Ley 21.719 y órganos públicos: qué exige el Título IV a municipalidades, ministerios y servicios del Estado

La conversación pública sobre la Ley 21.719 se ha concentrado casi por completo en las empresas: el consentimiento, las multas en UTM, los programas de cumplimiento. El sector público quedó fuera de foco, y eso es un problema, porque el Título IV de la ley construye para los órganos del Estado un régimen propio, con reglas específicas de licitud, principios adicionales, condiciones para compartir datos entre organismos y un modelo de responsabilidad distinto del que rige a los privados. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Este artículo explica ese régimen tal como está escrito en el texto de la ley, con los artículos citados en la misma frase que la afirmación. Está pensado para jefaturas jurídicas municipales, ministerios, servicios públicos, auditoría interna y encargados de transparencia, que son quienes tendrán que traducir estas reglas en procedimientos concretos antes del 1 de diciembre de 2026, fecha en que la ley entra en vigencia según su artículo primero transitorio.

¿Cómo aplica la Ley 21.719 a los órganos públicos?

La Ley 21.719 aplica a los órganos públicos de Chile a través de su Título IV. El artículo 20 establece la regla general: es lícito el tratamiento de datos personales que efectúan los órganos públicos cuando se realiza para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias, conforme a la ley y a ese Título. En esas condiciones, el órgano actúa como responsable de datos y no requiere el consentimiento del titular.

Esa es la diferencia más importante con el sector privado, y conviene entenderla bien porque cambia el trabajo de implementación. Una empresa parte preguntándose qué base de licitud sostiene cada tratamiento y, con frecuencia, termina en el consentimiento. Una municipalidad o un servicio público parte de otro lugar: la pregunta no es si el vecino autorizó, sino si el tratamiento cae dentro de la función legal que la ley entrega al organismo. Si un municipio recolecta datos para otorgar una subvención, para fiscalizar patentes o para administrar un registro social, el título habilitante es su competencia legal, no una casilla marcada.

Conforme al artículo 20, la licitud supone que concurran tres elementos:

Que exista una función legal del órgano que justifique el tratamiento; que el tratamiento se ejecute dentro del ámbito de sus competencias; y que se realice conforme a la ley y a las disposiciones del Título IV.

Cuidado con la lectura fácil. No requerir consentimiento no significa tratar datos sin límites. Los principios del artículo 3 —licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad— siguen rigiendo, y así lo confirma el artículo 21. Los derechos del titular también se mantienen: el responsable debe acusar recibo y pronunciarse dentro de 30 días corridos, prorrogables una sola vez por 30 días corridos más, según el artículo 11. Un órgano público que trata datos fuera de su competencia, o que los usa para una finalidad distinta de aquella para la cual fueron recolectados, infringe la ley igual que cualquier empresa: el artículo 33 alcanza expresamente al responsable de derecho público o privado.

¿Qué principios adicionales debe cumplir un órgano público?

El artículo 21 de la Ley 21.719 dispone que el tratamiento de datos por órganos públicos se rige por los principios del artículo 3 y, además, por los principios generales de la Administración del Estado, especialmente los de coordinación, probidad y eficiencia. Es un piso más exigente que el del sector privado, y con consecuencias operativas concretas para cualquier organismo chileno.

Los tres principios adicionales se traducen así:

Por el principio de coordinación, los organismos deben alcanzar un alto grado de interoperabilidad y coherencia, para evitar contradicciones en la información almacenada y la reiteración de requerimientos de información o documentos a los titulares. Por el principio de eficiencia se debe evitar la duplicación de procedimientos y trámites entre organismos, y entre estos y los titulares. El principio de probidad, propio del estatuto del servidor público, atraviesa todo el manejo de datos personales y reaparece más adelante en el régimen de responsabilidad de los artículos 45 y 46.

Traducido a la práctica: la Ley 21.719 convierte en deber jurídico algo que hasta ahora se planteaba como una aspiración de modernización del Estado. Si un servicio ya cuenta con un documento o antecedente del ciudadano, volver a pedírselo en ventanilla deja de ser una simple molestia administrativa y entra en tensión con los principios de coordinación y eficiencia que impone el artículo 21. Lo mismo ocurre cuando dos unidades del mismo organismo mantienen versiones distintas del mismo dato: la coherencia de la información almacenada es una exigencia legal, no solo una buena práctica.

El artículo 21 agrega que a los órganos públicos les son aplicables, entre otras, las disposiciones de los artículos 2, 14, 14 bis, 14 ter, 14 quáter, 14 quinquies, 14 sexies y 15 bis. Es decir, obligaciones sustantivas del régimen general —incluidos el deber de información y transparencia y la comunicación de vulneraciones a las medidas de seguridad— también recaen sobre el sector público. Sobre las brechas conviene precisar un punto donde suele importarse mal el estándar europeo: la ley chilena no fija un plazo de 72 horas, sino que exige comunicar sin dilaciones indebidas y por los medios más expeditos posibles, conforme al artículo 14 sexies.

¿Puede una municipalidad ceder datos a otro servicio público?

Sí, y el artículo 22 de la Ley 21.719 lo regula expresamente. Los órganos públicos están facultados para comunicar o ceder datos personales específicos, o todo o parte de sus bases de datos, a otros órganos públicos, siempre que la cesión resulte necesaria para el cumplimiento de sus funciones legales y que ambos organismos actúen dentro del ámbito de sus competencias.

La facultad viene con candados. El artículo 22 impone condiciones que conviene dejar escritas en cualquier convenio de intercambio de información:

Primero, la cesión debe ser necesaria para el cumplimiento de las funciones legales. Segundo, ambos organismos deben actuar dentro del ámbito de sus competencias. Tercero, la cesión debe realizarse para un tratamiento específico, no como una entrega abierta o permanente sin propósito definido. Cuarto, el órgano receptor no podrá usar los datos para otros fines. Y quinto, el receptor solo puede conservar los datos por el tiempo necesario para el tratamiento específico para el cual fueron requeridos, luego de lo cual deberán ser suprimidos o anonimizados.

El mismo artículo 22 habilita además la cesión entre organismos públicos cuando se requiera exclusivamente para un tratamiento cuya finalidad sea otorgar beneficios al titular, evitar duplicidad de trámites o la reiteración de requerimientos de información. Esta hipótesis es la contracara operativa de los principios de coordinación y eficiencia del artículo 21: la ley permite compartir datos para simplificarle la vida al ciudadano y, al mismo tiempo, empuja en esa dirección.

El punto que suele quedar más descuidado en las implementaciones es el último. Es frecuente que los convenios de interoperabilidad definan bien qué se entrega y para qué, pero digan poco sobre qué ocurre después. La Ley 21.719 exige que el organismo receptor suprima o anonimice los datos cuando termina el tratamiento específico que justificó la cesión. Eso obliga a fijar plazos de conservación por convenio y a dejar evidencia de la supresión, una capa que muchos flujos de intercambio entre organismos todavía no tienen resuelta.

¿Qué tratamientos del Estado quedan bajo un régimen especial?

El artículo 24 de la Ley 21.719 define cuatro materias en las que el tratamiento, comunicación o cesión de datos personales sensibles realizado por los órganos públicos competentes queda sujeto exclusivamente al régimen especial que ese mismo artículo establece. Son ámbitos donde el legislador chileno reconoció que las reglas generales no calzan con la función.

Las cuatro materias del artículo 24 son:

a) Fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluidas las actividades de protección y prevención frente a amenazas y riesgos contra la seguridad pública, la protección a víctimas y testigos, el análisis criminal y la reportabilidad de la información criminal; respecto de estos datos, la ley señala que no se aplica el artículo 25. b) Materias relacionadas directamente con la seguridad de la Nación, la defensa nacional y la política exterior del país. c) Tratamientos con el objeto exclusivo de atender una situación de emergencia o catástrofe declarada conforme a la ley, y solo mientras permanezca vigente esa declaración. d) Tratamientos protegidos por normas de secreto, reserva o confidencialidad establecidas en sus respectivas leyes.

Sobre la letra d) hay una precisión relevante: comprende también los datos que, en cumplimiento de una obligación legal, los órganos públicos deban ceder a otro órgano público o a terceros, caso en el cual el receptor deberá tratarlos manteniendo la misma obligación de secreto, reserva o confidencialidad. La reserva viaja con el dato; no se diluye al cambiar de manos.

Vale la pena decirlo con claridad, porque circula con frecuencia una lectura errada: régimen especial no significa exclusión de la Ley 21.719. Los organismos que operan en estas materias siguen dentro del sistema; lo que cambia es la regla aplicable a esos tratamientos concretos, y solo respecto de datos personales sensibles en las materias señaladas. Una policía, una fiscalía o una unidad de emergencia no queda fuera de la ley por el hecho de serlo: sus demás tratamientos —recursos humanos, atención de público, sistemas administrativos— se rigen por las reglas comunes del Título IV. Y en el caso de la letra c), el régimen especial vive y muere con la declaración de emergencia o catástrofe: cuando esa declaración deja de estar vigente, también deja de aplicarse.

¿Quién responde y cuánto se paga si un órgano público infringe la ley?

Aquí está el dato más llamativo de todo el Título IV. El artículo 44 dispone que las infracciones en que puedan incurrir los órganos públicos se tipifican en los artículos 34 bis, 34 ter y 34 quáter —el mismo catálogo de infracciones leves, graves y gravísimas que rige para el sector privado— pero serán sancionadas con multa de veinte por ciento a cincuenta por ciento de la remuneración mensual del jefe superior del órgano público infractor.

Conviene subrayar lo que eso significa, porque varias lecturas circulantes trasladan al sector público las multas en UTM del artículo 35 y no es así. En un órgano público de Chile la multa del artículo 44 no se expresa en UTM ni se calcula sobre ingresos: recae sobre la remuneración mensual de una persona natural, el jefe superior del servicio. La cuantía se determina considerando la gravedad de la infracción, la naturaleza de los datos tratados y el número de titulares afectados, además de las circunstancias atenuantes y agravantes.

El mismo artículo 44 establece el deber que sostiene esa responsabilidad: el jefe superior debe velar por que el órgano realice sus operaciones de tratamiento con arreglo a los principios, derechos y obligaciones del Título IV. Y agrega que los órganos públicos deberán someterse a las medidas para subsanar o prevenir infracciones que indique la Agencia de Protección de Datos Personales, o a los programas de cumplimiento o de prevención de infracciones del artículo 49.

La cadena de responsabilidad no termina ahí. El artículo 45 dispone que, si en el procedimiento se determina que existen responsabilidades individuales de uno o más funcionarios, la Contraloría General de la República, a petición de la Agencia, iniciará una investigación sumaria para determinarlas, o lo hará en el procedimiento ya iniciado. Las sanciones a los funcionarios se determinan conforme al Estatuto Administrativo. Y si el procedimiento establece que un funcionario es responsable de alguna de las infracciones gravísimas del artículo 34 quáter, esa conducta se considerará una contravención grave a la probidad administrativa.

El artículo 46 cierra el círculo con el deber de reserva. Los funcionarios que traten datos personales, especialmente datos sensibles o datos relativos a la comisión y sanción de infracciones penales, civiles, administrativas y disciplinarias, deben guardar secreto o confidencialidad sobre la información que conozcan en el ejercicio de sus cargos y abstenerse de usarla con una finalidad distinta de las funciones legales del órgano, o en beneficio propio o de terceros. Las infracciones a esa disposición se estimará que vulneran gravemente el principio de probidad administrativa.

Dos precisiones sobre el catálogo, porque se repiten mal con frecuencia. La reincidencia en infracciones graves no figura como infracción gravísima en el artículo 34 quáter: es una circunstancia agravante del artículo 36, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley. Y entre las conductas gravísimas del artículo 34 quáter hay una escrita pensando directamente en el Estado: efectuar tratamiento masivo de datos personales contenidos en registros electrónicos de infracciones penales, civiles, administrativas y disciplinarias que llevan los organismos públicos, sin contar con autorización legal.

Conviene tener presente, además, la regla general de prescripción del artículo 40: las acciones para perseguir la responsabilidad por las infracciones de la ley prescriben en cuatro años contados desde la ocurrencia del hecho que originó la infracción —y en las infracciones continuadas, desde el día en que la infracción haya cesado—, mientras que las sanciones impuestas prescriben en tres años desde que la resolución que las impone queda ejecutoriada. La prescripción se interrumpe con la notificación del inicio del procedimiento administrativo.

¿Qué régimen tienen el Congreso, el Poder Judicial y los órganos autónomos?

Los artículos 54 y 55 de la Ley 21.719 establecen un régimen aparte para un grupo acotado de instituciones: el Congreso Nacional, el Poder Judicial, la Contraloría General de la República, el Ministerio Público, el Tribunal Constitucional, el Banco Central, el Servicio Electoral y la Justicia Electoral, además de los demás tribunales especiales creados por ley.

El artículo 54 declara lícito el tratamiento que estas instituciones efectúan cuando se realiza para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias, conforme a las normas especiales de sus respectivas leyes orgánicas y a las disposiciones del Título IV aplicables a los órganos públicos. La excepción es acotada y precisa: quedan fuera el artículo 14 quinquies y los artículos 44 a 46 en lo referido a la intervención de la Contraloría en la determinación de la responsabilidad administrativa. Sus funcionarios deberán guardar secreto, y estas instituciones tienen la calidad de responsables de datos y no requieren el consentimiento del titular.

El artículo 55 regula cómo se ejercen los derechos frente a ellas. Los titulares los ejercen de acuerdo a procedimientos racionales y justos, y ante los organismos que cada institución disponga. Y establece una vía de reclamo distinta:

Si la Contraloría General de la República, el Ministerio Público, el Banco Central o el Servicio Electoral deniegan injustificada o arbitrariamente el ejercicio de un derecho, o infringen algún principio del artículo 3 o algún deber de la ley causando perjuicio, el titular podrá reclamar ante la Corte de Apelaciones conforme al procedimiento del artículo 43.

La consecuencia práctica para estas instituciones es que la implementación no consiste en esperar instrucciones. Como el artículo 54 excluye a su respecto la intervención de la Contraloría en la determinación de la responsabilidad administrativa, y el artículo 55 remite el ejercicio de derechos a los procedimientos que cada una disponga, tendrán que definir por sí mismas esos procedimientos internos y dejarlos publicados y operativos antes del 1 de diciembre de 2026.

Preguntas frecuentes

¿Una municipalidad necesita el consentimiento de los vecinos para tratar sus datos?

No, cuando el tratamiento se realiza para cumplir sus funciones legales dentro del ámbito de sus competencias. El artículo 20 de la Ley 21.719 declara lícito ese tratamiento y dispone que el órgano público actúa como responsable de datos sin requerir el consentimiento del titular. Los demás deberes de la ley siguen plenamente vigentes.

¿Desde cuándo rige la Ley 21.719 para los órganos públicos de Chile?

Desde el 1 de diciembre de 2026, según el artículo primero transitorio. La ley fue publicada en el Diario Oficial el 13 de diciembre de 2024, pero su vigencia quedó diferida. A agosto de 2026 aún no rige, de modo que los órganos públicos están dentro del período de preparación, no de cumplimiento exigible.

¿Puede un servicio público entregar su base de datos completa a otro organismo?

Sí. El artículo 22 de la Ley 21.719 faculta a los órganos públicos para ceder datos específicos o todo o parte de sus bases a otros órganos públicos, siempre que resulte necesario para el cumplimiento de sus funciones legales, que ambos actúen dentro de sus competencias y que la cesión se realice para un tratamiento específico.

¿Qué debe hacer el organismo receptor cuando termina el tratamiento?

Suprimir o anonimizar los datos. El artículo 22 de la Ley 21.719 permite al órgano receptor conservarlos solo por el tiempo necesario para el tratamiento específico para el cual fueron requeridos, y le prohíbe usarlos para otros fines. Conviene fijar ese plazo por escrito en cada convenio de intercambio de información.

¿La multa la paga el órgano público o el jefe superior?

El artículo 44 de la Ley 21.719 dispone que las infracciones de los órganos públicos se sancionan con multa de veinte por ciento a cincuenta por ciento de la remuneración mensual del jefe superior del órgano infractor. No se aplican ahí las multas en UTM del artículo 35, previstas para el régimen general de responsabilidad.

¿Qué pasa si un funcionario usa datos personales en beneficio propio?

El artículo 46 de la Ley 21.719 obliga a los funcionarios a guardar secreto y a abstenerse de usar los datos con una finalidad distinta de las funciones legales del órgano o en beneficio propio o de terceros. La infracción se estimará que vulnera gravemente el principio de probidad administrativa, con las consecuencias del Estatuto Administrativo.

¿Quién investiga la responsabilidad individual de los funcionarios?

La Contraloría General de la República. El artículo 45 de la Ley 21.719 dispone que, a petición de la Agencia, iniciará una investigación sumaria para determinar responsabilidades individuales, o lo hará en el procedimiento ya iniciado. Si un funcionario resulta responsable de una infracción gravísima del artículo 34 quáter, hay contravención grave a la probidad administrativa.

¿Las policías, las fiscalías y Defensa quedan excluidas de la Ley 21.719?

No quedan excluidas. El artículo 24 sujeta a un régimen especial ciertos tratamientos de datos sensibles: persecución penal y seguridad pública, seguridad de la Nación y defensa, emergencia o catástrofe declarada, y datos protegidos por secreto o reserva legal. Sus demás tratamientos se rigen por las reglas comunes del Título IV.

¿La reincidencia en infracciones graves es una infracción gravísima?

No. Es un error frecuente. La reincidencia no figura en el catálogo de infracciones gravísimas del artículo 34 quáter de la Ley 21.719: es una circunstancia agravante del artículo 36, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley.

¿En cuánto tiempo debe responder un órgano público una solicitud del titular?

El artículo 11 de la Ley 21.719 exige acusar recibo y pronunciarse dentro de 30 días corridos, prorrogables una sola vez por 30 días corridos más. Son días corridos, no hábiles: es una confusión habitual que puede dejar fuera de plazo a un organismo que planificó su procedimiento contando días hábiles.

Fuentes oficiales

• Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.