Prescripción de infracciones de la Ley 21.719: cuatro años, tres años y cinco años

Casi todo lo que aparece en buscadores sobre prescripción de infracciones administrativas está escrito para otros ordenamientos, donde los plazos se gradúan según la gravedad de la conducta. Ese esquema no aplica en Chile. La Ley 21.719 tiene su propia regla, concentrada en el artículo 40, y funciona con una lógica distinta: un solo plazo para perseguir cualquier infracción, sea leve, grave o gravísima, y un plazo separado para las sanciones ya impuestas. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La confusión no es menor. De esos plazos depende cuánto tiempo tu organización queda expuesta a un procedimiento sancionatorio, hasta cuándo puede hacerse efectiva una multa impuesta por la Agencia de Protección de Datos Personales y —dato que suele omitirse— por cuánto tiempo un titular puede demandarte civilmente después de que el caso administrativo terminó. También determinan algo muy concreto para el equipo de gestión documental: cuánto tiempo conviene conservar la evidencia que acredita que cumpliste.

La ley entra en vigencia el 1 de diciembre de 2026, según su artículo primero transitorio, de modo que estos relojes todavía no corren. Es justamente el momento de dejarlos bien entendidos y calibrar la política de retención antes de que empiecen a contar.

¿En cuánto tiempo prescriben las infracciones de la Ley 21.719 en Chile?

Las acciones para perseguir la responsabilidad por infracciones de la Ley 21.719 prescriben en cuatro años en Chile, contados desde la ocurrencia del hecho que originó la infracción. El mismo artículo 40 agrega que en infracciones continuadas el plazo se cuenta desde el día en que la infracción haya cesado, y que las sanciones impuestas prescriben en tres años contados desde la fecha en que la resolución que impone la sanción queda ejecutoriada.

Conviene leer la norma como tres relojes independientes, que se activan en momentos distintos y miden cosas distintas. El primero mide el tiempo disponible para perseguir la responsabilidad por la infracción, a través del procedimiento administrativo que tramita la Agencia de Protección de Datos Personales. El segundo mide la vigencia de una sanción que ya fue impuesta. El tercero, que vive en el artículo 47 y no en el 40, mide el tiempo que tiene el titular afectado para demandar la indemnización de los daños.

Un punto que suele perderse: el plazo de cuatro años del artículo 40 es único y no se gradúa según la gravedad de la infracción. La Ley 21.719 califica las infracciones en leves, graves y gravísimas en su artículo 34, pero esa calificación determina el marco de la multa —amonestación escrita o multa de hasta 5.000 UTM para las leves, hasta 10.000 UTM para las graves y hasta 20.000 UTM para las gravísimas, según el artículo 35—, no la duración de la prescripción. Una infracción leve y una gravísima prescriben en el mismo plazo.

Los tres relojes, en orden de aparición:

• Reloj 1 — Persecución: cuatro años para perseguir la responsabilidad por la infracción (artículo 40).
• Reloj 2 — Sanción: tres años para la sanción ya impuesta, contados desde que la resolución queda ejecutoriada (artículo 40).
• Reloj 3 — Indemnización: cinco años para la acción civil de daños, contados desde que queda ejecutoriada la resolución administrativa o firme la sentencia que impone la multa (artículo 47).

¿Desde cuándo se cuenta el plazo cuando la infracción es continuada?

En infracciones continuadas el plazo de cuatro años se cuenta desde el día en que la infracción haya cesado, no desde el día en que comenzó. Es la regla expresa del artículo 40 de la Ley 21.719 y, en la práctica, el matiz más importante de toda la materia: un incumplimiento que se mantiene en el tiempo no empieza a prescribir mientras siga ocurriendo.

La consecuencia es contraintuitiva para muchos equipos. Si un tratamiento iniciado sin base de licitud sigue ejecutándose seis años después, y la conducta se califica como continuada, la acción no estará prescrita: el plazo solo empieza a correr cuando ese tratamiento cesa. Algo similar puede ocurrir con una base de datos que se mantiene desactualizada o con un canal de ejercicio de derechos que nunca se habilitó. Mientras la conducta persista, la exposición persiste.

La Ley 21.719 no define qué es una infracción continuada, y aquí conviene ser honestos: la calificación dependerá de cómo la Agencia y los tribunales la interpreten en cada caso. Lo que sí puedes hacer desde ya es identificar qué incumplimientos de tu organización son, por naturaleza, de estado permanente y no de acto único. Esa distinción cambia por completo el cálculo de riesgo.

Estos son ejemplos de conductas del catálogo legal que pueden prolongarse en el tiempo. Su calificación concreta como infracción continuada, en todo caso, quedará entregada al caso particular:

• Tratar datos personales sin contar con el consentimiento del titular o sin un antecedente o fundamento legal que otorgue licitud al tratamiento, de forma sostenida (artículo 34 ter letra a).
• Tratar datos personales inexactos, incompletos o desactualizados en relación con los fines del tratamiento, salvo que la actualización corresponda al titular en virtud de la ley o del contrato (artículo 34 ter letra d).
• Carecer de la individualización de un domicilio postal, correo electrónico o medio electrónico equivalente, actualizado y operativo, por el cual los titulares puedan comunicarse o ejercer sus derechos (artículo 34 bis letra b).
• Incumplir de manera sostenida las instrucciones generales impartidas por la Agencia, en los casos en que no esté sancionado como infracción grave o gravísima (artículo 34 bis letra e).

¿Qué interrumpe la prescripción de una infracción de la Ley 21.719?

La prescripción se interrumpe con la notificación del inicio del procedimiento administrativo correspondiente. Así lo señala el artículo 40 de la Ley 21.719, y es el único hecho interruptivo que la norma menciona. Ni la denuncia de un titular, ni una consulta informal, ni una publicación en prensa producen ese efecto: lo que la ley reconoce es la notificación formal del inicio del procedimiento.

Esto tiene un valor operativo directo. La fecha de notificación es un dato que tu organización debe registrar con precisión y conservar, porque marca el momento en que el tiempo transcurrido deja de contar a favor del responsable. En un expediente de defensa, la diferencia entre una notificación de marzo y una de septiembre puede ser la diferencia entre una infracción perseguible y una prescrita.

Vale la pena distinguir la interrupción de otras fechas que la Ley 21.719 usa para efectos distintos y que suelen mezclarse en el análisis. Ninguna de las siguientes es un plazo de prescripción, aunque todas se cuentan en meses o años y todas conviene tenerlas mapeadas:

• Treinta meses: ventana de la reincidencia como circunstancia agravante, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en ese periodo por infracción a esta ley (artículo 36 letra a).
• Veinticuatro meses: periodo en que las infracciones gravísimas reiteradas habilitan a la Agencia para disponer, como sanción accesoria, la suspensión de las operaciones y actividades de tratamiento hasta por treinta días (artículo 38).
• Cinco años: tiempo durante el cual las anotaciones del Registro Nacional de Sanciones y Cumplimiento son de acceso público, contado desde la fecha en que se practicó la anotación (artículo 39).
• Diez días hábiles: plazo para pagar la multa en la Tesorería General de la República, contado desde que la resolución de la Agencia se encuentre firme (artículo 37).

¿Las sanciones impuestas y la acción civil prescriben en el mismo plazo?

No. Las sanciones impuestas prescriben en tres años contados desde que la resolución que las impone queda ejecutoriada, según el artículo 40 de la Ley 21.719, mientras que la acción civil de indemnización prescribe en cinco años contados desde que queda ejecutoriada la resolución administrativa o firme la sentencia que impone la multa, conforme al artículo 47. Cuando el hito es el mismo, la exposición civil se extiende dos años más allá de la administrativa.

El segundo plazo es el que más se subestima. El artículo 47 de la Ley 21.719 establece que el responsable deberá indemnizar el daño patrimonial y extrapatrimonial causado, y que la acción se interpone una vez ejecutoriada la resolución favorable de la Agencia o firme la sentencia, tramitándose conforme al procedimiento sumario de los artículos 680 y siguientes del Código de Procedimiento Civil. En términos prácticos: cerrado el frente administrativo, el frente civil queda habilitado y sigue abierto por cinco años.

Para un comité de riesgos, esa asimetría cambia la conversación. Una empresa puede haber pagado la multa, corregido la conducta y archivado el caso, y aun así estar dentro de la ventana en que un titular afectado puede demandar. Si la infracción involucró a muchas personas —el artículo 37 manda considerar, entre los criterios para determinar el monto de la multa, el perjuicio producido y especialmente el número de titulares afectados—, la exposición civil agregada puede superar con holgura a la administrativa.

La lectura práctica, en tres frases:

• El pago de la multa cierra el capítulo administrativo, no el civil.
• La resolución ejecutoriada es el punto de partida del reloj civil de cinco años, no su punto final.
• La evidencia útil para defenderse en sede civil suele ser la misma que se usó en sede administrativa: destruirla al cerrar el procedimiento es un error caro.

¿Cuánto tiempo debes conservar la evidencia de cumplimiento?

La Ley 21.719 no fija un plazo de conservación de la evidencia de cumplimiento, y cualquier fuente que entregue una cifra exacta está inventándola. Lo que sí puedes hacer es alinear tu política documental con los plazos del artículo 40 y del artículo 47: si la exposición puede extenderse hasta cinco años después de una resolución ejecutoriada, la evidencia debería sobrevivir a esa ventana.

Aquí aparece una tensión real que conviene nombrar sin rodeos. La Ley 21.719 recoge, entre los principios de su artículo 3, la proporcionalidad y la finalidad. Conservar todo por si acaso, de manera indefinida, es en sí mismo un riesgo de infracción: efectuar tratamiento de datos personales innecesarios en relación con los fines del tratamiento, vulnerando el principio de proporcionalidad, está tipificado como infracción grave en el artículo 34 ter letra c.

Una precisión útil: el catálogo de principios del artículo 3 de la Ley 21.719 no incluye un principio denominado «conservación limitada», como sí ocurre en otros ordenamientos. La misma idea se canaliza en Chile a través de los principios de finalidad y proporcionalidad. El efecto práctico es semejante, pero la cita correcta importa cuando tienes que fundamentar una política interna.

La salida no es elegir entre conservar y suprimir, sino separar dos universos documentales. Una cosa son los datos personales de los titulares, sujetos a proporcionalidad y finalidad. Otra distinta es la evidencia de que tú cumpliste: registros de decisiones, versiones de políticas, actas, respuestas a solicitudes de titulares, bitácoras de acceso. Ese segundo universo admite un horizonte de conservación propio y, en muchos casos, puede minimizarse o disociarse para reducir el volumen de datos personales asociado.

Cuatro decisiones concretas para la política de retención:

• Definir una finalidad explícita de conservación probatoria, distinta de la finalidad original del tratamiento, y dejarla documentada.
• Fijar el horizonte de retención de la evidencia tomando como referencia el plazo más largo aplicable: los cinco años del artículo 47 desde una eventual resolución ejecutoriada.
• Minimizar el contenido: conservar la constancia del acto (fecha, decisión, responsable, base de licitud invocada) y no necesariamente el conjunto completo de datos personales involucrados.
• Registrar con precisión las fechas que activan o interrumpen los relojes: ocurrencia del hecho, cese de una conducta continuada y notificación del inicio del procedimiento.

¿Qué errores se repiten al hablar de prescripción en la Ley 21.719?

El error más frecuente es aplicar plazos que no son chilenos. Buena parte del contenido en español sobre prescripción de infracciones en materia de datos describe regímenes extranjeros, en los que los plazos se gradúan según la gravedad de la conducta. En Chile, el artículo 40 de la Ley 21.719 establece un plazo único de cuatro años para perseguir la responsabilidad, sin distinguir entre infracciones leves, graves y gravísimas.

El segundo error es contar el plazo desde que la autoridad toma conocimiento del hecho. El artículo 40 no dice eso: dice desde la ocurrencia del hecho que originó la infracción y, en las continuadas, desde el día en que la infracción haya cesado. El conocimiento de la autoridad no es el punto de partida del reloj.

El tercero es tratar la prescripción de la sanción como si fuera un plazo de impugnación. Los tres años del artículo 40 se cuentan desde que la resolución queda ejecutoriada y se refieren a la sanción ya impuesta. Nada tienen que ver con los procedimientos de los artículos 41, 42 y 43, que se rigen por sus propias reglas.

Y un cuarto error, muy extendido aunque no sea propiamente de prescripción: se lee con frecuencia que la reincidencia en infracciones graves constituye una infracción gravísima. No es así. El catálogo de infracciones gravísimas está en el artículo 34 quater de la Ley 21.719 y no la incluye; la reincidencia es una circunstancia agravante del artículo 36 letra a, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley. La distinción importa porque la reincidencia agrava el marco de la multa, sin cambiar la calificación de la conducta.

• Los plazos graduados según la gravedad de la infracción provienen del derecho comparado, no de la Ley 21.719.
• El plazo se cuenta desde el hecho, no desde que la autoridad se entera.
• La ventana de reincidencia (treinta meses) y la de infracciones gravísimas reiteradas (veinticuatro meses) no son plazos de prescripción.
• La prescripción administrativa no extingue por sí sola el riesgo civil del artículo 47.

Preguntas frecuentes

¿En cuántos años prescriben las infracciones de la Ley 21.719?

Las acciones para perseguir la responsabilidad por infracciones de la Ley 21.719 en Chile prescriben en cuatro años, contados desde la ocurrencia del hecho que originó la infracción. Si la infracción es continuada, el plazo se cuenta desde el día en que haya cesado. Así lo establece el artículo 40.

¿Y las sanciones que ya fueron impuestas?

Las sanciones impuestas prescriben en tres años, contados desde la fecha en que la resolución que impone la sanción queda ejecutoriada, según el artículo 40 de la Ley 21.719. Es un plazo distinto del de cuatro años: uno mira hacia la persecución de la conducta y el otro hacia la sanción ya decidida.

¿Qué se entiende por infracción continuada?

La Ley 21.719 no la define, de modo que su calificación quedará entregada a la Agencia y a los tribunales en cada caso. En términos generales se asocia al incumplimiento que se prolonga en el tiempo mientras la conducta persiste. Su efecto práctico es decisivo: el plazo de cuatro años del artículo 40 se cuenta desde el día en que la infracción haya cesado.

¿Qué interrumpe la prescripción?

La notificación del inicio del procedimiento administrativo correspondiente interrumpe la prescripción, conforme al artículo 40 de la Ley 21.719. Es el único hecho interruptivo que la norma menciona. Por eso conviene registrar la fecha exacta de esa notificación dentro del expediente de cumplimiento y conservarla.

¿La prescripción administrativa deja a la empresa sin riesgo civil?

No. El artículo 47 de la Ley 21.719 permite al titular demandar la indemnización del daño patrimonial y extrapatrimonial, y esa acción prescribe en cinco años contados desde que queda ejecutoriada la resolución administrativa o firme la sentencia que impone la multa. El riesgo civil sobrevive al cierre del frente administrativo.

¿Sirven los plazos de prescripción que aparecen en fuentes extranjeras?

No para Chile. Buena parte del contenido disponible en español describe regímenes extranjeros, en los que la prescripción se gradúa según la gravedad de la infracción. En Chile rige el artículo 40 de la Ley 21.719, con un plazo único de cuatro años para perseguir la responsabilidad, cualquiera sea la calificación de la conducta.

¿El plazo de cuatro años cambia según la gravedad de la infracción?

No. La Ley 21.719 califica las infracciones en leves, graves y gravísimas en su artículo 34, y esa calificación determina el marco de la multa conforme al artículo 35, no la duración de la prescripción. El artículo 40 fija un solo plazo de cuatro años para perseguir la responsabilidad.

¿Cuánto tiempo debo conservar la evidencia de cumplimiento?

La Ley 21.719 no fija un plazo. Como criterio práctico, la evidencia que acredita cumplimiento debería sobrevivir a los plazos del artículo 40 —cuatro y tres años— y del artículo 47 —cinco años—, sin contradecir los principios de finalidad y proporcionalidad del artículo 3, que limitan la conservación de datos personales.

¿Estos plazos ya están corriendo hoy?

Todavía no. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, según su artículo primero transitorio, y en agosto de 2026 aún no rige. Los plazos del artículo 40 operarán una vez que la ley esté vigente y la Agencia de Protección de Datos Personales pueda ejercer su potestad sancionatoria.

¿La reincidencia se cuenta con el mismo reloj de la prescripción?

No, es un plazo distinto. El artículo 36 letra a de la Ley 21.719 considera que hay reincidencia cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley, y opera como circunstancia agravante, no como infracción gravísima. Nada tiene que ver con los cuatro años del artículo 40.

Fuentes oficiales

• Ley 21.719, texto oficial — Biblioteca del Congreso Nacional de Chile

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.