Suspensión del tratamiento de datos en la Ley 21.719: cuándo la Agencia podrá detener las operaciones de tu empresa

Cuando un directorio revisa por primera vez el régimen sancionatorio de la Ley 21.719 en Chile, la conversación se detiene en las cifras: hasta 20.000 UTM por una infracción gravísima y, en caso de reincidencia, multa de hasta tres veces ese monto conforme al artículo 36. Es una preocupación razonable, pero incompleta. Hay una consecuencia que casi nadie dimensiona y que, en ciertos modelos de negocio, pesa más que cualquier multa: la posibilidad de que la Agencia ordene detener las operaciones de tratamiento de datos. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Esa medida está en el artículo 38 y se llama sanción accesoria. Accesoria significa que no viaja sola: aparece cuando ya hay multas impuestas por infracciones gravísimas reiteradas. No es un riesgo de la primera falla ni de un incidente aislado. Es el punto al que llega una empresa que fue sancionada, no corrigió y volvió a incurrir en lo mismo.

Este artículo explica en qué condiciones exactas procederá la suspensión del tratamiento de datos de la Ley 21.719, hasta cuándo puede durar, qué queda fuera de su alcance, y por qué el verdadero riesgo operacional no está en los treinta días iniciales sino en lo que ocurre después si la empresa no cumple.

¿Puede la Agencia suspender el tratamiento de datos de mi empresa?

Sí, pero bajo condiciones estrictas. En Chile, la Ley 21.719 permitirá a la Agencia de Protección de Datos Personales disponer la suspensión de las operaciones y actividades de tratamiento de datos como sanción accesoria del artículo 38, y solo cuando se impongan multas por infracciones gravísimas reiteradas en un período de veinticuatro meses. No es el desenlace de un reclamo aislado. Conviene tener presente el punto de partida temporal: la ley entrará en vigencia el 1 de diciembre de 2026, conforme a su artículo primero transitorio, de modo que todo lo que sigue describe un régimen que aún no rige.

Para entender dónde encaja esta medida conviene ver el orden completo del régimen. El artículo 33 establece que el responsable de datos, sea persona natural o jurídica, de derecho público o privado, que en sus operaciones infrinja los principios del artículo 3 y los derechos y obligaciones de la ley, será sancionado conforme a ese Título. El artículo 34 califica las infracciones, atendida su gravedad, en leves, graves y gravísimas. El artículo 35 asigna las sanciones principales: amonestación escrita o multa de hasta 5.000 UTM para las leves, multa de hasta 10.000 UTM para las graves y de hasta 20.000 UTM para las gravísimas.

El artículo 35 agrega un tramo que suele omitirse en los resúmenes. Si el infractor no es una empresa de menor tamaño de la ley N° 20.416 y, además, reincide en una infracción grave o gravísima —son dos condiciones copulativas—, la multa podrá alcanzar la más gravosa entre el triple del monto o el 2% de los ingresos anuales por ventas y servicios del último año calendario tratándose de infracciones graves, y el 4% tratándose de gravísimas.

La suspensión es otra cosa. Se suma a la multa, no la reemplaza, y por eso su lógica no es recaudatoria sino correctiva: la ley busca que un responsable que ya fue sancionado y persiste deje de tratar datos hasta corregir lo que la Agencia le ordenó. Tres precisiones fijan bien el punto:

• Es accesoria: supone multas ya impuestas, no opera de forma autónoma.
• Es facultativa: el artículo 38 dice que la Agencia “podrá” disponerla, no que deba hacerlo.
• Es condicionada: requiere infracciones gravísimas reiteradas dentro de una ventana de veinticuatro meses.

¿Cuándo procede la suspensión del tratamiento de datos de la Ley 21.719?

Procede cuando concurren tres elementos simultáneos: que se impongan multas, que sean por infracciones gravísimas y que esas infracciones gravísimas sean reiteradas en un período de veinticuatro meses. Si falta cualquiera de los tres, el artículo 38 de la Ley 21.719 no habilita la suspensión, por serio que sea el caso individual.

Las infracciones gravísimas están enumeradas en el artículo 34 quáter y son conductas de alta intensidad: tratar datos personales en forma fraudulenta; destinarlos maliciosamente a una finalidad distinta de la consentida por el titular o prevista en la ley; comunicar o ceder a sabiendas información no veraz, incompleta, inexacta o desactualizada sobre el titular; vulnerar el deber de secreto o confidencialidad sobre datos sensibles y sobre datos relativos a la comisión y sanción de infracciones penales, civiles, administrativas y disciplinarias; tratar, comunicar o ceder a sabiendas datos sensibles o datos de niños, niñas y adolescentes en contravención a la ley; omitir en forma deliberada la comunicación de vulneraciones a las medidas de seguridad; efectuar tratamiento masivo de datos contenidos en registros electrónicos de infracciones que llevan los organismos públicos, sin autorización legal; y realizar a sabiendas transferencias internacionales de datos en contravención a la ley. Salta a la vista el vocabulario: fraude, malicia, a sabiendas, deliberadamente. La reiteración de estas conductas es la puerta de entrada a la suspensión.

Conviene despejar aquí una confusión frecuente: la reincidencia en infracciones graves no convierte esas infracciones en gravísimas. La reincidencia es una circunstancia agravante del artículo 36, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley, y su efecto recae sobre el monto de la multa, no sobre la calificación de la conducta. Son dos ventanas temporales distintas y dos efectos distintos: treinta meses para agravar la multa conforme al artículo 36, veinticuatro meses para habilitar la suspensión conforme al artículo 38.

¿Qué alcanza la suspensión y qué queda expresamente fuera?

La suspensión del artículo 38 recae sobre las operaciones y actividades de tratamiento, puede ser parcial o total, y se extiende hasta por un término de treinta días. La Ley 21.719 fija además dos límites explícitos que suelen pasarse por alto y que cambian por completo el análisis de riesgo: no afecta el almacenamiento de datos por parte del responsable, y no podrá decretarse cuando con ello se afecten los derechos de los titulares.

El primer límite tiene consecuencias prácticas inmediatas. Suspender el tratamiento no equivale a ordenar borrar ni a impedir la conservación: los datos siguen en los sistemas de la empresa. Lo que se detiene son las operaciones, es decir, el uso. El segundo límite es aún más relevante y merece leerse despacio. El texto es breve —la medida no podrá decretarse cuando con ello se afecten los derechos de los titulares— y no enumera hipótesis. Una lectura razonable, que habrá que contrastar con los primeros pronunciamientos de la Agencia, es que la suspensión no puede terminar perjudicando a las mismas personas que la ley protege, por ejemplo si impidiera al titular ejercer sus derechos de acceso, rectificación, supresión, oposición o portabilidad.

Que la suspensión pueda ser parcial es la otra clave de lectura. La Agencia no queda obligada a apagar toda la operación: la norma le permite acotar la medida a la actividad de tratamiento específica que originó las infracciones gravísimas. Cómo se usará esa graduación en la práctica todavía no puede anticiparse, porque no hay procedimientos sancionatorios en curso bajo esta ley; lo que sí está en el texto es la posibilidad de una medida acotada en lugar de una detención total. Durante ese período, el responsable deberá adoptar las medidas necesarias para adecuar sus operaciones a las exigencias de la resolución. La suspensión no es un castigo pasivo: es un plazo de trabajo obligado.

¿Qué ocurre si tu empresa no cumple lo ordenado durante la suspensión?

Aquí está el punto más duro del artículo 38 y el que rara vez aparece en los resúmenes. Si el responsable no cumple con la medida, la suspensión se podrá prorrogar indefinidamente por períodos sucesivos de máximo treinta días, hasta que cumpla lo ordenado. Los treinta días iniciales no son un techo: son un primer tramo.

Esa palabra, indefinidamente, es la que debería trasladarse al análisis de continuidad operacional del directorio. El costo de una multa se puede provisionar, discutir y, eventualmente, reclamar en sede judicial conforme al procedimiento de reclamación ante la Corte de Apelaciones del artículo 43. Una suspensión que se renueva cada treinta días mientras la empresa no acredite haber adecuado sus operaciones no se provisiona: se sufre. En modelos de negocio donde el tratamiento de datos es la operación —plataformas digitales, cobranza, scoring, marketing, salud, servicios financieros— la exposición depende exclusivamente de la propia capacidad de cumplir dentro de cada período.

Hay una regla especial cuando la empresa está sujeta a un fiscalizador sectorial. Si la suspensión afecta a una entidad supervisada por un organismo público fiscalizador, la Ley 21.719 obliga a la Agencia a poner previamente los antecedentes en conocimiento de esa autoridad regulatoria, para cautelar los derechos de los usuarios. Es un mecanismo de coordinación, no una exención: la entidad supervisada no queda fuera del artículo 38, pero su regulador sectorial entra en la conversación antes de que la medida se materialice. Para bancos, aseguradoras, isapres, utilities y otras entidades reguladas, esto significa que la suspensión se decidirá en un escenario de dos autoridades.

¿Contempla el artículo 38 otras sanciones accesorias, como la prohibición o la publicación?

No. El artículo 38 de la Ley 21.719 contempla únicamente la suspensión de las operaciones y actividades de tratamiento como sanción accesoria. Es habitual encontrar resúmenes que le atribuyen también una “prohibición de tratamiento por un período determinado” o la “publicación de la resolución sancionatoria”. Ninguna de las dos figura en esa norma, y la diferencia importa al momento de dimensionar el riesgo real.

La publicidad sí existe, pero llega por otra vía: el Registro Nacional de Sanciones y Cumplimiento del artículo 39, creado y administrado por la Agencia. Ese registro es público, de acceso gratuito y electrónico, y consigna a los responsables sancionados distinguiendo la gravedad de la infracción, la conducta infraccionada, las circunstancias atenuantes y agravantes, y la sanción impuesta. Las anotaciones son de acceso público por cinco años desde la fecha en que se practicó la anotación.

Ese detalle temporal es el que suele subestimarse. Una multa se paga en la Tesorería General de la República dentro del plazo de diez días hábiles contado desde que la resolución de la Agencia se encuentre firme, y ahí se agota. La anotación en el registro del artículo 39 acompaña a la empresa durante cinco años, visible para clientes, licitaciones, contrapartes y procesos de due diligence. Conviene además no confundir plazos: conforme al artículo 40, las acciones para perseguir la responsabilidad prescriben en cuatro años contados desde la ocurrencia del hecho —o desde que la infracción cesó, si es continuada— y las sanciones impuestas prescriben en tres años desde que la resolución queda ejecutoriada. El mismo registro tiene una cara positiva y poco difundida: también consigna a quienes adopten modelos certificados de prevención vigentes.

Para tener el mapa completo, conviene distinguir cuatro consecuencias que operan en planos distintos y con plazos distintos:

• Sanción principal: amonestación escrita o multa según la gravedad de la infracción, conforme a los artículos 34 y 35, con los criterios de determinación que la Agencia debe aplicar prudencialmente según el artículo 37.
• Sanción accesoria: la suspensión del tratamiento del artículo 38, solo por infracciones gravísimas reiteradas en veinticuatro meses.
• Publicidad: la anotación en el Registro Nacional de Sanciones y Cumplimiento del artículo 39, de acceso público durante cinco años.
• Responsabilidad civil: la indemnización del daño patrimonial y extrapatrimonial del artículo 47, cuya acción se ejerce una vez ejecutoriada la resolución favorable de la Agencia o firme la sentencia, y se tramita conforme al procedimiento sumario.

¿Cómo se previene llegar a una suspensión del tratamiento de datos?

Se previene evitando la reiteración de infracciones gravísimas, que es la única condición que habilita la medida. Dicho de otro modo: en la Ley 21.719 la suspensión no se evita en la sala del procedimiento sancionatorio, se evita mucho antes, en la forma en que la empresa reacciona a la primera sanción y en la evidencia que puede mostrar de haber corregido.

El primer punto de corte está en el propio artículo 35: junto con la sanción, la Agencia señala medidas para subsanar, que deben adoptarse en un plazo no mayor a sesenta días, y si no se adoptan la multa se recarga en un 50%. Ese plazo es la bifurcación real del camino. La empresa que subsana dentro de esos sesenta días cierra el ciclo; la que no lo hace acumula recargo, queda expuesta a la agravante de reincidencia del artículo 36 y empieza a construir el historial que hace posible la suspensión.

El segundo punto es la estructura preventiva. El artículo 36 reconoce como atenuantes las acciones unilaterales de reparación y los acuerdos reparatorios con los titulares afectados, la colaboración que el infractor preste en la investigación administrativa de la Agencia, la ausencia de sanciones previas, la autodenuncia ante la Agencia comunicando junto con ella las medidas de cese o mitigación adoptadas, y haber cumplido diligentemente los deberes de dirección y supervisión, lo que se verifica con el certificado expedido conforme al artículo 51. Esa última atenuante es la que convierte al modelo de prevención de infracciones en algo más que un documento: es la forma en que la diligencia se acredita ante la autoridad.

Para las empresas de menor tamaño de la ley N° 20.416 hay una regla de transición que conviene leer con precisión. El artículo sexto transitorio establece que, durante los primeros doce meses desde la entrada en vigencia, cuando proceda una sanción respecto de esas empresas, la Agencia podrá aplicar una amonestación por escrito. Es una facultad de la autoridad, no una inmunidad automática, y la amonestación igualmente se registra conforme al artículo 39.

La ley entrará en vigencia el 1 de diciembre de 2026, de modo que hoy, en agosto de 2026, no hay ninguna empresa con infracciones gravísimas reiteradas bajo la Ley 21.719. La ventana de veinticuatro meses del artículo 38 empezará a correr recién con los primeros procedimientos sancionatorios. Ese es exactamente el momento para trabajar sobre las conductas del artículo 34 quáter: gobierno de datos sensibles y de datos de niños, niñas y adolescentes, control de finalidades, disciplina en la comunicación de vulneraciones a las medidas de seguridad y reglas claras para transferencias internacionales. No para asustarse con los treinta días, sino para no tener que discutirlos nunca.

Preguntas frecuentes

¿La Agencia puede suspender el tratamiento de datos por una sola infracción gravísima?

No. El artículo 38 de la Ley 21.719 exige multas por infracciones gravísimas reiteradas en un período de veinticuatro meses. Una sola infracción gravísima, por seria que sea, habilita la multa de hasta 20.000 UTM del artículo 35 y las medidas para subsanar, pero no la suspensión del tratamiento.

¿Cuánto puede durar la suspensión del tratamiento de datos de la Ley 21.719?

La suspensión se dispone hasta por un término de treinta días. Sin embargo, si el responsable no cumple con lo ordenado, el artículo 38 permite prorrogarla indefinidamente por períodos sucesivos de máximo treinta días, hasta que cumpla. En la práctica, la duración dependerá de la propia capacidad de adecuación de la empresa.

¿La suspensión obliga a borrar los datos que la empresa ya tiene?

No. El artículo 38 de la Ley 21.719 señala expresamente que la suspensión no afecta el almacenamiento de datos por parte del responsable. Lo que se detiene son las operaciones y actividades de tratamiento, es decir, el uso de los datos. La conservación de la información se mantiene durante la medida.

¿La suspensión siempre detiene toda la operación de la empresa?

No necesariamente. El artículo 38 permite que la suspensión sea parcial o total, de modo que la Agencia puede acotar la medida a la actividad de tratamiento específica que originó las infracciones gravísimas. Como la ley aún no rige, todavía no existe práctica administrativa que permita anticipar con qué frecuencia se usará cada alternativa.

¿Hay algún caso en que la Agencia no pueda decretar la suspensión?

Sí. La Ley 21.719 establece que la suspensión no podrá decretarse cuando con ello se afecten los derechos de los titulares. Es un límite expreso del artículo 38: si detener el tratamiento perjudicara a las personas que la ley protege, la medida no procede. Es uno de sus aspectos menos difundidos.

¿Qué debe hacer la empresa mientras dura la suspensión?

Durante el período de suspensión el responsable deberá adoptar las medidas necesarias para adecuar sus operaciones a las exigencias de la resolución de la Agencia. No es un plazo pasivo de espera: es una obligación de corrección, y su cumplimiento es lo que determina si la medida se levanta o se prorroga.

¿Qué pasa si mi empresa está supervisada por un regulador sectorial?

La Ley 21.719 establece una regla especial: cuando la suspensión afecte a una entidad sujeta a supervisión de un organismo público fiscalizador, la Agencia deberá poner previamente los antecedentes en conocimiento de esa autoridad regulatoria, para cautelar los derechos de los usuarios. Es coordinación previa entre autoridades, no una exención de la medida.

¿El artículo 38 contempla la publicación de la resolución sancionatoria?

No. El artículo 38 de la Ley 21.719 contempla solo la suspensión como sanción accesoria. La publicidad llega por otra vía: el Registro Nacional de Sanciones y Cumplimiento del artículo 39, que es público, de acceso gratuito y electrónico, y mantiene las anotaciones de acceso público durante cinco años.

¿La reincidencia en infracciones graves puede llevar a la suspensión?

No directamente. La reincidencia es una circunstancia agravante del artículo 36, que existe cuando el responsable ha sido sancionado en dos o más ocasiones en los últimos treinta meses por infracción a esta ley, y su efecto recae sobre el monto de la multa. La suspensión del artículo 38 requiere infracciones gravísimas reiteradas en veinticuatro meses.

¿Desde cuándo puede aplicarse la suspensión del tratamiento en Chile?

La Ley 21.719 entrará en vigencia el 1 de diciembre de 2026, conforme a su artículo primero transitorio. Desde esa fecha podrán iniciarse los procedimientos sancionatorios y, con ellos, empezará a correr la ventana de veinticuatro meses del artículo 38. Hoy, en agosto de 2026, ninguna empresa acumula infracciones bajo esta ley.

Fuentes oficiales

• Ley 21.719, texto oficial — Biblioteca del Congreso Nacional de Chile

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.