Un cliente europeo envía un cuestionario de proveedores. La pregunta 14 dice: "¿Cumple su empresa con el GDPR?". El gerente de TI lo reenvía al área legal, legal lo devuelve preguntando si eso aplica en Chile, y el cuestionario queda tres semanas sin respuesta.
Si su equipo buscó "protección de datos GDPR Chile" para salir de esa duda, va la respuesta corta: a una empresa que opera en Chile la obliga la Ley 21.719, no el reglamento europeo. El GDPR puede aplicarle además, pero solo en casos concretos, y de eso depende qué tiene que hacer y para cuándo.
Por qué todos dicen GDPR
El Reglamento General de Protección de Datos de la Unión Europea (Reglamento 2016/679) lleva años siendo la referencia mundial. Los proveedores de software lo citan en sus contratos, los cuestionarios de seguridad lo usan como plantilla y buena parte de la literatura sobre privacidad está escrita pensando en él.
En Chile, la Ley 21.719 reformó la antigua Ley 19.628 de 1999 y tomó mucho del modelo europeo: bases de licitud, derechos de los titulares, una autoridad de control con capacidad de sancionar. Por eso es común oír que "Chile adoptó el GDPR". Es una simplificación que puede salir cara, porque los plazos, las multas y varias obligaciones operativas no son iguales.
Qué norma aplica según su situación
La pregunta útil es qué datos trata su empresa y de quién. Esta tabla resume los casos más frecuentes:
| Situación de la empresa | Ley 21.719 | GDPR |
|---|---|---|
| Opera en Chile con clientes y trabajadores en Chile | Sí | No |
| Vende en línea a personas que están en la UE (tienda en euros, despacho a Europa) | Sí | Probablemente sí (art. 3.2) |
| Hace seguimiento o perfilamiento de usuarios que están en la UE | Sí | Sí (art. 3.2) |
| Es proveedor de una empresa europea y trata datos por encargo de ella | Sí | Indirectamente, vía contrato con el cliente |
| Tiene una filial o sucursal establecida en la UE | Sí | Sí, para esa operación |
La Ley 21.719 también tiene alcance extraterritorial, cosa que pocos comentan. Su artículo 1 bis la aplica a responsables no establecidos en Chile cuando ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento aquí. Es el mismo criterio del artículo 3.2 del GDPR, visto desde el otro lado.
Si el GDPR sí le aplica y su empresa no tiene presencia en la Unión, el artículo 27 exige designar un representante en la UE. Hay una excepción para tratamientos ocasionales y de bajo riesgo, pero conviene que la evalúe un abogado con práctica en derecho europeo.
Dónde se parecen
Si su empresa ya hizo trabajo serio con el GDPR, buena parte le sirve para la ley chilena. Las dos comparten la misma estructura:
- Bases de licitud del tratamiento. En Chile el consentimiento es la regla general, y la ley admite otras bases: obligación legal, ejecución de un contrato, interés legítimo y ejercicio de derechos ante tribunales (art. 12).
- Derechos de los titulares: acceso, rectificación, supresión, oposición y portabilidad. Esta última llega a Chile con la reforma y exige entregar los datos en un formato estructurado y de uso común (art. 16 ter).
- Deber de reportar vulneraciones de seguridad a la autoridad cuando exista riesgo razonable para los titulares (art. 14 sexies).
- Una autoridad especializada que fiscaliza y sanciona. En Chile será la Agencia de Protección de Datos Personales.
Dónde se diferencian
Cuando alguien copia un programa de cumplimiento europeo y lo aplica tal cual en Chile, los errores aparecen aquí:
| Tema | Ley 21.719 (Chile) | GDPR (UE) |
|---|---|---|
| Notificación de brechas | "Sin dilaciones indebidas", sin plazo en horas | Sin dilación indebida y, si es posible, en 72 horas (art. 33) |
| Delegado de protección de datos | Voluntario; aparece en el modelo de prevención de infracciones (arts. 49 y ss.) | Obligatorio en ciertos casos: organismos públicos, monitoreo sistemático a gran escala, datos sensibles a gran escala (art. 37) |
| Multas | Hasta 5.000, 10.000 y 20.000 UTM según gravedad (art. 35) | Hasta 20 millones de euros o el 4% de la facturación mundial, la cifra mayor (art. 83.5) |
| Topes por ingresos | 2% o 4% de los ingresos anuales solo para reincidencia en infracciones graves o gravísimas de empresas que no son de menor tamaño | Aplica desde la primera infracción |
| Autoridad | Agencia de Protección de Datos Personales | Autoridad de control de cada Estado miembro |
Para quienes trabajan con Europa hay algo más. Chile no figura hoy en la lista de países con decisión de adecuación de la Comisión Europea, donde sí están Argentina, Uruguay y Brasil. En la práctica, una empresa europea que transfiere datos a un proveedor chileno necesita otro mecanismo, normalmente cláusulas contractuales tipo, y esas cláusulas imponen obligaciones al proveedor.
La fecha: 1 de diciembre de 2026, con una postergación en trámite
La vigencia plena de la Ley 21.719 está fijada para el 1 de diciembre de 2026. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto que la mueve al 1 de diciembre de 2027, principalmente porque la Agencia aún no está constituida. A la fecha de este artículo el proyecto sigue en tramitación y no ha sido aprobado ni publicado, así que la fecha que rige es la de diciembre de 2026.
Frenar la adecuación esperando la prórroga nos parece una mala apuesta. Si el proyecto se aprueba, el año extra sirve para terminar con calma. Si no se aprueba, el plazo está a siete semanas. Puede revisar el estado actualizado en nuestro aviso regulatorio.
Qué hacer esta semana
Para salir de la duda no necesita un proyecto de seis meses. Con estos pasos la conversación entre TI y legal deja de dar vueltas:
- Haga el inventario de dónde están las personas cuyos datos trata. Si todas están en Chile, su foco es la Ley 21.719.
- Revise si vende, despacha o hace marketing dirigido a personas en la UE, o si analiza su comportamiento en línea. Ahí puede entrar el GDPR.
- Identifique a sus clientes europeos y los contratos de tratamiento de datos que firmó con ellos. Lo que prometió en esas cláusulas ya le obliga.
- Levante el registro de actividades de tratamiento. Sirve para ambas normas y es la base de todo lo demás.
- Revise sus sistemas, no solo sus políticas. Las bases de datos con copias de producción en ambientes de prueba son un hallazgo frecuente, como explicamos en Datos reales en ambientes de prueba y la Ley 21.719. Y si su empresa gestiona el DS 44, ese sistema también guarda datos sensibles de trabajadores: lo revisamos en este artículo.
Con eso puede responder el cuestionario del cliente europeo con precisión: qué norma le aplica, por qué y qué medidas tiene.
Preguntas frecuentes
¿Si cumplo el GDPR, cumplo automáticamente la Ley 21.719?
No del todo. La base es parecida y mucho del trabajo se reutiliza, pero hay diferencias de plazos, sanciones, autoridad y procedimientos ante los titulares. Hay que revisar el programa contra la ley chilena.
¿Una pyme chilena que solo vende en Chile tiene que preocuparse del GDPR?
En general no. Si no ofrece bienes o servicios a personas en la UE ni monitorea su comportamiento, el GDPR no le aplica. La Ley 21.719 sí, y también a las empresas de menor tamaño.
¿Es obligatorio nombrar un delegado de protección de datos en Chile?
No. En la Ley 21.719 es voluntario, aunque la figura aparece dentro del modelo de prevención de infracciones que la ley regula. Bajo el GDPR sí es obligatorio en algunos casos.
Saber qué norma le aplica ordena la conversación, pero no dice nada sobre el estado real de sus aplicaciones y bases de datos. En Disrupsoft trabajamos esa parte: preparación de la organización, evaluación técnica y corrección de los sistemas. Puede partir con nuestro diagnóstico de la Ley 21.719: doce preguntas, resultado inmediato por área y sin dejar datos de contacto.
