al o los titulares, en plural. Por eso una misma decisión ejecutoriada podría habilitar demandas de múltiples afectados, lo que en Chile obliga a estimar el riesgo civil considerando el universo completo de personas involucradas.

¿Ante qué tribunal y con qué procedimiento se tramita la demanda?

Ante la justicia civil. El artículo 47 de la Ley 21.719 dispone que la acción indemnizatoria se tramitará conforme al procedimiento sumario de los artículos 680 y siguientes del Código de Procedimiento Civil, un procedimiento más concentrado que el juicio ordinario, con poco espacio para construir la prueba durante el juicio mismo.

¿Desde cuándo se cuentan los cinco años de prescripción?

Desde que se encuentre ejecutoriada la resolución administrativa o la sentencia judicial que imponga la multa respectiva, según el artículo 47 de la Ley 21.719. No se cuentan desde el incidente ni desde que el titular tomó conocimiento, por lo que la exposición total de la empresa en Chile es más larga que cinco años.

¿Esta responsabilidad civil ya está vigente en Chile?

Todavía no. La Ley 21.719 se publicó el 13 de diciembre de 2024 y, conforme a su artículo primero transitorio, entra en vigencia el 1 de diciembre de 2026. La misma ley crea la Agencia de Protección de Datos Personales como autoridad de control. Hasta esa fecha el artículo 47 no es aplicable.

¿Las empresas de menor tamaño tienen algún alivio frente a esta vía civil?

El artículo sexto transitorio de la Ley 21.719 permite a la Agencia aplicar una amonestación escrita a empresas de menor tamaño de la ley 20.416 durante los primeros doce meses desde la entrada en vigencia. Es una facultad, no inmunidad: la amonestación igualmente se registra y no elimina la responsabilidad civil del artículo 47.

¿Tener un modelo de prevención certificado evita que me demanden?

No lo evita. Los artículos 48 a 53 de la Ley 21.719 regulan las acciones preventivas y el programa de cumplimiento voluntario que la Agencia certifica y supervisa, con reglamento aprobado por el Decreto Supremo N° 662 de 2025 del Ministerio de Hacienda y certificación vigente por tres años. Su valor es probatorio: acredita diligencia documentada.

¿Qué evidencia conviene conservar y por cuánto tiempo?

Solicitudes de titulares y sus respuestas, contratos de cesión y de encargo, registro de vulneraciones de seguridad, bases de licitud y evaluaciones de impacto. Dado que el artículo 47 de la Ley 21.719 fija una prescripción de cinco años contados desde la decisión ejecutoriada, las políticas de retención en Chile deben cubrir un horizonte mayor.

¿Una cesión de datos sin consentimiento puede generar responsabilidad civil?

Puede. El artículo 15 de la Ley 21.719 establece que la cesión efectuada sin consentimiento del titular, siendo este necesario, será nula y el cesionario deberá suprimir todos los datos recibidos, sin perjuicio de las responsabilidades legales que correspondan. Si además causó perjuicio, se abre la discusión del artículo 47.

Fuentes oficiales

• Ley 21.719 sobre protección y tratamiento de datos personales — texto oficial, Biblioteca del Congreso Nacional (Ley Chile)

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.