Publicado el 6 de mayo de 2026 · Actualizado el 17 de julio de 2026
GDPR vs. Ley 21.719: 10 diferencias clave para empresas
Cumplir el GDPR europeo no equivale a cumplir la Ley 21.719 chilena: la norma chilena exige responder solicitudes ARCO en 30 días hábiles y contempla multas de hasta 20.000 UTM por infracción gravísima. Si tu empresa ya invirtió en cumplir el GDPR, podrías pensar que también estás cubierta para la ley chilena. Error. Aunque ambas regulaciones comparten objetivos similares —proteger datos personales— sus diferencias estructurales, operacionales y financieras son significativas. Y si tienes clientes o datos de personas en Chile, debes cumplir la ley local, no solo la europea. En este artículo te mostramos las 10 diferencias que realmente importan.
1. Autoridades reguladoras: Agencia (Chile) vs. autoridades europeas
En Chile, la Agencia de Protección de Datos Personales es el organismo encargado de supervisar el cumplimiento de la Ley 21.719. En Europa, cada país tiene su propia autoridad de protección de datos, pero el marco lo lidera la Autoridad Europea de Protección de Datos (AEPD).
La diferencia práctica: en Chile tienes un único punto de contact regulatorio. En Europa, puedes enfrentar múltiples autoridades dependiendo de dónde operes. Para empresas chilenas con datos de ciudadanos europeos, esto significa duplicar esfuerzos de compliance.
2. Plazo para responder ARCO: ¿30 días o 1 mes?
La Ley 21.719 (Art. 22) exige responder solicitudes de acceso, rectificación, cancelación u oposición (ARCO) dentro de 30 días hábiles. El GDPR otorga 1 mes natural, con la posibilidad de extender 2 meses más si la solicitud es compleja.
En la práctica, esto significa:
- Chile: 30 días hábiles = aproximadamente 42 días calendarios (excluyen fines de semana y festivos)
- Europa: 30 días naturales, extendibles a 90 si es necesario
Para empresas con presencia en ambas jurisdicciones, debes usar el plazo más estricto (los 30 días hábiles chilenos) y crear un único sistema de gestión de ARCO que cumpla ambos.
3. Notificación de brechas: 72 horas en ambos casos
Aquí SÍ coinciden. Tanto la Ley 21.719 (Art. 24) como el GDPR (Art. 33) exigen notificar brechas de seguridad a la autoridad reguladora dentro de 72 horas de descubiertas.
Lo que cambia: en Chile, debes también notificar a los titulares "sin demora injustificada" si existe riesgo a sus derechos. En Europa, la notificación al titular es obligatoria siempre que haya riesgo alto. El resultado es similar, pero la redacción de notificaciones debe ajustarse a cada jurisdicción.
4. DPO: obligatorio en ambos, con supuestos distintos
El GDPR requiere un Delegado de Protección de Datos (DPO) obligatoriamente si eres:
- Entidad pública
- Empresa de vigilancia masiva de datos
- Empresa cuya actividad principal es tratamiento de datos a gran escala
La Ley 21.719 también contempla el DPO obligatorio, pero en sus propios supuestos (Art. 19): organismos públicos, tratamiento de datos a gran escala y tratamiento sistemático de datos sensibles. Fuera de esos supuestos la designación es voluntaria — aunque recomendable, porque concentra la responsabilidad de cumplimiento en un rol claro.
Para empresas que ya tienen DPO por GDPR: reutiliza esa estructura, cubre ambos regímenes. Para empresas que cumplen solo la Ley 21.719: evalúa primero si caes en alguno de los tres supuestos del Art. 19.
5. Multas: porcentaje de ingresos vs. UTM
Las multas son donde más duele la diferencia:
- GDPR: hasta €20 millones o 4% del volumen de negocios global anual (el que sea mayor)
- Ley 21.719: hasta 20.000 UTM por infracción gravísima (aproximadamente $1.366 millones de pesos = ~$1,6 millones USD)
Para una empresa con $100 millones de ingresos anuales, el GDPR podría multar hasta $4 millones. La Ley 21.719 está topada en 20.000 UTM por infracción gravísima, pero múltiples infracciones pueden acumularse rápidamente.
6. Transferencias internacionales: decisiones de adecuación vs. contratos
El GDPR solo permite transferencias a países con "adecuación" certificada por la Comisión Europea (lista muy selecta: EEE, Suiza, algunos otros). Alternativamente, puedes usar Cláusulas Contractuales Estándar o Binding Corporate Rules.
La Ley 21.719 (Art. 23) es más flexible: permite transferencias si existe "garantía equivalente de protección" (concepto vago) o si el titular consiente. Esto abre puertas, pero crea ambigüedad legal.
Recomendación práctica: si transfiertes datos de Chile a otro país, usa el estándar más estricto (GDPR). Serás automáticamente compliant con Ley 21.719.
7. Base legal: GDPR vs. Ley 21.719
El GDPR requiere base legal específica para cada tratamiento: consentimiento, contrato, obligación legal, interés vital, función pública, o interés legítimo (Art. 6). Cada dato, cada caso, debe documentar su base legal.
La Ley 21.719 es más permisiva: el consentimiento se presume en muchos casos (Art. 4). Si un cliente te proporciona datos sin objeción explícita, ya tienes base legal implícita para ciertos usos.
Para empresas chilenas: esto es ventajoso. Para empresas europeas adaptándose a Chile: no necesitas el mismo nivel de documentación de base legal, pero es recomendable mantenerlo como buena práctica.
8. Qué reutilizar de GDPR y qué crear nuevo
Puedes reutilizar:
- Sistemas de gestión de consentimiento (ajustando niveles de detalle)
- Procesos de notificación de brechas (72 horas funciona para ambos)
- Registros de actividades de tratamiento (GDPR es más exhaustivo, así que cubre Ley 21.719)
- Políticas de privacidad (con adaptaciones locales mínimas)
Debes crear nuevo:
- Procedimiento de respuesta a ARCO con plazo de 30 días hábiles
- Notificación a titulares ajustada a la redacción de la Ley 21.719, en lenguaje claro, cuando la brecha afecte sus derechos
- Registro interno de solicitudes ARCO con fecha, tipo, respuesta y resultado
9. El MPI: un atenuante chileno sin equivalente directo en GDPR
La Ley 21.719 contempla el Modelo de Prevención de Infracciones (MPI, Art. 32): un programa de cumplimiento documentado que actúa como atenuante ante la Agencia de Protección de Datos Personales y puede reducir sustancialmente la multa. El GDPR premia la "accountability" en la dosimetría de sanciones, pero no tiene una figura equivalente con efecto atenuante tan explícito.
Para una empresa que ya cumple GDPR, documentar ese programa como MPI es fruta madura: reutilizas trabajo ya hecho y ganas el atenuante local.
10. Madurez regulatoria: jurisprudencia europea vs. Agencia nueva
El GDPR rige desde 2018: hay años de multas, criterios y guías de las autoridades europeas que orientan cómo interpretar cada obligación. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 con una Agencia de Protección de Datos Personales nueva y sin jurisprudencia local.
Eso corta en dos sentidos: hay menos certeza sobre cómo fiscalizará la Agencia, pero también una ventana real para ordenar la casa antes de que existan sanciones ejemplificadoras. Las empresas que documenten su cumplimiento desde ahora enfrentarán ese período con mucho menos riesgo.
Preguntas frecuentes sobre GDPR vs. Ley 21.719
¿En qué se diferencia el GDPR de la Ley 21.719 chilena?
Aunque comparten objetivos, difieren en puntos clave: la autoridad reguladora (una única Agencia en Chile vs. múltiples autoridades europeas), el plazo para responder solicitudes ARCO (30 días hábiles en Chile vs. 1 mes natural extendible en Europa), la obligatoriedad del DPO, el régimen de multas (UTM vs. porcentaje de ingresos globales) y las reglas de transferencias internacionales.
Si mi empresa ya cumple el GDPR, ¿cumple automáticamente la Ley 21.719?
No necesariamente. Puede reutilizar sistemas de gestión de consentimiento, procesos de notificación de brechas, registros de actividades de tratamiento y políticas de privacidad con adaptaciones mínimas, pero debe crear procedimientos nuevos, como la respuesta a solicitudes ARCO en 30 días hábiles y notificaciones ajustadas a la redacción de la ley chilena.
¿Qué diferencia hay entre las multas del GDPR y las de la Ley 21.719?
El GDPR sanciona con hasta 20 millones de euros o el 4% del volumen de negocios global anual, el que sea mayor. La Ley 21.719 tiene un tope de 20.000 UTM por infracción gravísima (aproximadamente 1,6 millones de dólares), aunque múltiples infracciones pueden acumularse rápidamente.
¿El plazo para responder solicitudes ARCO es el mismo en Chile y en Europa?
No. La Ley 21.719 (Art. 22) exige responder en 30 días hábiles (unos 42 días calendario), mientras que el GDPR otorga 1 mes natural, extendible 2 meses más si la solicitud es compleja. Para empresas presentes en ambas jurisdicciones conviene usar el plazo más estricto: los 30 días hábiles chilenos.
¿La notificación de brechas de seguridad funciona igual en ambas regulaciones?
El plazo coincide: 72 horas para notificar a la autoridad, tanto en la Ley 21.719 (Art. 24) como en el GDPR (Art. 33). Cambia la notificación a los titulares: en Chile debe hacerse sin demora injustificada si existe riesgo a sus derechos; en Europa es obligatoria siempre que haya riesgo alto.
¿La Ley 21.719 exige un DPO obligatorio como el GDPR?
No. El GDPR exige DPO a entidades públicas y a empresas cuya actividad principal es el tratamiento de datos a gran escala. La Ley 21.719 no exige un DPO obligatorio, pero sí demanda una persona responsable de cumplimiento, con menos requisitos de especialización. Quien ya tiene DPO por GDPR puede reutilizar esa estructura.