Multas de la Ley de Datos en Chile: cuánto puede costarle a tu PYME no cumplir

El esquema de multas de la Ley 21.719

La Ley N° 21.719 clasifica las infracciones en tres categorías. Cada una tiene su propio rango de multas, expresadas en Unidades Tributarias Mensuales (UTM).

Infracciones leves — hasta 5.000 UTM

Aproximadamente 350 millones de pesos chilenos.

Ejemplos:

• No tener publicada la Política de Privacidad.
• No mantener un canal de derechos del titular operativo.
• No actualizar la información de contacto del Responsable del Tratamiento.

Infracciones graves — hasta 10.000 UTM

Aproximadamente 700 millones de pesos chilenos.

Ejemplos:

• Tratar datos personales sin consentimiento cuando se requiere.
• No responder solicitudes ARCO dentro del plazo legal.
• Transferir datos a terceros sin contrato de encargo (DPA).

Infracciones gravísimas — hasta 20.000 UTM

Aproximadamente 1.400 millones de pesos chilenos.

Ejemplos:

• Tratamiento masivo de datos sensibles sin protección reforzada.
• Brecha de seguridad no notificada en el plazo de 72 horas.
• Transferencia internacional de datos sin garantías.

Reincidencia: hasta el 4% de ingresos anuales

Si una empresa reincide en una infracción gravísima, la multa puede escalar al 4% de sus ingresos anuales totales, similar al modelo GDPR europeo.

El período de gracia para PYMEs

La ley reconoce que adecuarse cuesta tiempo y dinero. Por eso introdujo un período de gracia para PYMEs:

Durante los primeros 12 meses desde la entrada en vigencia (entre el 1 de diciembre de 2026 y el 1 de diciembre de 2027), las micro, pequeñas y medianas empresas que cometan infracciones leves o graves recibirán solo amonestaciones, no multas.

Hay matices importantes:

• Aplica solo a PYMEs según definición de la Ley 20.416.
• No aplica a infracciones gravísimas: una brecha no notificada o un tratamiento masivo de datos sensibles sí puede multarte desde el día uno.
• La amonestación es pública y queda en tu registro.

Qué fiscaliza realmente la APDP

La nueva Agencia de Protección de Datos Personales (APDP) no se conforma con que tu Política de Privacidad esté bonita en tu sitio. Fiscaliza:

• Registros datados: ¿tienes un inventario de todos los tratamientos que haces?
• Logs de solicitudes: ¿registraste cuándo recibiste y respondiste cada solicitud ARCO?
• Contratos con terceros: ¿tienes DPA firmados con tus encargados?
• Notificación de brechas: si tuviste un incidente, ¿lo notificaste en 72 horas?

La evidencia operativa vale más que el papel.

Cómo minimizar el riesgo

La mejor forma de evitar una multa es no estar expuesto. Para una PYME típica, el mínimo viable es:

1. Política de Privacidad real y publicada que refleje tu negocio.
2. Consentimiento en formularios que capturen datos.
3. Canal de derechos (un email visible).
4. Contratos con encargados (DPA) para tus principales proveedores.
5. Protocolo simple de notificación de brechas (qué hacer si tienes un incidente).

Ley de Datos Chile te ayuda con los puntos 1, 2 y 4. El resto es organización interna.

Empieza con el escáner gratuito para saber exactamente qué te falta.