Checklist Ley 21.719 pymes: 12 puntos y evidencia

Faltan menos de tres meses para el 1 de diciembre de 2026. Ese día la Ley 21.719 empieza a regir con una autoridad que fiscaliza de verdad, y la pregunta que le van a hacer a tu empresa no es “¿tienes una política de datos?”. Es “muéstrame el registro”. Este checklist Ley 21.719 recorre los 12 puntos que tienes que tener listos y, en cada uno, la evidencia concreta que debes poder mostrar.

Cumplir y poder demostrar que cumples son dos proyectos distintos: el primero se resuelve con un documento, el segundo con sistemas que dejan rastro.

¿Prefieres partir por el diagnóstico? Nuestro test gratuito de cumplimiento Ley 21.719 son 12 preguntas y te muestra tus brechas al instante. Si aún no tienes claro qué exige la ley, parte por la guía completa de la Ley 21.719.

Qué es el checklist de la Ley 21.719

Es la lista de puntos verificables que la Agencia de Protección de Datos Personales puede revisarte: la mayoría son deberes de la ley y el resto, las herramientas prácticas para demostrar que los cumples. No es un trámite: nadie te va a pedir “el checklist”. Es la carpeta que necesitas tener armada el día que llegue un requerimiento, un reclamo o una brecha.

Los 12 puntos salen de las obligaciones de la ley, del contenido mínimo que el artículo 49 exige a un modelo de prevención de infracciones, y de la guía oficial de implementación de la Secretaría de Gobierno Digital.

Los 12 puntos del checklist Ley 21.719

La columna que importa es la tercera. Cualquiera puede marcar “sí” en la primera.

Falta uno que no aplica a todos y por eso va aparte: la evaluación de impacto (DPIA). Si haces perfiles con efectos significativos (como un scoring), tratamiento masivo, monitoreo sistemático de zonas de acceso público, o tratas datos sensibles —salud, biometría— sin consentimiento bajo una excepción legal, necesitas un informe previo y documentado del riesgo (artículo 15 ter). Si tu pyme solo vende, factura y hace marketing, probablemente no te toca.

De los 12, tres concentran casi todo el trabajo real. El punto 8 —el anexo de tratamiento con cada proveedor que toca tus datos— es el más rápido de cerrar y el que más veces está vacío.

El RAT es el punto que ordena todo lo demás

El registro de actividades de tratamiento es el que hace posible los otros once. La ley no exige un documento con ese nombre —lo que exige es que publiques qué datos tratas, para qué, con qué base y por cuánto tiempo (artículo 14 ter)—, pero el RAT es la forma práctica de tener esa información ordenada y al día: sin RAT no sabes a quién notificar una brecha ni dónde buscar cuando alguien pide que lo borren. Si necesitas el detalle de qué es y cómo se levanta, está en la guía de la Ley 21.719.

Lo que importa acá es cómo te defiende, y no es por lo que dice: es por su fecha de última actualización. Si la Agencia te pide acreditar qué datos tratas y la última modificación del registro es de hace ocho meses, el documento prueba lo contrario de lo que pretendes: que tu operación cambió y el papel no. Un RAT mantenido a mano siempre pierde esa carrera; conectado a tus fuentes, se defiende solo. Ahí el software a medida rinde más que una planilla.

Los derechos ARCO se ganan o se pierden en la bitácora

Cuando alguien pide acceder, corregir, portar o borrar sus datos, la evidencia no es que respondiste: es cuándo respondiste. La prueba es el timestamp —fecha de ingreso, fecha de respuesta, quién la firmó—. Una solicitud bien resuelta pero sin registro fechado es, para efectos de fiscalización, una solicitud que nunca contestaste.

Ese es el argumento para automatizar el flujo: no ahorrar tiempo, sino que la prueba se genere sola en vez de depender de que alguien se acuerde de anotarla. Es el tipo de proceso que resuelve la automatización con IA.

Las brechas: ojo con el mito de las 72 horas

Vas a leer en muchas partes que la Ley 21.719 te da 72 horas para notificar una brecha. No es así. La ley no fija un número: obliga a reportar a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas”. Las 72 horas vienen del RGPD europeo y, en Chile, de la Ley 21.663 Marco de Ciberseguridad —otra norma, con otro alcance—.

Que no haya número no te deja más tranquilo: te deja sin defensa. Con un plazo fijo sabes cuándo cumpliste; con “sin dilaciones indebidas” lo que se evalúa es tu diligencia, y eso solo se prueba con la bitácora del incidente. Fíjate tú un plazo interno —48 o 72 horas es la vara razonable— y déjalo escrito en el protocolo. El problema de fondo, eso sí, es anterior: sin logs ni alertas ya incurriste en dilación indebida cuando te enteras, meses después, porque te avisó un cliente. Son los mismos controles que exige la ley de ciberseguridad para pymes.

Los 4 puntos donde las pymes chilenas fallan

Un análisis publicado en junio de 2026 advierte que hay prácticas habituales en pymes que quedan en zona gris bajo la nueva ley. Cuatro aparecen una y otra vez:

• Promociones por WhatsApp a una base armada sin consentimiento documentado. El canal es legítimo; el problema es no poder probar de dónde salió cada número. La WhatsApp Business API al menos te deja registro de opt-in.
• Biometría para marcar asistencia. La huella es dato sensible y se trata con el estándar más alto. Ojo si estás implementando el registro electrónico de asistencia.
• Traspaso de bases de clientes a terceros sin consentimiento ni contrato de por medio.
• Cesión de facturas a factoring sin protocolo de protección de datos, algo cotidiano en cualquier operación de cobranza.

Ninguna de las cuatro se arregla con un PDF de política. Las cuatro se arreglan cambiando cómo funciona el proceso.

El año de gracia no es un pase libre

Acá hay una buena noticia con letra chica. Las empresas de menor tamaño definidas en la Ley 20.416 tienen una marcha blanca: durante los primeros 12 meses de vigencia, cuando proceda sancionarlas, la Agencia podrá aplicar una amonestación por escrito en lugar de multa (artículo sexto transitorio). Es un colchón real frente a una escala que llega hasta 20.000 UTM en infracciones gravísimas.

La letra chica: es una facultad de la Agencia, no un derecho automático, y la amonestación queda registrada. Te da margen, no un año sin obligaciones. Y no cubre lo que más duele: la Agencia puede ordenar suspender un tratamiento —dejar de usar una base de datos clave— aunque no te multe. Para una pyme, frenar el proceso de ventas pesa más que cualquier UTM.

El modelo de prevención de infracciones: el atenuante voluntario

La novedad que casi nadie tiene en el radar: el Decreto N° 662/2025 del Ministerio de Hacienda —que entra en vigencia junto con la ley— regula los modelos de prevención de infracciones del artículo 49. Según el análisis del reglamento publicado en Diario Constitucional, lo relevante para una pyme es esto:

• Es voluntario (artículo 49), pero no te libera del deber general de adoptar acciones para prevenir infracciones (artículo 48).
• La certificación la otorga la Agencia (artículo 51), dura 3 años renovables (artículo 52) y constituye atenuante en caso de infracción (artículo 36).
• Si adoptas el modelo, designar un delegado de protección de datos es obligatorio (artículo 49, letra a). La ley no exige que sea trabajador de la empresa, y en micro, pequeñas y medianas empresas puede asumirlo el dueño (artículo 50).
• Su contenido mínimo, según el artículo 49, es: la designación del delegado y la definición de sus medios y facultades; la identificación de los datos que tratas y de sus titulares, y de los procesos en que aumenta el riesgo de infracción; protocolos para prevenirlas; mecanismos de reporte interno y a la autoridad ante brechas de seguridad, y sanciones internas con procedimientos de denuncia.
• Esas reglas deben incorporarse a los contratos de trabajo y de prestación de servicios, o bien al reglamento interno (artículo 49).

Traducción práctica: si armas bien los 12 puntos, ya tienes buena parte del contenido mínimo de un modelo certificable; te faltaría sobre todo formalizar el delegado, las sanciones internas y su incorporación a los contratos o al reglamento interno. Buena parte del checklist y del atenuante es el mismo trabajo.

Cómo evidenciar sin ahogarte en papeleo

La trampa del cumplimiento es tratarlo como un proyecto de documentos. Los documentos envejecen; los sistemas no, si están conectados a la operación. La regla que usamos: si un punto del checklist depende de que alguien se acuerde de actualizar una planilla, ese punto va a fallar.

Eso deja una lista corta de cosas que conviene que ocurran solas: que el RAT se actualice cuando cambia el proceso, que cada solicitud ARCO quede fechada al responderse, que el consentimiento se registre al darse y que una brecha dispare una alerta el día uno. El resto puede vivir en un documento.

En Softdigital construimos esa capa. No reemplazamos a tu abogado —la validación legal de la política la hace él—; le damos la infraestructura para que lo escrito se cumpla solo. Es la misma trazabilidad con la que, en automatizaciones de este tipo, se reduce 60–80% del tiempo en tareas antes manuales.

Si quieres alcance y precio cerrados, nuestros paquetes de adecuación Ley 21.719 parten en $990.000 CLP para pymes, con precio fijo y el código quedando tuyo.

Empieza por el punto 2, no por el 1

Casi todas las pymes parten por la política de privacidad porque es lo más visible. Es el orden equivocado: sin el RAT, la política describe una realidad que no conoces. Levanta primero el registro y el resto se ordena solo.

Conversemos 15 minutos: revisamos en qué punto del checklist estás hoy y qué se resuelve con sistemas en vez de papeleo. Diagnóstico gratuito, propuesta en menos de 24 horas y precio fijo sin sorpresas.