ISO 27701 y Ley 21.719: qué cubre la certificación y qué no

Si tu empresa tiene ISO/IEC 27001 o evalúa ISO/IEC 27701, la pregunta lógica frente a la Ley 21.719 es cuánto de la ley ya está resuelto. Hay que separar el sistema de gestión, que sí sirve, del certificado, al que la ley chilena no le asigna efectos. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Aquí verás qué es la norma, qué cambió en 2025, qué deberes de la ley ordena y qué certificación cuenta para la atenuante. Para el marco general, parte por el resumen de la Ley 21.719. Fuentes revisadas el 21 de octubre de 2026.

¿Qué es ISO 27701 y qué cambió en la edición 2025?

ISO/IEC 27701 es una norma internacional que fija requisitos y orientación para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la información de privacidad (PIMS, por su sigla en inglés). Está dirigida a responsables y encargados de datos personales, la elabora el subcomité ISO/IEC JTC 1/SC 27, el mismo de ISO/IEC 27001, y su texto es de pago.

La edición vigente es ISO/IEC 27701:2025, publicada en octubre de 2025, que reemplazó a la de 2019. El cambio de fondo es su autonomía: la edición 2019 se definía como una extensión de ISO/IEC 27001 e ISO/IEC 27002, para quienes tratan datos dentro de un sistema de gestión de seguridad; la de 2025, según ISO, es una norma de sistema de gestión independiente que puede usarse sola.

Si tu certificado es de la edición 2019, confirma con tu certificadora cómo y en qué plazo migrar.

¿Cómo se relaciona ISO 27701 con ISO 27001?

ISO/IEC 27001:2022 fija los requisitos de un sistema de gestión de seguridad de la información (SGSI) que, según ISO, preserva la confidencialidad, la integridad y la disponibilidad de la información mediante un proceso de gestión de riesgos. ISO/IEC 27701 apunta a otra cosa: gestionar los datos personales en línea con las leyes de privacidad.

La Ley 21.719 hace la misma distinción. La seguridad es uno de sus ocho principios (artículo 3 letra f), pero la licitud, la finalidad o la proporcionalidad exigen decidir qué datos se tratan, para qué y con qué base, y eso un SGSI no lo responde.

Donde un SGSI sí rinde es en el artículo 14 quinquies, que desde el 1 de diciembre de 2026 pedirá medidas que aseguren la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas, y menciona entre ellas «un proceso de verificación, evaluación y valoración regulares» de su eficacia. Ante un incidente de seguridad y en caso de controversia judicial o administrativa, corresponderá al responsable acreditar que sus medidas existen y funcionan, y la evidencia de un sistema de gestión ayuda. Los estándares mínimos, eso sí, los fijará la Agencia por instrucción general (artículo 14 septies). Más en las medidas de seguridad de la Ley 21.719.

¿Qué deberes de la Ley 21.719 ayuda a ordenar un sistema ISO y cuáles no?

Una norma internacional no puede conocer los plazos, las causales ni las autoridades de una ley chilena; la ficha oficial de ISO/IEC 27701 cita el RGPD como ejemplo, no la ley chilena. Un sistema de gestión aporta estructura (gestión de riesgos, mejora continua, evidencia) y el contenido legal hay que cargarlo dentro.

Cada fila necesita un dueño, un procedimiento y una evidencia, y eso un sistema de gestión lo administra bien. El contenido viene de la ley de protección de datos personales y de las instrucciones que dicte la Agencia.

¿Qué diferencia hay entre un certificado ISO y la certificación de la Agencia?

Son dos certificaciones distintas. Un certificado ISO lo emite un organismo certificador externo: ISO no certifica ni emite certificados. La certificadora puede estar acreditada por un organismo de acreditación, aunque ISO aclara que la acreditación no es requisito.

La certificación del modelo de prevención de infracciones la otorgará la Agencia de Protección de Datos Personales, a solicitud del interesado, según los artículos 49 a 53 de la ley y el Decreto 662 de Hacienda, publicado el 9 de septiembre de 2026. Certifica que el modelo «reúna los requisitos y elementos establecidos en la ley y su reglamento» (artículo 51).

La diferencia decisiva está en el artículo 36 N° 5: desde el 1 de diciembre de 2026 será atenuante haber cumplido diligentemente los deberes de dirección y supervisión, lo que «se verificará con el certificado expedido de acuerdo a lo dispuesto en el artículo 51». El considerando 6 del Decreto 662 vincula la atenuante a la adopción del modelo, pero la ley fija cómo se verifica, y un certificado ISO no es ese certificado.

El reglamento solo permite publicitar la certificación «mediante la referencia directa, pura y simple» al Registro Nacional de Sanciones y Cumplimiento (artículo 5 del reglamento). Desde el 1 de diciembre de 2026, entregar a sabiendas información falsa, incompleta o manifiestamente errónea en el proceso de registro o certificación será infracción gravísima (artículo 34 quáter letra j de la ley). Más en qué regula el Decreto 662.

El trámite aún no se puede pedir: la ley entra en vigencia el 1 de diciembre de 2026 y el decreto no fija una fecha de vigencia propia. Hay un proyecto de prórroga en primer trámite en el Senado, que no es ley. El artículo 18 del reglamento sí permite implementar el modelo antes de inscribirlo.

¿Sirve un sistema ISO para armar el modelo de prevención de infracciones?

Sí, como base, y es donde más rinde en Chile. El artículo 49 exige al menos siete elementos, que el artículo 3 del reglamento desarrolla en diez letras, y un sistema de gestión maduro puede tener avanzada parte de ellos: inventario de datos, procesos de riesgo, protocolos y reporte interno. El reglamento acepta incluso caracterizar los tratamientos «a través de un registro de actividades de tratamiento».

Ningún certificado ISO acredita lo propio de la ley chilena:

• Un delegado designado según la ley, por la máxima autoridad directiva o administrativa y con autonomía (artículo 50), cuya idoneidad debe poder demostrarse (artículo 10 del reglamento). Fuera del modelo, el delegado de protección de datos es voluntario.
• Una matriz de riesgos de infracción, con los procesos más expuestos a las infracciones de los artículos 34 bis, 34 ter y 34 quáter y la graduación de sus sanciones (artículo 3 letra e del reglamento).
• Regulación interna en los contratos de trabajo o de servicios, incluidos los máximos ejecutivos, o en el reglamento interno (artículo 49).
• Sanciones internas y un canal de denuncia ante el delegado que permita reservar la identidad de quien denuncia (artículo 3 letras h e i del reglamento).
• Mecanismos de reporte a la Agencia y, en su caso, a los titulares por vulneraciones de seguridad (artículo 14 sexies), y de autodenuncia (artículo 36 N° 4), según el artículo 49 letra f de la ley y el artículo 3 letra g del reglamento.

Los siete elementos están explicados en el modelo de prevención de infracciones.

¿Conviene certificarse en ISO 27701 si tu empresa opera en Chile?

Depende del objetivo. ISO la presenta como una forma de generar confianza con socios, clientes y reguladores y de ayudar a demostrar cumplimiento con regulaciones como el RGPD. Ante la Agencia chilena, la ley no le asigna efecto.

Tampoco basta, por sí sola, para transferir datos al extranjero: desde el 1 de diciembre de 2026, el artículo 27 letra c) admitirá un «modelo de cumplimiento o mecanismo de certificación» solo si lo adoptan tanto quien transfiere como quien recibe los datos, y si en él se establecen garantías adecuadas según el artículo 28, que exige en particular derechos exigibles y acciones legales efectivas para los titulares. Un orden razonable para una empresa grande:

1. Partir por la ley, no por la norma: inventario, bases de licitud, información del artículo 14 ter y procedimiento de derechos.
2. Usar el sistema de gestión existente como columna vertebral para los deberes de los artículos 14 quinquies, 14 sexies y 15 bis.
3. Decidir el modelo de prevención en el directorio: es voluntario y exige designar un delegado (artículo 49 letra a). Si la Agencia lo certifica, cuando el trámite opere, ese certificado será el que verifique la atenuante (artículo 36 N° 5).
4. Evaluar ISO/IEC 27701 por su valor comercial, sabiendo que el certificado que mira la ley chilena es el de la Agencia.

En grupos con varias filiales y certificaciones, ese cruce es el que trabajamos en el programa de cumplimiento de la Ley 21.719 para grandes empresas.

Preguntas frecuentes

¿Qué es ISO 27701?

ISO/IEC 27701 es una norma internacional que fija requisitos y orientación para un sistema de gestión de la información de privacidad (PIMS). Está dirigida a responsables y encargados de datos personales. Su edición vigente es ISO/IEC 27701:2025, publicada en octubre de 2025.

¿Qué cambió en ISO/IEC 27701:2025?

Es la segunda edición y reemplazó a la de 2019, ya retirada. La de 2019 era una extensión de ISO/IEC 27001 e ISO/IEC 27002; la de 2025 es una norma de sistema de gestión independiente que, según ISO, puede usarse sola.

¿La Ley 21.719 exige certificarse en ISO 27001 o ISO 27701?

No. Ni la Ley 21.719 ni el Decreto 662 mencionan normas ISO. La ley exigirá medidas de seguridad adecuadas al riesgo (artículo 14 quinquies) y encarga a la Agencia fijar estándares mínimos mediante instrucción general (artículo 14 septies).

¿Un certificado ISO 27701 acredita el cumplimiento de la ley chilena?

No por sí solo. Lo emite un organismo certificador externo sobre los requisitos de la norma, y la Ley 21.719 no le asigna efectos. Su evidencia ayuda, pero el cumplimiento se mide contra los deberes de la ley.

¿Qué certificación sirve para la atenuante del artículo 36 de la Ley 21.719?

La del modelo de prevención de infracciones que otorgará la Agencia. El artículo 36 N° 5 dice que el cumplimiento diligente de los deberes de dirección y supervisión «se verificará con el certificado» del artículo 51. Un certificado ISO no cumple esa función.

¿Puedo usar mi sistema ISO 27001 como base del modelo de prevención?

Sí. Su gestión de riesgos y su evidencia aportan al programa del artículo 49 de la Ley 21.719. Hay que agregar o adaptar los elementos propios de la ley chilena: delegado designado por la máxima autoridad directiva o administrativa, matriz de riesgos de infracción, regulación interna en los contratos y canal de denuncia con reserva de identidad.

¿Debo designar un delegado de protección de datos si estoy certificado en ISO?

La Ley 21.719 no vincula el delegado a ninguna certificación ISO. Es voluntario (el artículo 50 dice que el responsable «podrá» designarlo), salvo que la empresa adopte un modelo de prevención, cuyo programa debe incluirlo (artículo 49 letra a).

¿Cuándo se podrá certificar el modelo de prevención ante la Agencia?

No antes del 1 de diciembre de 2026, cuando entra en vigencia la Ley 21.719; ni la ley ni el Decreto 662 fijan una fecha de apertura del trámite, que además se regirá por las normas que dicte la Agencia mediante instrucción general (artículo 15 del reglamento). El artículo 18 del reglamento permite implementar el modelo antes de que la Agencia incorpore a la entidad en el registro.

Fuentes oficiales

• Ley 19.628 consolidada con las modificaciones de la Ley 21.719 (vigente desde el 1 de diciembre de 2026)
• Ley 21.719 — texto publicado, con sus disposiciones transitorias, Biblioteca del Congreso Nacional
• Decreto 662 de 2025, Ministerio de Hacienda — reglamento de los modelos de prevención de infracciones
• ISO/IEC 27701:2025 — Privacy information management systems, ficha oficial en iso.org
• ISO/IEC 27701:2019 (retirada) — ficha oficial en iso.org
• ISO/IEC 27001:2022 — Information security management systems, ficha oficial en iso.org
• ISO — Certification: quién certifica y cómo verificar un certificado

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.