Cowork Solutions
Volver a documentos

Ley 21.719 - Normativa complementaria y cumplimiento

Fuente: /docs/documentacion-regulatoria/21719-10-normativa-complementaria-y-cumplimiento.md

Ley 21.719 - Normativa complementaria y cumplimiento

Alcance

Este documento reúne la normativa complementaria mínima que conviene leer junto con la Ley 21.719 y traduce sus exigencias en una lista base de cumplimiento práctico para proyectos documentales y notariales.

Qué debe leerse junto con la ley

La Ley 21.719 es el eje principal del nuevo régimen chileno de protección de datos personales, pero no agota por sí sola todas las referencias necesarias para una implementación responsable. Su lectura conviene complementarla con otras normas, reglamentos e instrumentos operativos.

1. Normas legales relacionadas

Ley 19.628 en su texto consolidado

La Ley 21.719 opera principalmente modificando y sustituyendo el régimen histórico de la Ley 19.628. Por eso, para efectos de interpretación práctica, la referencia útil no es tanto la ley antigua aislada, sino su texto consolidado tras las modificaciones introducidas por la nueva ley.

Ley 20.285 sobre acceso a la información pública

La nueva regulación interactúa con el régimen de transparencia, especialmente cuando hay organismos públicos, solicitudes de acceso, cesión de información o tensiones entre publicidad y privacidad.

Ley 19.496 sobre protección de los derechos de los consumidores

La ley también corrige el perímetro entre protección de datos y tutela del consumidor. Esto es especialmente relevante para flujos de atención, formularios, sitios web, reclamos y relaciones con usuarios finales.

Ley 19.880 sobre procedimientos administrativos

Aunque la Agencia dictará sus propias decisiones en el marco de la ley, el procedimiento administrativo general sigue siendo una referencia importante para la actuación de la autoridad y para las relaciones procedimentales con responsables y titulares.

Otras normas especiales según el flujo de datos

Dependiendo del caso, también puede ser necesario complementar con:

  • normas orgánicas de órganos públicos que tratan datos en ejercicio de sus competencias;
  • reglas sectoriales sobre salud, consumo, identificación, seguridad o registros públicos;
  • la Ley 19.799, cuando el tratamiento se integra con firma electrónica, documentos digitales y trazabilidad documental.

2. Reglamentos y normativa secundaria

Reglamento del artículo 26

La propia ley remite a un reglamento para definir las condiciones, modalidades e instrumentos de:

  • comunicación o cesión de datos personales entre organismos públicos y con privados;
  • anonimización de datos personales, especialmente sensibles.

Este reglamento es importante para cualquier proyecto que intercambie información con terceros o que deba construir datasets anonimizados con fines de consulta, interoperabilidad o analítica.

Reglamento del artículo 51 sobre modelos de prevención

La ley manda dictar un reglamento para los modelos de prevención de infracciones, esto es, programas de cumplimiento orientados a prevenir vulneraciones al régimen de protección de datos.

De acuerdo con antecedentes públicos disponibles, existe un Decreto Supremo N° 662/2025 del Ministerio de Hacienda referido a esta materia. Su interés práctico es alto porque detalla elementos que un programa de cumplimiento debería contemplar, entre ellos:

  • registro de actividades de tratamiento;
  • matriz de riesgos;
  • protocolos internos;
  • mecanismos de reporte;
  • delegado de protección de datos;
  • reglas de certificación, registro y supervisión.

Con todo, para efectos de implementación regulatoria estricta conviene verificar siempre su publicación definitiva, estado formal y operatividad efectiva junto con la entrada en vigencia general del nuevo régimen.

Estatutos e instalación de la Agencia

La ley también supone desarrollo institucional posterior, especialmente en torno a:

  • estatutos de la Agencia;
  • criterios de funcionamiento del Consejo Directivo;
  • futuras decisiones, interpretaciones e instrucciones de carácter general.

Instrucciones generales de la Agencia

Una parte importante del estándar real de cumplimiento se terminará de definir por vía administrativa. En particular, conviene monitorear futuras instrucciones sobre:

  • seguridad y estándares mínimos diferenciados;
  • transparencia y deberes de información;
  • costos y mecanismos de ejercicio de derechos;
  • evaluaciones de impacto;
  • transferencias internacionales;
  • certificación y supervisión de programas de cumplimiento.

3. Información complementaria de uso práctico para notarías

Para el proyecto notarial, la ley debería complementarse además con una lectura operativa de los siguientes temas:

  • relación entre sitio web, repositorio documental y deber de transparencia;
  • reglas para encargados y subencargados cuando existan proveedores cloud o SaaS;
  • definición de bases de licitud para formularios, onboarding, almacenamiento documental, soporte y atención postventa;
  • tratamiento de datos sensibles, biométricos, de niños, niñas y adolescentes o de geolocalización, si alguna funcionalidad llegara a involucrarlos;
  • procedimientos para interoperar con organismos públicos sin sobredifundir datos.

4. Documentos operativos mínimos de cumplimiento

Más allá de la ley y sus reglamentos, una organización que trate datos personales debería contar al menos con una base documental de cumplimiento como la siguiente:

Registro o inventario de actividades de tratamiento

Documento que identifique:

  • qué datos se tratan;
  • con qué finalidad;
  • bajo qué base de licitud;
  • con qué plazos de conservación;
  • con qué destinatarios o encargados.

Matriz de bases de licitud y finalidades

Debe permitir justificar por cada flujo si el tratamiento descansa en:

  • consentimiento;
  • obligación legal;
  • ejecución contractual;
  • interés legítimo;
  • otra habilitación legal aplicable.

Política de privacidad y transparencia

Debe alinearse con los deberes de información exigidos por la ley y reflejar tratamientos reales, no sólo fórmulas genéricas.

Procedimiento de ejercicio de derechos del titular

Debe definir canal, autenticación, plazos, trazabilidad, criterios de respuesta y manejo de bloqueo temporal.

Protocolo de incidentes y brechas de seguridad

Debe permitir detectar, documentar, escalar y eventualmente reportar vulneraciones, tanto a la autoridad como a los titulares cuando corresponda.

Contratos con encargados y terceros

Deben regular objeto del encargo, finalidades, seguridad, subencargados, devolución o supresión de datos y colaboración ante incidentes o reclamos.

Matriz de conservación, supresión y anonimización

Permite justificar cuánto tiempo se mantiene cada categoría de dato, cuándo debe eliminarse y en qué casos procede anonimizar en lugar de conservar identificadores.

Criterio de evaluación de impacto

Especialmente relevante para tratamientos de alto riesgo, monitoreo sistemático, perfilamiento, grandes volúmenes de datos o categorías especialmente protegidas.

5. Conclusión práctica

La Ley 21.719 ya entrega el marco central del régimen chileno de protección de datos, pero su aplicación completa depende de tres capas adicionales:

  1. normas legales relacionadas;
  2. reglamentos e instrucciones de la futura Agencia;
  3. documentación interna de cumplimiento que vuelva operables los derechos, principios y deberes legales.

Para un proyecto notarial o documental, el mayor valor de esta normativa complementaria no está sólo en la teoría jurídica, sino en permitir diseñar flujos, repositorios, contratos, políticas y controles que sigan siendo defendibles cuando el régimen entre plenamente en operación.

Navegación

Documentos relacionados

Hablemos