Desde el 1 de diciembre de 2026, manejar mal los datos personales deja de ser un problema de reputación y pasa a ser un problema de caja. La Ley 21.719 crea la Agencia de Protección de Datos Personales, le da facultades para fiscalizar y sancionar, y sube las multas a montos que ninguna gerencia puede ignorar.
Esto es lo que arriesga una empresa en Chile.
Tres tipos de infracciones, tres techos de multa
La ley clasifica las infracciones según su gravedad:
| Tipo de infracción | Multa máxima |
|---|---|
| Leve | Hasta 5.000 UTM |
| Grave | Hasta 10.000 UTM |
| Gravísima | Hasta 20.000 UTM |
Para dimensionarlo, multiplica 20.000 por el valor de la UTM del mes, que publica el SII: una multa gravísima máxima se mide en cientos de millones de pesos.
La ley detalla qué conductas caen en cada categoría. En general, mientras más afecta a las personas y más intencional es el incumplimiento, más grave es la infracción, y los datos sensibles, como los de salud o los biométricos, suben el nivel de riesgo.
Si la empresa reincide, la multa puede calcularse sobre sus ingresos
Cuando una infracción grave o gravísima se repite, la multa puede subir de forma importante. La Agencia puede aplicar hasta el triple de la multa original o un porcentaje de los ingresos anuales por ventas y servicios en Chile: hasta el 2% en infracciones graves y hasta el 4% en gravísimas, y se aplica el monto mayor.
El cálculo sobre los ingresos no se aplica a las empresas de menor tamaño definidas en la Ley 20.416. Para una mediana o gran empresa, en cambio, es el riesgo más serio de toda la ley.
No corregir a tiempo también cuesta
Si la Agencia ordena corregir una infracción y la empresa no lo hace dentro del plazo, la sanción puede recibir un recargo de hasta 50%. Además de la multa, existe un registro de sanciones. Que el nombre de tu empresa aparezca ahí afecta la confianza de clientes y socios comerciales.
Qué baja el riesgo
La ley toma en cuenta la conducta de la empresa al momento de fijar una sanción. Contar con un modelo de prevención de infracciones, con políticas, responsables y capacitación documentada, puede considerarse a favor de la empresa.
Estos son los errores más comunes que terminan en una multa:
- Usar datos para algo distinto a lo que se informó. Por ejemplo, tomar la base de clientes de un servicio para enviar publicidad de otro.
- No tener base legal para tratar datos sensibles, como licencias médicas o huella digital, sin consentimiento explícito.
- No avisar una filtración. Esconder una brecha agrava todo.
- No responder las solicitudes de las personas que piden acceder a sus datos o eliminarlos.
- Equipos sin preparación que abren correos falsos, comparten planillas por WhatsApp o dejan accesos abiertos.
Casi todos estos errores los comete una persona, no un sistema. Por eso la capacitación es una de las medidas con mejor relación entre costo y riesgo.
Por dónde empezar
Si todavía no sabes qué tiene que tener listo tu empresa, revisa Ley 21.719: qué debe hacer tu empresa antes del 1 de diciembre.
Para preparar a tu equipo, en Cursos 360 tenemos el curso de ciberseguridad y protección de datos personales: 40 horas online y asincrónicas, con certificado por participante y evidencia de capacitación que respalda las medidas de tu empresa.
Este artículo es informativo y no reemplaza la asesoría legal para el caso de tu empresa.