¿Qué es la Ley 21.719 y a quién aplica?

La Ley 21.719 es el nuevo marco chileno de Protección de Datos Personales, alineado con GDPR. Aplica a toda persona natural o jurídica, pública o privada, que trate datos de residentes en Chile. La supervisión está a cargo de la Agencia de Protección de Datos Personales (APDP).

¿Cómo gestiono la comunicación de una brecha de datos personales?

Un SLA operativo configurable (por defecto 72h) desde la detección, en línea con el artículo 14 sexies. Vigía centraliza el registro y dispara un countdown automático con plantilla de notificación a la APDP.

¿Qué plazo tengo para responder a un derecho ARCO+?

30 días desde la recepción de la solicitud (art. 5 y art. 8 ter). Vigía calcula el SLA y permite generar la respuesta con IA usando tus RAT como contexto.

¿Cuándo es obligatoria la DPIA (Evaluación de Impacto)?

Cuando el tratamiento implica biometría, datos sensibles masivos, perfilamiento, decisiones automatizadas significativas o transferencias internacionales a países sin nivel adecuado (art. 14 quater).

¿Necesito un DPO (Delegado de Protección de Datos)?

Sí, en organismos públicos, en empresas que traten datos a gran escala o datos sensibles, y en cualquier organización con tratamientos de alto riesgo. El DPO debe tener autonomía y reportar a la dirección (art. 14 octies).

¿Qué pasa si contrato a un proveedor que procesa datos por mí?

Debes firmar un contrato DPA con cláusulas mínimas del artículo 9: finalidades, plazo, medidas de seguridad, sub-encargados autorizados, devolución o eliminación al término. Vigía mantiene un DPA Registry con expiraciones monitoreadas.

¿Qué sanciones contempla la Ley 21.719?

Sanciones administrativas con multas según gravedad. Las infracciones más graves se asocian a brechas no reportadas, falta de bases de licitud y violación de derechos del titular. Una bitácora inmutable es defensa documental clave.

¿Cómo se relaciona la Ley 21.719 con ISO 27001?

ISO 27001 cubre seguridad de la información en general; la Ley 21.719 cubre privacidad y derechos de los titulares. Vigía mapea 36 controles ISO 27001/27701 directamente a artículos de la Ley 21.719 en el módulo Crosswalk.

¿Qué sectores son los más fiscalizados por la APDP?

Fintech y banca (KYC biométrico), salud y seguros (datos sensibles), retail y e-commerce (marketing y perfilamiento), RRHH (gestión de personas) y empresas de IA/ML con decisiones automatizadas.

¿Cuánto tiempo toma implementar un programa de privacidad con Vigía?

8 a 12 semanas para un programa funcional: RAT inicial, DPIA priorizadas, workflow ARCO+, registro de brechas con SLA operativo configurable, DPA Registry y Plan Anual de Privacidad.

Ley 21.719 · Fiscalización APDP activa

/// Privacidad continua, no reactiva.

Ley 21.719 Chile.
Protección de Datos Personales
sin excel ni sustos.

Descubre dónde están tus datos personales y conviértelos en evidencia defendible. Data Discovery que te dice qué fuente tiene datos personales y desde hace cuántos años, un RAT que se mantiene al día solo con tu aprobación, retención declarada vs real, DPIA con scoring IA, brechas con SLA operativo a la APDP, un portal del titular con seguimiento de cada solicitud y consentimientos con recibo verificable.

Hablemos por WhatsApp Agendar demo (45 min) Calcular mi ROI →

Sin tarjeta · 30 min · Diagnóstico de tu programa de privacidad

/// Plazos legales · Ley 21.719

Reloj corriendo desde la primera brecha

La APDP no espera. Cualquier organización que trate datos personales en Chile está sujeta a estos plazos.

72h

SLA operativo de brechas · APDP

Art. 14 sexies · configurable

30d

Respuesta a derechos ARCO+

Art. 5 · Art. 8 ter

12s

Implementación completa con Vigía AI

RAT + DPIA + Brechas + DPA

Anual

Plan documentado de privacidad

Art. 14 octies · 7 actividades

/// Privacy Operations

PrivacyOps — privacidad operacional.

Data Discovery, RAT, DPIAs, brechas, derechos, consentimientos y encargados conectados en un mismo flujo operacional. Evidencia viva, no PDFs estáticos.

RAT vivo

Una bandeja compara lo que encuentra Data Discovery con tu RAT y propone qué vincular, agregar o crear. Tu DPO aprueba cada cambio.

Retención declarada vs real

Cruza el plazo de cada actividad con la antigüedad del dato más viejo de sus fuentes y marca los excesos.

DPIA con scoring IA

Riesgos para titulares en 4 dimensiones, refrescados en cada cambio del RAT.

Gestión de brechas

Countdown APDP con plantilla, evidencia y bitácora inmutable.

Portal del titular

El titular pide, confirma por correo y sigue su solicitud; tu DPO ubica sus datos sistema por sistema.

Consentimientos con recibo

Finalidades que salen del RAT, recibos encadenados y verificables, y un banner que registra también los rechazos.

DPA Registry

Encargados con cláusulas mínimas, vencimientos y due diligence continua.

/// Del dato al RAT

Tu inventario de privacidad se actualiza con tus datos reales.

Cuatro piezas conectadas. La IA propone; una persona decide cada cambio.

01 · DATA DISCOVERY

Encuentra los datos

Bases, buckets, Drive, OneDrive, Jira, Confluence y Notion. Lee dentro de PDF y Office, y dice cuántos archivos no pudo leer y por qué.

02 · FUENTES

Mide su antigüedad

Cada fuente queda con datos personales, sin datos vistos o "no pudimos mirar", y con la antigüedad de su dato más viejo.

03 · RAT VIVO

Propone el cambio al RAT

Fuentes sin actividad que las cubra, categorías no declaradas y actividades que ya no ven datos. Crea la actividad con un borrador IA que tu DPO revisa.

04 · RETENCIÓN

Detecta los excesos

Si el dato es más viejo que el plazo declarado, lo marca y propone una tarea para eliminar, anonimizar o bloquear. Vigía nunca borra datos por su cuenta.

Ver módulo Data Discovery →

/// Obligaciones clave

Las 12 cosas que sí o sí debes documentar

Cada una está mapeada a un artículo de la Ley 21.719 y a un módulo activo en Vigía.

RAT — Registro de Actividades de Tratamiento

Art. 14 ter · 12 secciones · 67 campos

Inventario inmutable de cada actividad que toca datos personales. Versionado y firma del DPO.

DPIA — Evaluación de Impacto (EIPD)

Art. 14 quater · scoring 4 dimensiones

Obligatoria para biometría, perfilamiento, decisiones automatizadas y datos sensibles a gran escala.

Notificación de brechas a la APDP

Art. 14 sexies · SLA operativo

Registro centralizado con workflow open → investigando → cerrado y plantilla de notificación.

Derechos ARCO+ del titular

Art. 5 · Art. 8 ter · SLA 30 días

Acceso, rectificación, cancelación, oposición, portabilidad y no decisiones automatizadas. Portal del titular con seguimiento y búsqueda de sus datos en tus sistemas.

Encargados de tratamiento (DPA)

Art. 9 · sub-procesamiento documentado

Cada proveedor que procesa datos requiere contrato con cláusulas mínimas y due diligence.

Privacy by Design

Art. 14 ter · Art. 14 quinquies

Medidas técnicas y organizativas desde el diseño y por defecto.

Continuidad para datos personales

Art. 26 · BCP Privacy

Plan de continuidad específico para ARCO+ y datos post-brecha con RTO/RPO definidos.

Plan Anual de Privacidad

Art. 14 octies · 7 actividades

Calendario 12 meses documentado, revisable y firmado por DPO.

Cooperación con la APDP

Art. 26 · reportes consolidados

Disponibilidad de documentación para fiscalización. PDF apto APDP en un click.

Auditorías Privacy

Art. 14 octies · 6 tipos

DPO Review, RAT Audit, Breach Drill, DSR Audit, DPA Audit, APDP Inspection.

Bitácora inmutable

Art. 14 ter · ISO 27701 7.5

Trazabilidad completa de RAT, brechas, DSR, DPIA, DPA con actor, timestamp y payload.

Consentimiento con evidencia

Art. 12 · libre, informado y revocable

Qué texto aceptó cada titular, para qué finalidad y cuándo, con recibo verificable, centro de preferencias y retiro con efecto inmediato.

/// Glosario rápido

Los términos que tu auditor APDP sí o sí va a preguntar

RAT / ROPA

Registro de Actividades de Tratamiento. 12 secciones obligatorias según art. 14 ter.

DPIA / EIPD

Evaluación de Impacto en Protección de Datos. Análisis con scoring de 4 dimensiones.

ARCO+

Acceso, Rectificación, Cancelación, Oposición, Portabilidad, No decisiones automatizadas.

DPA

Data Processing Agreement. Contrato responsable–encargado con cláusulas del art. 9.

DPO

Delegado de Protección de Datos. Autónomo, reporta a dirección. Art. 14 octies.

Datos sensibles

Biométricos, biológicos, financieros, religiosos, sindicales, ideológicos. Art. 2 c).

Base de licitud

6 opciones: consentimiento, contrato, ley, vida, función pública, interés legítimo.

Transferencias internacionales

Datos fuera de Chile requieren cláusulas tipo (CCT), BCR o certificación.

/// Foco de fiscalización APDP

Sectores en la mira

Tratamientos de alto riesgo bajo lupa especial.

💳 Fintech y banca · KYC biométrico 🏥 Salud y seguros · datos sensibles 🛍️ Retail y e-commerce · perfilamiento 👥 RRHH · gestión de personas ☁️ SaaS y cloud · transferencias intl. 🤖 IA/ML · decisiones automatizadas

/// Plataforma Vigía AI

17 módulos para cumplir la Ley 21.719

Cada artículo de la ley tiene un módulo. Cada módulo tiene IA accionable.

Dashboard Privacy

Health Score 0-100 con KPIs RAT / DPIA / Brechas / ARCO+ / DPA.

Data Discovery

Fuentes con datos personales y su antigüedad, PDF y Office por dentro.

RAT vivo

12 secciones, versionado, bandeja Discovery → RAT y retención real.

Brechas APDP

SLA operativo, triage IA, plantilla de notificación lista.

Portal del Titular

Solicitudes con seguimiento, verificación y búsqueda de sus datos.

DSR ARCO+

Checklist por sistema, respuesta según el marco, marca del dato en disputa.

Consentimientos

Finalidades del RAT, recibos encadenados, preferencias y webhooks.

DPIA / EIPD

Wizard 6 pasos, scoring IA, citas legales, PDF firmable.

DPA Registry

Encargados, contratos firmables, sub-procesamiento, expiraciones.

Reportes APDP

6 reportes consolidados en PDF apto fiscalización.

Oficina del DPO

Dashboard ejecutivo, KPIs, tareas urgentes con SLA.

Crosswalk ISO ↔ Ley

36 cruces ISO 27001/27701 ↔ Ley 21.719.

Bitácora inmutable

Eventos auditables con payload y actor.

BCP Privacy

Plan de continuidad para datos personales, RTO/RPO, roles.

Plan Anual

Calendario con 7 actividades obligatorias auto-inyectadas.

Auditorías Privacy

6 tipos · readiness score · PDF firmable.

Wigi AI

RAT, DPIA, triage de brechas, respuestas a titulares y plazos de retención.

/// Cómo empezar

7 pasos para cumplir la Ley 21.719

El roadmap que ejecutamos con cada cliente. Listos para auditoría APDP en 8-12 semanas.

PASO 01

Levantar el RAT

Documentar cada tratamiento con las 12 secciones del art. 14 ter. Vigía parte de plantillas sectoriales y de lo que Data Discovery encuentra en tus sistemas, con borradores IA que tu DPO revisa.

PASO 02

Identificar alto riesgo y disparar DPIAs

Biometría, perfilamiento, decisiones automatizadas, datos sensibles masivos (art. 14 quater).

PASO 03

Designar al DPO

Asignar el rol con autonomía y reporte a dirección (art. 14 octies).

PASO 04

Habilitar canal ARCO+

Portal del titular con confirmación por correo y seguimiento, más workflow interno con SLA 30 días (art. 5 + 8 ter).

PASO 05

Implementar registro de brechas con countdown

Comunicación a la APDP con SLA operativo (art. 14 sexies). Plantilla de notificación lista.

PASO 06

Firmar DPAs con encargados

Contratos con cláusulas mínimas del art. 9. Registry con expiraciones.

PASO 07

Aplicar medidas de seguridad y bitácora

MFA, cifrado, RBAC, anonimización, bitácora inmutable (art. 14 quinquies + ISO 27701).