¿Qué documentos exige la Ley 21.719?

Seis documentos base: política de privacidad publicada en el sitio web, avisos de privacidad en cada punto de recolección de datos, Registro de Actividades de Tratamiento (RAT), acuerdos de confidencialidad (DPA) con cada proveedor que acceda a datos, procedimiento ARCO documentado y protocolo de respuesta a brechas.

¿Cuál es el documento más importante para cumplir la Ley 21.719?

El Registro de Actividades de Tratamiento (RAT): un inventario detallado de dónde están tus datos, quién los trata y por cuánto tiempo. Es la base del resto del cumplimiento, junto con la política de privacidad.

¿En qué plazo hay que responder una solicitud ARCO?

Máximo 30 días hábiles desde que recibes la solicitud. Debes informar qué hiciste y, si no accedes a lo pedido, explicar por qué. Además debes guardar un registro de cada solicitud con fecha, tipo, respuesta y resultado.

¿En qué orden conviene implementar el checklist?

Si tu empresa aún no ha comenzado, prioriza en este orden: RAT + política de privacidad, luego contratos con proveedores, medidas técnicas, canal ARCO y capacitación del equipo.

¿Toda empresa debe designar un DPO?

No, pero toda empresa debe evaluarlo: si procesas datos de menores, datos sensibles o haces monitoreo, considera designar un DPO interno o externo. Si lo designas, hazlo por escrito y comunica sus responsabilidades.

Checklist de cumplimiento Ley 21.719 — 2026

La Ley 21.719 sobre protección de datos personales entra en plena vigencia el 1 de diciembre de 2026 y este checklist reúne los 30 puntos críticos que tu empresa debe cumplir antes de esa fecha, clasificados por prioridad. Si tu PyME o empresa mediana no ha iniciado el proceso, aún tienes tiempo para implementar los controles obligatorios. Úsalo para auditar tu estado actual y planificar las acciones faltantes.

Documentación: La base del cumplimiento

Crítico: Sin documentación clara, no hay cumplimiento creíble ante la autoridad. Estos documentos son la evidencia de que tu empresa respeta derechos.

Documento	Qué es / obligación
Política de privacidad	Debe publicarse en tu sitio web y describir qué datos recolectas, para qué, quién tiene acceso y cuánto tiempo los guardas. Artículo 3 de la ley.
Aviso de privacidad	En formularios, cajeros o puntos de contacto donde recolectes datos. Debe ser claro, visible y anterior al consentimiento.
Registro de actividades de tratamiento (RAT)	Un inventario detallado de dónde están tus datos, quién los trata, por cuánto tiempo. Es tu documento más importante.
Acuerdos de confidencialidad (DPA)	Contrato legal que firma con cada proveedor que acceda a datos. Sin DPA, eres responsable de sus brechas.
Procedimiento ARCO documentado	Instrucciones internas sobre cómo responder solicitudes de acceso, rectificación, cancelación u oposición en máximo 30 días hábiles.
Protocolo de respuesta a brechas	Plan escrito para notificar afectados en máximo 72 horas si hay riesgo grave. Incluye roles, canales y plantillas.

Bases legales: Documenta el "por qué"

Importante: La ley no prohíbe recolectar datos, pero sí exige que tengas una base legal clara para cada tipo de dato. Sin ella, no puedes tratar información.

Mapeo de bases legales: Revisa cada dato que recolectas (nombre, email, teléfono, RUT, etc.) e identifica si es consentimiento, contrato, obligación legal o interés legítimo.
Registro de consentimientos: Si usas consentimiento como base, debes guardar evidencia de que el usuario aceptó (timestamp, IP, formulario). No es retroactivo.
Legitimidad de interés legítimo: Si reclamas interés legítimo, documenta por qué. Ejemplo: "Email de cliente para seguimiento post-venta" es legítimo; "vender base de datos a terceros" no lo es.

Canal ARCO: Habilita derechos de las personas

Crítico: Cualquier persona puede solicitar ver, cambiar o borrar sus datos. Debes tener un canal claro y accesible para recibir estas solicitudes.

Email de ARCO: Publica una dirección de correo específica en tu web (ejemplo: privacidad@tuempresa.cl) donde la gente pueda escribir.
Formulario en línea: Opcional pero recomendado. Automatiza la recepción de solicitudes y crea un registro interno.
Plazo de respuesta: Máximo 30 días hábiles desde que recibes la solicitud. Debes informar qué hiciste, aunque no accedas a la solicitud (debes explicar por qué).
Registro de solicitudes: Guarda un log con fecha, tipo de solicitud, datos solicitados, respuesta y resultado. Obligatorio por el artículo 20.

Contratos y relaciones: Asegura el flujo de datos

Importante: Todo tercero que acceda a datos personales debe estar vinculado contractualmente. Esto incluye proveedores de software, agencias, e incluso empleados.

Contrato con proveedores: Firma un DPA con cada proveedor (cloud, agencia de marketing, consultoría IT, etc.). El contrato debe incluir instrucciones de qué pueden hacer con los datos.
Cláusulas en contratos de empleados: Incluye obligación de confidencialidad, prohibición de compartir datos, y consecuencias de incumplimiento.
Matriz de terceros: Lista actualizada de quién tiene acceso a qué datos. Revisión anual mínima.

Medidas técnicas y organizacionales: La práctica

Crítico: La ley exige "medidas apropiadas" para proteger datos. No necesita ser Fort Knox, pero sí razonable para el tamaño de tu empresa.

Cifrado de datos sensibles: RUT, números de cuenta, contraseñas. En tránsito (HTTPS) y en reposo (bases de datos cifradas).
Control de acceso: Solo empleados que necesiten acceden a datos. Usa permisos en sistemas. Documentado.
Backups regulares: Al menos mensual, almacenados en ubicación separada. Prueba recuperación anual.
Logs de acceso: Quién accedió qué, cuándo, desde dónde. Retención: mínimo 1 año.
Antivirus y firewall: Básico pero obligatorio.

Designación de DPO y formación

Importante y Recomendado: No toda empresa necesita DPO (encargado de datos), pero sí debes evaluarlo. Toda empresa necesita que su equipo entienda la ley.

Evaluación de obligatoriedad de DPO: Revisa si procesas datos de menores, datos sensibles, o haces monitoreo. Si sí, considera designar un DPO interno o externo.
Capacitación del equipo: Al menos una vez al año. Enfocada en roles: gerentes entienden privacidad, IT entiende cifrado, RR.HH. entiende consentimiento.
Designación documentada: Si designas DPO, hazlo por escrito y comunica sus responsabilidades (contacto con autoridad, auditorías internas, consultas).

El siguiente paso: Implementa tu plan

Este checklist te muestra qué hacer, pero implementarlo requiere organización y herramientas. Muchas PyMEs cometen el error de dejar todo para último momento. Si tu empresa aún no ha comenzado, prioriza en este orden: RAT + Política de privacidad → Contratos con proveedores → Medidas técnicas → Canal ARCO → Capacitación.