En breve
- Qué es
- Ley 21.719: reporte de vulneraciones a las medidas de seguridad de los datos personales
- A quién aplica
- Al responsable de datos o responsable: "toda persona natural o jurídica, pública o privada, que decide acerca de los fines y medios del tratamiento de datos personales", trate los datos directamente o a través de un tercero mandatario o encargado (art. 2 n). Ver detalle
- Plazos
- Rige desde el 01-12-2026. Reporte a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" (art. 14 sexies); la ley no fija un plazo en horas. Ver detalle
- Qué exige
- Reporte a la Agencia de las vulneraciones de seguridad de datos personales, desde el 01-12-2026 (art. 14 sexies). Ver detalle
- Actualizado
- 17-10-2026
Resumen ejecutivo
- Qué: la Ley 21.719 obliga a reportar las vulneraciones a las medidas de seguridad de los datos personales (Ley 19.628, art. 14 sexies).
- Cuándo: Rige desde el 01-12-2026. Reporte a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" (art. 14 sexies); la ley no fija un plazo en horas.
- Además: registro de cada comunicación y aviso a los titulares si la vulneración afecta datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales (art. 14 sexies).
- Estado: publicada en el Diario Oficial el 13-12-2024; rige desde el 01-12-2026 (art. primero transitorio).
- Salvedad (al 17-10-2026): el proyecto de ley Boletín 18623-07 (Mensaje ingresado al Senado el 01-09-2026, en primer trámite) propone postergar la vigencia al 01-12-2027. Es un proyecto, no una norma vigente: mientras no se publique como ley en el Diario Oficial, rige el 01-12-2026.
A quién aplica
Al responsable de datos o responsable: "toda persona natural o jurídica, pública o privada, que decide acerca de los fines y medios del tratamiento de datos personales", trate los datos directamente o a través de un tercero mandatario o encargado (art. 2 n). El tercero mandatario o encargado debe reportar la vulneración al responsable (art. 15 bis).
Plazos
- Sin dilaciones indebidas (la ley no fija horas), por los medios más expeditos posibles Reporte a la Agencia de la vulneración a las medidas de seguridad Vulneración que ocasione destrucción, filtración, pérdida o alteración de los datos o su comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades de los titulares · Ley 19.628, art. 14 sexies, inciso 1° (texto dado por la Ley 21.719) · Lo exige la norma · Desde el 01-12-2026
- La ley no fija plazo Registro de las comunicaciones Cada comunicación a la Agencia · Ley 19.628, art. 14 sexies, inciso 2° (texto dado por la Ley 21.719) · Lo exige la norma · Desde el 01-12-2026
- La ley no fija plazo Comunicación a los titulares (datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales) Vulneración que afecte esos datos · Ley 19.628, art. 14 sexies, inciso 3° (texto dado por la Ley 21.719) · Lo exige la norma · Desde el 01-12-2026
¿Quieres ver cómo se registra una vulneración de datos personales en iziRisk Op?
Agenda una demoQué exige y cómo lo cubre iziRisk Op
| Qué exige | Cómo lo cubre iziRisk Op |
|---|---|
| Reporte a la Agencia de la vulneración a las medidas de seguridad | Op permite configurar los campos, el flujo y el reporte que exige la norma. |
| Registro de las comunicaciones | Op permite configurar los campos, el flujo y el reporte que exige la norma. |
| Comunicación a los titulares (datos sensibles, de menores de 14 años o de obligaciones económicas, financieras, bancarias o comerciales) | Op permite configurar los campos, el flujo y el reporte que exige la norma. |
Guía informativa, no asesoría legal. El envío al regulador lo hace siempre la entidad.
Norma y vigencia
Regulador: Agencia de Protección de Datos Personales. Norma: Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (modifica la Ley 19.628), art. 14 sexies, arts. 34 ter, 34 quáter y 35. Estado: Publicada en el Diario Oficial el 13-12-2024. Las modificaciones a la Ley 19.628 rigen el día primero del mes vigésimo cuarto posterior a su publicación (art. primero transitorio): el 01-12-2026, según la ficha oficial de LeyChile. Salvedad (al 17-10-2026): el proyecto de ley Boletín 18623-07 (Mensaje ingresado al Senado el 01-09-2026, en primer trámite) propone postergar la vigencia al 01-12-2027. Es un proyecto, no una norma vigente: mientras no se publique como ley en el Diario Oficial, rige el 01-12-2026.
Emisor: Ley 21.719, del Congreso Nacional de Chile. Fiscaliza la Agencia de Protección de Datos Personales.
Detalle de los plazos
La comunicación a los titulares se hace a través de sus representantes, cuando corresponda, y debe singularizar los datos afectados, las posibles consecuencias de las vulneraciones y las medidas de solución o resguardo adoptadas (art. 14 sexies, inciso 3°). Ante un incidente de seguridad, y en caso de controversia judicial o administrativa, corresponde al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas (art. 14 quinquies). Los estándares mínimos de seguridad se diferencian según el tipo de dato, el tamaño de la entidad y la actividad, y los fija la Agencia por instrucción general (art. 14 septies).
Sanciones
Omitir las comunicaciones o los registros en los casos de vulneración de las medidas de seguridad es infracción grave (art. 34 ter k). Omitir en forma deliberada la comunicación de las vulneraciones que puedan afectar la confidencialidad, disponibilidad o integridad de los datos es infracción gravísima (art. 34 quáter f). Multas de hasta 10.000 UTM para las graves y de hasta 20.000 UTM para las gravísimas (art. 35). En los primeros doce meses de vigencia, a las empresas de menor tamaño la Agencia puede aplicar una amonestación por escrito (art. sexto transitorio).
Fuente oficial
- Fuente oficial: Ley 21.719, texto oficial en LeyChile (BCN); publicada en el Diario Oficial el 13-12-2024 (consultada el 17-10-2026)
- Fuente oficial: Ley 19.628, texto oficial en LeyChile (BCN), con las modificaciones de la Ley 21.719 (consultada el 17-10-2026)
- Fuente oficial: Decreto 662/2025 (13-06-2025), reglamento de los modelos de prevención de infracciones, texto oficial en LeyChile (BCN) (consultada el 17-10-2026)
Actualizado el 17-10-2026
Contenido informativo basado en la norma oficial vigente a la fecha indicada; no constituye asesoría legal. Consulte siempre el texto oficial.
Preguntas frecuentes
¿Desde cuándo rige el deber de reportar vulneraciones?
Desde el 01-12-2026: las modificaciones a la Ley 19.628 rigen el día primero del mes vigésimo cuarto posterior a la publicación de la Ley 21.719 en el Diario Oficial (13-12-2024) (art. primero transitorio).
¿Se posterga la Ley 21.719?
Rige desde el 01-12-2026 (art. primero transitorio). Salvedad (al 17-10-2026): el proyecto de ley Boletín 18623-07 (Mensaje ingresado al Senado el 01-09-2026, en primer trámite) propone postergar la vigencia al 01-12-2027. Es un proyecto, no una norma vigente: mientras no se publique como ley en el Diario Oficial, rige el 01-12-2026.
¿En qué plazo se reporta a la Agencia?
"Por los medios más expeditos posibles y sin dilaciones indebidas" (art. 14 sexies). La ley no fija un plazo en horas.
¿Cuándo hay que avisar a los titulares?
Cuando la vulneración se refiere a datos personales sensibles, a datos de niños y niñas menores de catorce años o a datos relativos a obligaciones de carácter económico, financiero, bancario o comercial (art. 14 sexies, inciso 3°).
¿Qué pasa si se omite el reporte?
Omitir las comunicaciones o los registros es infracción grave (art. 34 ter k), con multa de hasta 10.000 UTM (art. 35).