Infracciones graves y gravísimas de la Ley 21.719: el catálogo completo, conducta por conducta

Casi toda la conversación sobre la Ley 21.719 en Chile empieza y termina en las multas: 5.000, 10.000, 20.000 UTM. Es la parte fácil de recordar y la menos útil. Lo que un equipo legal o de cumplimiento necesita saber antes de diciembre de 2026 no es cuánto puede costar una sanción, sino qué conducta concreta de su operación diaria cae en cada nivel del catálogo. Y ese catálogo está escrito, letra por letra, en tres artículos que rara vez se leen completos. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Los artículos 34 bis, 34 ter y 34 quater listan las infracciones leves, graves y gravísimas. Los catálogos de graves y gravísimas son listas cerradas de conductas; la única válvula de escape del sistema está en la letra f) de las leves, que recoge cualquier otro incumplimiento no calificado como grave o gravísimo. Leerlas en orden revela un diseño bastante claro, y también explica por qué varias afirmaciones que circulan en internet sobre este régimen simplemente no están en el texto.

Este artículo recorre las tres listas completas, traduce cada letra a lenguaje de negocio con un ejemplo cotidiano, marca el patrón que ordena cada nivel y corrige dos errores muy repetidos. Al final, conecta cada categoría con la sanción que le corresponde según el artículo 35.

¿Cómo clasifica la Ley 21.719 las infracciones en Chile?

La Ley 21.719 clasifica las infracciones en tres niveles según su gravedad: leves, graves y gravísimas. Así lo establece el artículo 34, y cada nivel tiene su propio catálogo de conductas en los artículos 34 bis, 34 ter y 34 quater. El artículo 33 fija la regla general: responde el responsable de datos, persona natural o jurídica, de derecho público o privado, que en sus operaciones infrinja los principios del artículo 3 y los derechos y obligaciones de la ley.

La lógica de la escala no es arbitraria. Al leer las tres listas seguidas aparece un patrón bastante nítido, y ese patrón es más útil que memorizar letras. Las leves castigan fallas de forma: no informar, no tener dónde recibir una solicitud, no responder a tiempo. Las graves castigan fallas de fondo en el tratamiento mismo: usar datos sin base de licitud, para otro fin, en exceso, desactualizados, o poner trabas al ejercicio de derechos. Las gravísimas castigan, en su mayoría, el aprovechamiento indebido: seis de sus nueve letras exigen que la conducta sea fraudulenta, maliciosa, a sabiendas o deliberada.

Esa progresión importa en la práctica porque cambia lo que la Agencia de Protección de Datos Personales tendrá que acreditar. Para una infracción grave basta el hecho: tratar datos sin fundamento. Para la mayoría de las gravísimas habrá que acreditar además un elemento subjetivo. Un mismo dato mal usado puede quedar en el nivel grave o en el gravísimo según cómo llegó ahí.

• Leves (artículo 34 bis): fallas de información, de canal de contacto, de respuesta a tiempo y de comunicación con la Agencia.
• Graves (artículo 34 ter): tratar o ceder sin base de licitud, cambiar la finalidad, tratar datos innecesarios o inexactos y obstaculizar derechos.
• Gravísimas (artículo 34 quater): seis letras con dolo o mala fe, más tres sin ese marcador: vulnerar el deber de secreto sobre datos sensibles, el tratamiento masivo de registros públicos de infracciones sin autorización legal y el incumplimiento de una resolución de la Agencia que resuelve el reclamo de un titular.

¿Qué conductas son infracciones leves según el artículo 34 bis?

El artículo 34 bis de la Ley 21.719 lista seis infracciones leves y todas giran en torno a lo mismo: la relación formal con el titular y con la Agencia. No informar, no tener un canal operativo, no responder a tiempo, no comunicar lo que la ley obliga a comunicar. Son fallas de proceso, no de criterio, y por eso admiten amonestación escrita como sanción.

Conviene no subestimarlas. En una fiscalización estas son las conductas más fáciles de acreditar, porque se prueban con una captura de pantalla o con la fecha de un correo. Casi siempre son también las primeras que aparecen, y suelen convivir con problemas de fondo más serios.

Estas son las seis letras, traducidas a la operación diaria:

• Letra a) — No informar. Incumplir total o parcialmente el deber de información y transparencia del artículo 14 ter. Ejemplo: un formulario de contacto que pide RUT, teléfono y correo sin decir para qué se usarán ni por cuánto tiempo se conservarán.
• Letra b) — No tener dónde recibir solicitudes. Carecer de la individualización del domicilio postal, correo electrónico o medio electrónico equivalente, actualizado y operativo, por el cual los titulares puedan comunicarse o ejercer sus derechos. Ejemplo: la política de privacidad publica un correo que rebota porque la persona a cargo salió de la empresa hace un año.
• Letra c) — Responder mal o tarde. Omitir la respuesta, responder en forma incompleta o fuera de plazo las solicitudes formuladas por el titular conforme a esta ley. Ejemplo: una solicitud de acceso contestada al día 45, cuando el artículo 11 exige acusar recibo y pronunciarse dentro de 30 días corridos, prorrogables una sola vez por otros 30 días corridos.
• Letra d) — No comunicar a la Agencia. Omitir el envío a la Agencia de las comunicaciones previstas obligatoriamente en la ley o sus reglamentos. Ejemplo: dejar sin remitir un aviso que la normativa obliga a enviar y que quedó pendiente en la bandeja de alguien.
• Letra e) — Ignorar instrucciones generales. Incumplir las instrucciones generales impartidas por la Agencia, en los casos en que ese incumplimiento no esté sancionado como infracción grave o gravísima. Ejemplo: no ajustar los textos de consentimiento a un criterio general publicado por la Agencia.
• Letra f) — La cláusula de cierre. Cometer cualquier otra infracción a los derechos y obligaciones de la ley que no sea calificada como grave o gravísima. Es la única puerta abierta del sistema: todo incumplimiento que no encaje en 34 ter ni en 34 quater aterriza aquí como leve.

¿Cuáles son las infracciones graves del artículo 34 ter?

Las infracciones graves de la Ley 21.719 están en el artículo 34 ter y atacan el corazón del tratamiento: hacerlo sin base de licitud, desviarlo a otra finalidad, tratar más datos de los necesarios, tratar datos incorrectos y poner trabas a los derechos del titular. Ocho letras, ningún adverbio de intención. Se configuran con el hecho.

Ese punto es el que más cambia la conversación interna en una empresa chilena. No hay que acreditar mala fe para que una conducta quede en el nivel grave: si un área de marketing usa una base recolectada para facturación, la infracción puede configurarse aunque nadie haya querido infringir nada. La diligencia y la buena fe podrán pesar después, al graduar la multa conforme a los criterios del artículo 37, pero no evitan la calificación.

El catálogo, letra por letra:

• Letra a) — Tratar sin base de licitud o cambiar la finalidad. Tratar datos personales sin contar con el consentimiento del titular o sin un antecedente o fundamento legal que otorgue licitud al tratamiento, o tratarlos con una finalidad distinta de aquella para la cual fueron recolectados. Ejemplo: usar la base de clientes creada para emitir boletas en una campaña de marketing.
• Letra b) — Ceder sin autorización. Comunicar o ceder datos personales sin el consentimiento del titular en los casos en que dicho consentimiento sea necesario, o comunicarlos o cederlos para un fin distinto del autorizado. Ejemplo: compartir la base de correos con un socio comercial que la usará para su propia prospección.
• Letra c) — Pedir de más. Efectuar tratamiento de datos personales innecesarios en relación con los fines del tratamiento, vulnerando el literal c) del artículo 3. Ejemplo: exigir estado civil, profesión y número de cargas familiares para suscribirse a un boletín.
• Letra d) — Trabajar con datos incorrectos. Tratar datos personales inexactos, incompletos o desactualizados en relación con los fines del tratamiento, salvo que la actualización corresponda al titular en virtud de la ley o del contrato. Ejemplo: mantener una deuda ya pagada en un registro interno que alimenta decisiones comerciales.
• Letra e) — Poner trabas a los derechos. Impedir u obstaculizar el ejercicio legítimo de los derechos de acceso, rectificación, supresión, oposición o portabilidad del titular. Ejemplo: exigir que el titular se presente en una sucursal con documentos que la ley no pide, para ejercer algo que podría resolverse por correo.
• Letra f) — Fallar en el bloqueo temporal. Omitir la respuesta, responder tardíamente o denegar la petición sin causa justificada, en los casos de solicitudes fundadas de bloqueo temporal del tratamiento. Ejemplo: dejar sin atender una petición de bloqueo mientras el dato cuestionado sigue circulando por los sistemas.
• Letra g) — Datos de niños, niñas y adolescentes. Realizar tratamiento de datos personales de niños, niñas y adolescentes con infracción a las normas de esta ley. Ejemplo: una plataforma educativa que recoge y perfila datos de menores sin cumplir las reglas que la ley les reserva.
• Letra h) — Entidades sin fines de lucro. Realizar tratamiento de datos personales sin cumplir los requisitos establecidos para las personas jurídicas de derecho privado sin fines de lucro. El texto legal continúa con las condiciones específicas de ese supuesto, así que conviene leerlo directamente antes de aplicarlo a un caso concreto.

¿Qué conductas son infracciones gravísimas según el artículo 34 quater?

Las infracciones gravísimas de la Ley 21.719 están en el artículo 34 quater y su rasgo distintivo es el dolo. Seis de sus nueve letras incorporan expresamente un marcador de intención en el texto legal: fraudulenta, maliciosamente, a sabiendas o deliberada. No es un detalle de redacción, es el elemento que separa a una empresa desordenada de una empresa que se aprovechó, y es probablemente el matiz peor explicado de todo el régimen sancionatorio chileno.

Las tres letras que no llevan ese marcador se explican por la gravedad intrínseca de la conducta: vulnerar el deber de secreto o confidencialidad sobre datos sensibles y sobre datos relativos a infracciones penales, civiles, administrativas y disciplinarias; el tratamiento masivo de registros electrónicos de infracciones que llevan los organismos públicos sin autorización legal; y el incumplimiento de una resolución de la Agencia que resuelve el reclamo de un titular sobre el ejercicio de sus derechos.

El catálogo completo:

• Letra a) — Tratamiento fraudulento. Efectuar tratamiento de datos personales en forma fraudulenta. Ejemplo: construir una base de datos con información obtenida mediante engaño sobre el propósito real de la recolección.
• Letra b) — Desvío malicioso de finalidad. Destinar maliciosamente los datos personales a una finalidad distinta de la consentida por el titular o prevista en la ley que autoriza su tratamiento. Ejemplo: reutilizar a propósito datos de un proceso de postulación laboral para armar un perfil comercial y venderlo.
• Letra c) — Ceder información falsa a sabiendas. Comunicar o ceder, a sabiendas, información no veraz, incompleta, inexacta o desactualizada sobre el titular de datos. Ejemplo: reportar a un tercero un antecedente que la empresa ya sabe corregido.
• Letra d) — Romper el secreto sobre datos sensibles. Vulnerar el deber de secreto o confidencialidad sobre datos personales sensibles y datos relativos a la comisión y sanción de infracciones penales, civiles, administrativas y disciplinarias. Ejemplo: divulgar internamente la licencia médica o el historial disciplinario de un trabajador.
• Letra e) — Tratar datos sensibles o de menores a sabiendas y en contravención. Tratar, comunicar o ceder, a sabiendas, datos personales sensibles o datos de niños, niñas y adolescentes, en contravención a las normas de esta ley. Ejemplo: segmentar publicidad con datos de salud sabiendo que no existe base legal para hacerlo.
• Letra f) — Callar deliberadamente una vulneración de seguridad. Omitir en forma deliberada la comunicación de las vulneraciones a las medidas de seguridad que puedan afectar la confidencialidad, disponibilidad o integridad de los datos personales. Ejemplo: detectar una filtración y decidir no informarla para evitar el costo reputacional.
• Letra g) — Tratamiento masivo de registros de infracciones. Efectuar tratamiento masivo de datos personales contenidos en registros electrónicos de infracciones penales, civiles, administrativas y disciplinarias que llevan los organismos públicos, sin contar con autorización legal. Ejemplo: extraer y consolidar registros públicos de sanciones para vender un servicio de puntaje reputacional.
• Letra h) — Transferencia internacional a sabiendas. Realizar, a sabiendas, operaciones de transferencia internacional de datos en contravención a las normas de esta ley. Ejemplo: migrar una base a un proveedor extranjero sabiendo que no se cumplen las condiciones exigidas.
• Letra i) — Desobedecer una resolución de la Agencia. Incumplir una resolución de la Agencia que resuelve la reclamación de un titular sobre el ejercicio de sus derechos. El texto legal continúa precisando este supuesto, de modo que conviene revisarlo directamente. Ejemplo: la Agencia ordena suprimir un dato tras un reclamo y el dato sigue ahí meses después.

¿Qué dos cosas se afirman mal sobre las infracciones gravísimas?

Dos afirmaciones circulan con frecuencia y ninguna está en el texto de la Ley 21.719. La primera es que reincidir en infracciones graves convierte la conducta en gravísima. La segunda es que obstruir una fiscalización de la Agencia es una infracción gravísima. Ninguna figura en el catálogo del artículo 34 quater, que es una lista cerrada de nueve letras.

Sobre la reincidencia, la ubicación correcta es otra. El artículo 36 de la Ley 21.719 la trata como circunstancia agravante y la define con precisión: existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley. El efecto es sobre el monto, no sobre la calificación. Cuando concurre esa reincidencia, la ley permite aplicar una multa de hasta tres veces el monto correspondiente; y si el infractor no es empresa de menor tamaño de la ley N° 20.416 y además reincide en infracción grave o gravísima —dos condiciones que deben darse juntas—, la multa podrá alcanzar la más gravosa entre el triple o el 2% de los ingresos anuales por ventas y servicios del último año calendario tratándose de infracciones graves, y el 4% tratándose de gravísimas.

La distinción no es académica. Una infracción grave reiterada sigue siendo grave: se sanciona dentro del régimen de las graves, agravado. No habilita por sí sola la sanción accesoria de suspensión del artículo 38, que exige multas por infracciones gravísimas reiteradas en un período de veinticuatro meses.

Sobre la obstrucción de una fiscalización, lo que sí existe es otra cosa. El artículo 34 bis letra e) sanciona como leve el incumplimiento de las instrucciones generales de la Agencia cuando no esté sancionado como grave o gravísimo, y el artículo 34 quater letra i) sanciona como gravísimo el incumplimiento de una resolución de la Agencia que resuelve la reclamación de un titular. Son supuestos distintos de obstruir una fiscalización, y conviene no citarlos como si fueran lo mismo.

• La reincidencia está tratada en el artículo 36 como agravante, no en el artículo 34 quater como infracción.
• Reincidir agrava el monto de la multa; no reclasifica la conducta a un nivel superior.
• La obstrucción de una fiscalización no aparece en el catálogo de gravísimas del artículo 34 quater.
• Incumplir una resolución que resuelve un reclamo del titular sí es gravísimo, por la letra i).

¿Qué sanción corresponde a cada nivel de infracción?

El artículo 35 de la Ley 21.719 conecta cada nivel con su sanción: las infracciones leves se castigan con amonestación escrita o multa de hasta 5.000 UTM; las graves con multa de hasta 10.000 UTM; y las gravísimas con multa de hasta 20.000 UTM. Son topes, no montos fijos, y ese matiz es el que suele perderse en los titulares.

El mismo artículo agrega una consecuencia práctica que se comenta poco: junto con la sanción, la Agencia señalará las medidas necesarias para subsanar la infracción, que deben adoptarse en un plazo no mayor a 60 días. Si no se adoptan, se aplica un recargo de 50% a la multa. Es decir, la sanción no termina con el pago.

Para llegar al monto concreto, el artículo 37 obliga a la Agencia a aplicar prudencialmente ocho criterios: la gravedad de la conducta; la falta de diligencia o cuidado, en los casos en que ese elemento no se considere en la configuración de la infracción; el perjuicio producido, especialmente el número de titulares afectados; el beneficio económico obtenido, si lo hubiese; si el tratamiento incluye datos sensibles o datos de niños, niñas y adolescentes; la capacidad económica del infractor; las sanciones aplicadas con anterioridad por la Agencia en las mismas circunstancias; y las atenuantes y agravantes que concurran. El mismo artículo fija las reglas de concurso y ordena pagar la multa en la Tesorería General de la República dentro de diez días hábiles contados desde que la resolución quede firme.

Del lado favorable, el artículo 36 reconoce cinco atenuantes: las acciones unilaterales de reparación y los acuerdos reparatorios con los titulares afectados, la colaboración en la investigación administrativa de la Agencia, la ausencia de sanciones previas, la autodenuncia acompañada de las medidas de cese o mitigación adoptadas, y haber cumplido diligentemente los deberes de dirección y supervisión, lo que se verifica con el certificado expedido conforme al artículo 51. Esta última es la única atenuante que se construye antes del incidente, no después.

Más allá de la multa hay dos efectos que conviene tener en el radar. El artículo 38 contempla una sola sanción accesoria: cuando se impongan multas por infracciones gravísimas reiteradas en un período de veinticuatro meses, la Agencia podrá disponer la suspensión de las operaciones y actividades de tratamiento hasta por treinta días. Esa suspensión no afecta el almacenamiento de datos, puede ser parcial o total, no podrá decretarse cuando con ella se afecten los derechos de los titulares, y podrá prorrogarse por períodos sucesivos de máximo treinta días mientras no se cumpla lo ordenado. Y el artículo 39 crea un Registro Nacional de Sanciones y Cumplimiento, público, gratuito y electrónico, donde las anotaciones son de acceso público por cinco años desde que se practicaron y donde también se consigna a quienes adoptan modelos certificados de prevención vigentes.

En el sector público chileno la escala de conductas es la misma pero la sanción cambia por completo. El artículo 44 dispone que las infracciones en que puedan incurrir los órganos públicos se tipifican en los artículos 34 bis, 34 ter y 34 quater, y se sancionan con multa de veinte por ciento a cincuenta por ciento de la remuneración mensual del jefe superior del órgano infractor. No es una multa en UTM contra el presupuesto institucional: recae sobre una persona.

Por último, el tiempo también corre. El artículo 40 establece que las acciones para perseguir la responsabilidad prescriben en cuatro años contados desde la ocurrencia del hecho que originó la infracción, y desde el cese en las infracciones continuadas; la prescripción se interrumpe con la notificación del inicio del procedimiento administrativo. Las sanciones ya impuestas prescriben en tres años desde que la resolución queda ejecutoriada. No debe confundirse con la responsabilidad civil del artículo 47, que permite reclamar el daño patrimonial y extrapatrimonial una vez ejecutoriada la resolución favorable de la Agencia o firme la sentencia, con una prescripción de cinco años contados desde ese momento.

• Leves: amonestación escrita o multa de hasta 5.000 UTM.
• Graves: multa de hasta 10.000 UTM.
• Gravísimas: multa de hasta 20.000 UTM.
• Recargo de 50% a la multa si no se adoptan las medidas de subsanación dentro de 60 días.
• Órganos públicos: multa de 20% a 50% de la remuneración mensual del jefe superior (artículo 44).

Preguntas frecuentes

¿Desde cuándo se pueden sancionar las infracciones de la Ley 21.719?

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, según su artículo primero transitorio. Hasta esa fecha el catálogo de los artículos 34 bis, 34 ter y 34 quater no está vigente y no puede aplicarse a las conductas. El tiempo previo es plazo de preparación, no de exposición sancionatoria.

¿Cuál es la diferencia real entre una infracción grave y una gravísima?

En Chile la diferencia central es el elemento subjetivo. Las infracciones graves del artículo 34 ter se configuran con el incumplimiento objetivo, como tratar datos sin base de licitud. Las gravísimas del artículo 34 quater exigen, en seis de sus nueve letras, un marcador de intención: conducta fraudulenta, maliciosa, a sabiendas o deliberada.

¿Cuánto es la multa máxima por una infracción gravísima?

El artículo 35 de la Ley 21.719 fija multas de hasta 20.000 UTM para las infracciones gravísimas. Si además el infractor reincide en infracción gravísima y no es empresa de menor tamaño de la ley N° 20.416 —ambas condiciones juntas—, la multa podrá alcanzar el monto más gravoso entre el triple o el 4% de sus ingresos anuales por ventas y servicios.

¿La reincidencia en infracciones graves es una infracción gravísima?

No. La reincidencia no figura en el catálogo de infracciones gravísimas del artículo 34 quater de la Ley 21.719: es una circunstancia agravante del artículo 36, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley. Agrava la multa, pero no reclasifica la conducta.

¿Obstruir una fiscalización es una infracción gravísima?

No figura como tal en la Ley 21.719. El catálogo del artículo 34 quater no incluye la obstrucción de una fiscalización. Lo que sí contempla la ley es incumplir las instrucciones generales de la Agencia como infracción leve, e incumplir una resolución que resuelve la reclamación de un titular como infracción gravísima.

¿Responder tarde una solicitud del titular es leve o grave?

Depende de qué solicitud sea. Omitir la respuesta, responder en forma incompleta o fuera de plazo una solicitud del titular es infracción leve conforme al artículo 34 bis letra c). Hacer lo mismo, o denegar sin causa justificada, frente a una solicitud fundada de bloqueo temporal del tratamiento es infracción grave según el artículo 34 ter letra f).

¿Qué pasa si una empresa comete varias infracciones a la vez?

El artículo 37 de la Ley 21.719 distingue dos situaciones. Si una misma conducta da origen a dos o más infracciones, o una es medio para cometer otra, se impone una sola multa considerando la sanción de la infracción más grave. Si se verifican dos o más conductas infraccionales independientes entre sí, las sanciones de cada una se acumulan.

¿Pueden suspender las operaciones de tratamiento de mi empresa?

Sí, pero en un escenario acotado. El artículo 38 de la Ley 21.719 permite a la Agencia suspender las operaciones de tratamiento hasta por treinta días cuando se imponen multas por infracciones gravísimas reiteradas en veinticuatro meses. La suspensión no afecta el almacenamiento, puede ser parcial o total y no podrá decretarse cuando con ella se afecten los derechos de los titulares.

¿Las empresas de menor tamaño tienen un régimen distinto?

Tienen una ventana transitoria, no inmunidad. Según el artículo sexto transitorio de la Ley 21.719, durante los primeros doce meses de vigencia la Agencia podrá aplicar una amonestación por escrito cuando proceda sancionar a empresas de menor tamaño de la ley N° 20.416. Es una facultad, y la amonestación igualmente se registra conforme al artículo 39.

¿Cómo se sancionan estas infracciones en el sector público chileno?

Los órganos públicos responden por las mismas conductas tipificadas en los artículos 34 bis, 34 ter y 34 quater, pero el artículo 44 cambia la sanción: multa de veinte a cincuenta por ciento de la remuneración mensual del jefe superior del órgano infractor, y no una multa en UTM contra el presupuesto institucional.

Fuentes oficiales

• Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.