Diagnóstico, documentos, consentimientos y procesos a la medida de una pequeña o mediana empresa, para llegar lista a la fiscalización de diciembre de 2026. Sin la complejidad ni los costos de una solución enterprise.
Solicitar diagnóstico Ver qué implementamosVigencia: 1 de diciembre de 2026 · Fiscaliza la Agencia de Protección de Datos Personales · Diagnóstico sin compromiso
Las PyMEs y el mid-market tratan tantos datos personales como una gran empresa, pero rara vez cuentan con un equipo legal o de TI dedicado. La Ley 21.719 no distingue por tamaño: las mismas obligaciones aplican, y la Agencia de Protección de Datos Personales fiscaliza con plenitud desde el 1 de diciembre de 2026.
Una PyME acumula datos de clientes en planillas, correos, sistemas de venta y WhatsApp, muchas veces sin un responsable claro. Esa dispersión dificulta atender los derechos ARSOP cuando un cliente los ejerce y aumenta el riesgo de tratar información sin base ni control.
Toda empresa con trabajadores maneja datos de remuneraciones, salud, contratos y postulantes. En el mid-market, recursos humanos suele operar sin políticas formales de tratamiento, lo que expone información sensible y complica responder ante una solicitud de un trabajador o una fiscalización.
Las PyMEs delegan facturación, marketing, nube y soporte en terceros. Cada proveedor que accede a datos personales es un punto de riesgo: sin acuerdos ni mapeo, una brecha en una herramienta externa se vuelve responsabilidad propia frente al regulador.
Sin equipo de TI dedicado, un correo comprometido o un ransomware puede pasar inadvertido por días en una PyME. La ley contempla la notificación de brechas, y reaccionar sin protocolos previos eleva el riesgo de sanción. Las infracciones se sancionan en tramos de hasta 5.000, 10.000 y 20.000 UTM según su gravedad.
En AlayIAtrust diseñamos el cumplimiento a la medida de quien no tiene un área legal ni un equipo de TI completo. Priorizamos lo esencial primero: ordenar qué datos de clientes y trabajadores se tratan, dejar el Registro de Actividades de Tratamiento (RAT) al día y preparar la notificación de brechas con pasos claros para tu equipo.
Acompañamos según el tamaño y presupuesto de cada empresa. Cuando corresponde, asumimos el rol de Delegado de Protección de Datos (DPO) externo y aplicamos Evaluaciones de Impacto (EIPD) solo donde el riesgo lo justifica, para que cumplas con la Ley 21.719 sin frenar la operación ni sumar complejidad innecesaria.
Entrada en vigencia
Es la fecha legal vigente. Desde ese día la Agencia de Protección de Datos Personales puede fiscalizar.
A quién aplica
Pública o privada, grande o PyME. Si tratas datos personales de personas en Chile, debes cumplir.
Multas
Hasta 20.000 UTM en infracciones gravísimas. Si una gran empresa reincide, la multa puede llegar al 4 % de sus ingresos anuales (artículo 35).
Por dónde empezar
Primero, saber dónde estás. Después vienen el plan, la implementación y el acompañamiento.
¿Se postergó la ley? No. Un proyecto en trámite en el Senado propone mover la vigencia al 1 de diciembre de 2027, pero mientras no se publique como ley la fecha sigue siendo el 1 de diciembre de 2026. Qué dice el proyecto de prórroga · Texto oficial de la Ley 21.719 en BCN
No es una ley que se quede en el papel. Estos son tres escenarios frecuentes y lo que la ley dice de cada uno.
"Salí de la empresa hace meses y me siguen llegando correos y mensajes a mi número personal."
Qué dice la leyDebes demostrar la base de licitud de ese tratamiento y tener un proceso de baja. Tratar datos sin consentimiento ni otro fundamento legal es infracción grave, también en una PyME.
"Mandé el Excel de clientes a un proveedor equivocado; pensé que no pasaba nada."
Qué dice la leyEs una vulneración de seguridad. Si hay riesgo para los titulares, debes reportarla a la Agencia sin dilaciones indebidas. Omitir esa comunicación es infracción grave.
"Pedí que me dijeran qué datos míos tienen y para qué. Nadie en la empresa supo qué hacer."
Qué dice la leyTienes 30 días corridos para responder (artículo 11). Sin un responsable asignado el plazo se vence, y obstaculizar un derecho es infracción grave.
Para una gran empresa que reincide, la multa puede llegar al 2 % de sus ingresos anuales en una infracción grave y al 4 % en una gravísima. Las sanciones quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento. Cómo funcionan las multas
Imagina que mañana la Agencia te exige probar que un cliente específico autorizó el uso de sus datos. ¿Cuánto tarda tu equipo en consolidar la evidencia?
Sin sistema: días buscando en planillas y carpetas. Riesgo de error y sanción por no demostrar el cumplimiento.
Con AlayIAtrust: buscas el nombre y aparece todo el recorrido — consentimientos, ARSOP, versión del aviso, fecha y canal.
Organizamos los datos, definimos los procesos y acompañamos a las personas que los ponen en práctica.
Identificamos qué datos tratas, para qué los usas y con qué base de licitud.
Guías: RAT · Bases de licitud
Gestionamos el consentimiento, incluido el de cookies, y la atención de los derechos ARSOP, la versión ampliada de los clásicos derechos ARCO.
Guías: Cookies · Derechos ARSOP
Evaluamos los riesgos de privacidad con evaluaciones de impacto (EIPD), revisamos contratos con proveedores y preparamos la respuesta a incidentes.
Guías: EIPD · Contratos con proveedores · Brechas
Dejamos políticas, roles y capacitación para sostener el cumplimiento.
Guía: Política de privacidad
Asesoría legal, procesos, plataforma y soporte continuo. Coordinamos todas las partes del proyecto, desde el diagnóstico hasta la operación.
Dos etapas conectadas, desde el diagnóstico hasta la puesta en operación.
Evaluamos tratamientos, riesgos y brechas jurídicas, operativas, tecnológicas y de datos.
Ordenamos los hallazgos por riesgo e impacto en el negocio.
Definimos qué hacer primero, quién lo lidera y qué solución corresponde.
Implementación legal y operativa: contratos, políticas, consentimientos, capacitación y habilitación tecnológica.
Y seguimos contigo. Soporte local, actualización y acompañamiento para sostener el cumplimiento en la operación diaria.
Te ayudamos a elegir la correcta según el tamaño y la madurez de tu organización.
PyME y mid-market
Enterprise
Somos AlayIAtrust, la filial de Alaya Digital Solutions especializada en protección de datos personales. Llevamos la experiencia del grupo a la implementación del cumplimiento en tu organización.
Conoce al equipo que te acompaña →Desde 2002, acompañando a grandes organizaciones en Chile.
Consultores con conocimiento del contexto local y soporte directo en Chile.
Experiencia en sectores regulados y operaciones con alto volumen de datos.
Gobernanza, seguridad y transformación digital para grandes organizaciones.
Un equipo que conecta experiencia legal, tecnología y gestión.
Luis Sepúlveda
Gerente General · CEO
Joanna Davidovich
Directora
Emilio Oñate
Consejero
Guillermo Aspée
Gerente de Proyectos
Manuel Labbé
Consultor de Privacidad
Mateo Hirmas
Gerente Comercial
Pamela Cifuentes
Jefa de Proyectos
Directorio y equipo ejecutivo. Filial de Alaya Digital Solutions, en Chile desde 2002.
Sí. La ley no establece umbrales por tamaño ni por facturación: si tratas datos personales de clientes, trabajadores o proveedores, las obligaciones aplican. La diferencia está en los recursos, no en las exigencias. Por eso adaptamos el cumplimiento a la realidad de cada PyME, priorizando lo crítico y evitando estructuras desproporcionadas para tu operación.
No necesariamente. Muchas PyMEs cumplen sin sumar personal de planta apoyándose en un acompañamiento externo. AlayIAtrust puede asumir el rol de Delegado de Protección de Datos (DPO) externo y dejar tus procesos ordenados, de modo que tu equipo actual gestione el día a día con guías claras en lugar de improvisar ante cada solicitud o incidente.
Conviene partir por conocer qué datos tratas y dónde están, ordenar el Registro de Actividades de Tratamiento (RAT) y dejar lista la respuesta a los derechos ARSOP y a brechas. Es el cimiento que reduce más riesgo con menos inversión. Desde ahí avanzamos por etapas, según tu capacidad, antes de que la fiscalización plena comience el 1 de diciembre de 2026.
No. La fecha legal vigente es el 1 de diciembre de 2026. Un proyecto de ley en trámite en el Senado (Boletín 18.623-07) propone moverla al 1 de diciembre de 2027, pero solo cambiaría si se aprueba y se publica en el Diario Oficial.
El diagnóstico inicial no tiene costo. Es una reunión de 30 minutos para revisar tu situación frente a la ley y acordar los próximos pasos. Si necesitas un análisis completo, lo hacemos en el assessment integral.
Depende del tamaño y del alcance. El assessment integral toma cerca de 21 días hábiles. La implementación toma entre 1 y 4 meses en una solución PyME y entre 3 y 6 meses en una enterprise. Por eso conviene empezar con anticipación.
Hasta 5.000 UTM en infracciones leves, 10.000 UTM en graves y 20.000 UTM en gravísimas (artículo 35). Si una empresa que no es de menor tamaño reincide en una infracción grave o gravísima, la multa puede llegar al 2 % o al 4 % de sus ingresos anuales.
La Agencia de Protección de Datos Personales puede revisar tus bases de licitud, el registro de actividades de tratamiento, la atención de derechos ARSOP, la gestión de brechas y la documentación de cumplimiento.
Cada sector trata datos distintos y enfrenta riesgos propios. Mira el enfoque para el tuyo.
Empieza con un diagnóstico. En 30 minutos revisamos tu situación y los próximos pasos, o te mostramos la plataforma en funcionamiento. Sin compromiso.
