Publicaciones
Cómo prepararse para la Ley 21.719: el plan del primer año
La ley no replicó el artículo 30 del RGPD, así que no existe obligación de llevar un RAT. Pero hay tres razones por las que igual necesita el inventario.
Autor: Antonio Vásquez Amestica, Socio · Datos y Seguridad · Revisión: Erika Quintana Espinoza, Socia · Legal y Regulatorio
Publicado: · Última revisión normativa:
¿Es obligatorio llevar un Registro de Actividades de Tratamiento?
La pregunta que llega a esta altura es cómo cumplir. Una advertencia previa: la ley chilena no obliga a llevar un Registro de Actividades de Tratamiento. No replicó el artículo 30 del RGPD. Quien le diga lo contrario no leyó el texto.
Lo que sí ocurre es que resulta imposible cumplir sin un inventario equivalente, por tres razones concretas. La carga de la prueba de la licitud recae completa sobre el responsable, en los artículos 3 letra a), 12, 13 y 14 quinquies. El deber de publicación del artículo 14 ter obliga a mantener en el sitio web casi todo el contenido de un RAT, incluidas finalidades, base de legitimidad, plazos de conservación, destinatarios y transferencias internacionales. Y la Agencia puede crear el registro por instrucción general en cualquier momento.
¿Qué pasos debe seguir una empresa antes de diciembre de 2026?
Sobre esa base, la secuencia razonable para un delegado que parte de cero:
- Inventario de tratamientos por proceso de negocio, no por sistema. Un CRM no es un tratamiento. «Gestión de postulantes» sí lo es.
- Mapeo de base de licitud para cada tratamiento, entre consentimiento del artículo 12 y los cinco supuestos del artículo 13. El interés legítimo exige documentar la ponderación, no solo invocarlo.
- Evaluaciones de impacto en los cuatro supuestos del artículo 15 ter, que son la única exigencia documental verdaderamente obligatoria y previa al inicio del tratamiento: perfilamiento con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público y tratamiento de datos sensibles bajo las hipótesis de excepción del consentimiento.
- Contratos de encargo con proveedores, conforme al artículo 15 bis. Objeto, duración, finalidad, tipo de datos, categorías de titulares y obligaciones. Sin autorización escrita, el encargado no puede subdelegar, y si trata con un objeto distinto pasa a ser responsable y responde solidariamente.
- Procedimiento de derechos con plazos, evidencia y responsables nominados.
- Protocolo de brechas. El artículo 14 sexies no fija plazo en horas. Exige comunicación a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas», más la comunicación al titular cuando hay datos sensibles, de niños menores de catorce años o de obligaciones económicas, financieras, bancarias o comerciales. Y obliga a llevar un registro de todas las vulneraciones, no solo de las reportables.
- Transferencias internacionales, con las cláusulas tipo aprobadas por Resolución Exenta 202503748 de diciembre de 2025 como puente mientras la Agencia no dicte su regulación.
- Decisión sobre el MPI, una vez que los siete puntos anteriores tengan sustento real. Certificar un modelo vacío es la peor combinación posible: costo, exposición y una infracción gravísima del artículo 34 quáter letra j) si la información entregada en el proceso de certificación resulta falsa o manifiestamente errónea.
«Artículo 14 sexies.- Deber de reportar las vulneraciones a las medidas de seguridad. El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.»
Inciso primero — Ley 19.628, texto reformado por la Ley 21.719 · Ver en BCN (versión vigente 01-12-2026)
¿Por dónde empieza una empresa pequeña con equipo reducido?
La secuencia de ocho pasos es la misma para todos, pero el orden de prioridad cambia cuando no hay un equipo de cumplimiento dedicado. Con recursos acotados, conviene invertir el criterio de «hacerlo todo un poco» por el de «cerrar completamente los dos pasos de mayor exposición antes de tocar el resto»: el inventario de tratamientos —porque sin él ningún otro paso tiene base real— y el protocolo de brechas, porque es el único de los ocho que se activa sin aviso previo y cuyo incumplimiento se nota de inmediato.
En una micro, pequeña o mediana empresa, además, el dueño o las máximas autoridades pueden asumir personalmente las tareas de delegado, según permite el artículo 50: no hace falta contratar a nadie para empezar a construir el inventario. El desarrollo completo de esa figura está en funciones del DPO y condiciones de designación.
Un diagnóstico de exposición cierra los ocho puntos con alcance y precio fijo.
Preguntas frecuentes
- ¿La Ley 21.719 obliga a llevar un Registro de Actividades de Tratamiento?
- No. La ley chilena no replicó el artículo 30 del RGPD, así que no existe obligación expresa de llevar un RAT. Sin embargo, es imposible cumplir sin un inventario equivalente, porque la carga de la prueba de licitud recae sobre el responsable y el artículo 14 ter obliga a publicar en el sitio web casi todo su contenido.
- ¿Qué evaluaciones de impacto son obligatorias?
- Las de los cuatro supuestos del artículo 15 ter: perfilamiento con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público y tratamiento de datos sensibles bajo las hipótesis de excepción del consentimiento.
- ¿Qué plazo fija la ley para notificar una brecha de datos?
- El artículo 14 sexies no fija un plazo en horas. Exige comunicación a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas», y obliga a llevar un registro de todas las vulneraciones, no solo de las reportables.
- ¿Por dónde debería empezar una empresa pequeña sin equipo de cumplimiento dedicado?
- Por el inventario de tratamientos y el protocolo de brechas: el primero porque los demás pasos dependen de él, el segundo porque es el único que se activa sin aviso previo. El dueño o las máximas autoridades pueden asumir personalmente las tareas de delegado mientras se construye lo demás.
Fuentes
Ley 21.719 (D.O. 13-12-2024) y Ley 19.628 en su texto reformado, versión BCN. Ley 21.806 (D.O. 05-02-2026). Resolución Exenta 202503748 del Ministerio de Economía (D.O. 19-12-2025) sobre cláusulas contractuales tipo para transferencias internacionales. Circular IF/N° 514 de la Superintendencia de Salud (D.O. 05-11-2025). Valor UTM del Servicio de Impuestos Internos.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto.