Grandes volúmenes de datos sensibles, múltiples sistemas y la máxima exigencia regulatoria. Te llevamos al cumplimiento de la Ley 21.719 —legal, operación y tecnología— para llegar preparado a la fiscalización de diciembre de 2026.
Solicitar diagnóstico Ver qué implementamosVigencia: 1 de diciembre de 2026 · Fiscaliza la Agencia de Protección de Datos Personales · Diagnóstico sin compromiso
En banca y servicios financieros el dato no es un registro más: es la materia prima de cada decisión de crédito, riesgo y prevención de fraude. Eso concentra información personal, la cruza entre sistemas y la cede a terceros. La Ley 21.719 mira justo ese flujo.
Tratas RUT, ingresos, deudas, productos contratados y movimientos: información que permite reconstruir la vida económica de una persona. Esta concentración eleva el estándar de licitud, seguridad y minimización que exige la ley, y vuelve cada finalidad de crédito o riesgo algo que debes poder justificar.
El perfilamiento crediticio decide quién accede a un producto y en qué condiciones. La persona puede ejercer sus derechos ARSOP sobre ese tratamiento: acceder a qué datos lo alimentan, oponerse y pedir rectificación. Si no puedes explicar ni trazar la lógica del scoring, el riesgo regulatorio y reputacional es real.
Reportar a evaluadoras de crédito, compartir con filiales de la banca o externalizar la cobranza son cesiones de datos. Cada flujo necesita base de licitud y un encargo formalizado por contrato. Operar por inercia, porque siempre se reportó así, traslada el riesgo a toda la cadena de proveedores financieros.
Core bancario, originación de créditos, canales digitales, antifraude y CRM: el mismo dato vive en muchos sistemas. Esa dispersión multiplica la superficie de exposición y dificulta responder ante una brecha. La ley contempla el deber de notificar las brechas, y en banca el tiempo de reacción se mide en confianza perdida.
En AlayIAtrust partimos por mapear el dato financiero de extremo a extremo: dónde se origina, qué sistemas lo tocan, qué finalidades lo justifican y hacia qué burós, filiales o encargados se cede. Con ese inventario construimos el RAT, fijamos la base de licitud de cada tratamiento y formalizamos los contratos de la cadena, de modo que el scoring crediticio y la cobranza dejen de ser cajas negras frente a un derecho ARSOP o una fiscalización de la Agencia de Protección de Datos Personales.
Sobre esa base ordenamos los flujos de mayor riesgo con EIPD donde corresponda, definimos el rol del DPO y dejamos lista la respuesta y notificación ante brechas. El objetivo no es solo llegar al 1 de diciembre de 2026, cuando comienza la fiscalización plena, sino sostener un cumplimiento operable en una banca que mueve datos financieros todos los días.
Entrada en vigencia
Es la fecha legal vigente. Desde ese día la Agencia de Protección de Datos Personales puede fiscalizar.
A quién aplica
Pública o privada, grande o PyME. Si tratas datos personales de personas en Chile, debes cumplir.
Multas
Hasta 20.000 UTM en infracciones gravísimas. Si una gran empresa reincide, la multa puede llegar al 4 % de sus ingresos anuales (artículo 35).
Por dónde empezar
Primero, saber dónde estás. Después vienen el plan, la implementación y el acompañamiento.
¿Se postergó la ley? No. Un proyecto en trámite en el Senado propone mover la vigencia al 1 de diciembre de 2027, pero mientras no se publique como ley la fecha sigue siendo el 1 de diciembre de 2026. Qué dice el proyecto de prórroga · Texto oficial de la Ley 21.719 en BCN
No es una ley que se quede en el papel. Estos son tres escenarios frecuentes y lo que la ley dice de cada uno.
"Quiero saber qué datos tienen de mí, cómo calculan mi scoring y con quién los comparten."
Qué dice la leyTienes 30 días corridos para responder (artículo 11). Si no puedes trazar el dato entre sistemas, no llegas: obstaculizar el derecho de acceso es infracción grave, con multa de hasta 10.000 UTM.
"Detectamos un acceso no autorizado a la base de clientes, pero quisimos contenerlo en silencio."
Qué dice la leyCon datos financieros debes comunicar la brecha a la Agencia y también a los titulares. Omitirlo es infracción grave; si la omisión es deliberada, gravísima: hasta 20.000 UTM.
"Enviamos datos a evaluadoras y filiales como siempre lo hicimos."
Qué dice la leyCada cesión necesita base de licitud y un contrato. Ceder datos sin el consentimiento del titular, cuando ese consentimiento es necesario, es infracción grave.
Para una gran empresa que reincide, la multa puede llegar al 2 % de sus ingresos anuales en una infracción grave y al 4 % en una gravísima. Las sanciones quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento. Cómo funcionan las multas
Imagina que mañana la Agencia te exige probar que un cliente específico autorizó el uso de sus datos. ¿Cuánto tarda tu equipo en consolidar la evidencia?
Sin sistema: días buscando en planillas y carpetas. Riesgo de error y sanción por no demostrar el cumplimiento.
Con AlayIAtrust: buscas el nombre y aparece todo el recorrido — consentimientos, ARSOP, versión del aviso, fecha y canal.
Organizamos los datos, definimos los procesos y acompañamos a las personas que los ponen en práctica.
Identificamos qué datos tratas, para qué los usas y con qué base de licitud.
Guías: RAT · Bases de licitud
Gestionamos el consentimiento, incluido el de cookies, y la atención de los derechos ARSOP, la versión ampliada de los clásicos derechos ARCO.
Guías: Cookies · Derechos ARSOP
Evaluamos los riesgos de privacidad con evaluaciones de impacto (EIPD), revisamos contratos con proveedores y preparamos la respuesta a incidentes.
Guías: EIPD · Contratos con proveedores · Brechas
Dejamos políticas, roles y capacitación para sostener el cumplimiento.
Guía: Política de privacidad
Asesoría legal, procesos, plataforma y soporte continuo. Coordinamos todas las partes del proyecto, desde el diagnóstico hasta la operación.
Dos etapas conectadas, desde el diagnóstico hasta la puesta en operación.
Evaluamos tratamientos, riesgos y brechas jurídicas, operativas, tecnológicas y de datos.
Ordenamos los hallazgos por riesgo e impacto en el negocio.
Definimos qué hacer primero, quién lo lidera y qué solución corresponde.
Implementación legal y operativa: contratos, políticas, consentimientos, capacitación y habilitación tecnológica.
Y seguimos contigo. Soporte local, actualización y acompañamiento para sostener el cumplimiento en la operación diaria.
Te ayudamos a elegir la correcta según el tamaño y la madurez de tu organización.
PyME y mid-market
Enterprise
Somos AlayIAtrust, la filial de Alaya Digital Solutions especializada en protección de datos personales. Llevamos la experiencia del grupo a la implementación del cumplimiento en tu organización.
Conoce al equipo que te acompaña →Desde 2002, acompañando a grandes organizaciones en Chile.
Consultores con conocimiento del contexto local y soporte directo en Chile.
Experiencia en sectores regulados y operaciones con alto volumen de datos.
Gobernanza, seguridad y transformación digital para grandes organizaciones.
Un equipo que conecta experiencia legal, tecnología y gestión.
Luis Sepúlveda
Gerente General · CEO
Joanna Davidovich
Directora
Emilio Oñate
Consejero
Guillermo Aspée
Gerente de Proyectos
Manuel Labbé
Consultor de Privacidad
Mateo Hirmas
Gerente Comercial
Pamela Cifuentes
Jefa de Proyectos
Directorio y equipo ejecutivo. Filial de Alaya Digital Solutions, en Chile desde 2002.
Reportar a una evaluadora sigue siendo posible, pero ahora debes poder sustentar la base de licitud de esa cesión y tenerla formalizada con el tercero. La continuidad histórica no equivale a cumplimiento: la ley pide poder demostrar por qué tratas y compartes cada dato financiero, no solo que lo venías haciendo.
Los derechos ARSOP alcanzan al perfilamiento crediticio. La persona puede acceder a los datos que se usan, pedir rectificarlos y oponerse a ciertos tratamientos. No necesitas revelar tu modelo, pero sí necesitas trazabilidad: qué datos alimentan el scoring, con qué finalidad y bajo qué base de licitud, para responder de forma fundada.
Por el inventario. Antes de cualquier política, mapeamos dónde vive cada dato financiero, qué sistemas y proveedores lo tocan y hacia dónde se cede. Ese RAT es la base para fijar la licitud, priorizar los flujos de mayor riesgo y poder reaccionar con orden ante una solicitud de derechos ARSOP o una brecha.
No. La fecha legal vigente es el 1 de diciembre de 2026. Un proyecto de ley en trámite en el Senado (Boletín 18.623-07) propone moverla al 1 de diciembre de 2027, pero solo cambiaría si se aprueba y se publica en el Diario Oficial.
El diagnóstico inicial no tiene costo. Es una reunión de 30 minutos para revisar tu situación frente a la ley y acordar los próximos pasos. Si necesitas un análisis completo, lo hacemos en el assessment integral.
Depende del tamaño y del alcance. El assessment integral toma cerca de 21 días hábiles. La implementación toma entre 1 y 4 meses en una solución PyME y entre 3 y 6 meses en una enterprise. Por eso conviene empezar con anticipación.
Hasta 5.000 UTM en infracciones leves, 10.000 UTM en graves y 20.000 UTM en gravísimas (artículo 35). Si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, la multa puede llegar al 2 % o al 4 % de sus ingresos anuales.
La Agencia de Protección de Datos Personales puede revisar tus bases de licitud, el registro de actividades de tratamiento, la atención de derechos ARSOP, la gestión de brechas y la documentación de cumplimiento.
Cada sector trata datos distintos y enfrenta riesgos propios. Mira el enfoque para el tuyo.
Empieza con un diagnóstico. En 30 minutos revisamos tu situación y los próximos pasos, o te mostramos la plataforma en funcionamiento. Sin compromiso.
