Agencia de Protección de Datos Personales: qué es y qué puede fiscalizar en tu marketing
Hasta ahora, en Chile la protección de datos personales era una ley sin nadie que la hiciera cumplir. La Ley 19.628 existía desde 1999, pero no había un organismo dedicado a fiscalizarla, y un reclamo terminaba en tribunales, con costos que casi nadie asumía. La Ley 21.719 cambia eso creando la Agencia de Protección de Datos Personales, un servicio público con facultades para fiscalizar, resolver reclamos, dictar instrucciones y aplicar multas.
Para marketing y comunicaciones, ese es el cambio que importa. Las obligaciones de la ley ya las explicamos en Ley 21.719 y marketing digital; esta guía es sobre quién las va a hacer cumplir: qué es la Agencia, cómo funciona, qué puede revisar en una empresa y qué conviene tener listo.
Qué es la Agencia de Protección de Datos Personales
Es el organismo que la Ley 21.719 crea para velar por el cumplimiento de la normativa de datos personales en Chile. Es un servicio público descentralizado, con personalidad jurídica y patrimonio propio, dirigido por un consejo directivo, y se relaciona con el Gobierno a través del Ministerio de Economía.
Es el equivalente chileno de las autoridades de protección de datos que existen en Europa (las que aplican el RGPD) y en otros países de la región, como la de Argentina, Brasil o México. Y como ellas, concentra tres roles que antes no existían juntos: regular (dicta instrucciones y normas), fiscalizar (revisa cómo las empresas tratan datos) y sancionar (multa cuando no cumplen).
La ley entra en vigencia el 1 de diciembre de 2026, y la Agencia es parte de esa entrada en vigencia: desde esa fecha puede recibir reclamos, abrir fiscalizaciones y aplicar sanciones.
Qué facultades tiene
Lo que la ley le permite hacer, en lo que afecta a una empresa:
- Recibir y resolver reclamos de personas que consideren vulnerados sus derechos: acceso, rectificación, supresión, oposición y portabilidad. Antes eso iba a tribunales; ahora va a la Agencia, que resuelve en un procedimiento administrativo.
- Fiscalizar de oficio: no necesita un reclamo para revisar a una empresa. Puede requerir información, documentos y acceso a sistemas.
- Dictar instrucciones generales obligatorias sobre cómo cumplir la ley, y absolver consultas.
- Aplicar sanciones: amonestación, multas y, en casos graves y reiterados, la suspensión de las operaciones de tratamiento de datos.
- Llevar un Registro Nacional de Sanciones y Cumplimiento, público, donde quedan las empresas sancionadas.
- Certificar modelos de prevención de infracciones, que funcionan como atenuante si algo falla.
- Recibir la notificación de brechas de seguridad: las empresas tienen que informarle cuando pierden o exponen datos personales.
Ese registro público de sanciones es el punto que conviene mirar desde comunicaciones: una multa deja de ser un problema legal y pasa a ser un problema de reputación consultable por cualquiera.
Las multas
La ley clasifica las infracciones en leves, graves y gravísimas, con multas que llegan a 5.000 UTM en las leves, 10.000 UTM en las graves y 20.000 UTM en las gravísimas, y contempla montos mayores para empresas grandes con infracciones reiteradas, calculados sobre sus ingresos anuales. Para dimensionarlo: 20.000 UTM son más de mil millones de pesos.
No es lo que va a pasar en la primera fiscalización de una pyme. Pero sí define el rango en que se mueve la conversación, y explica por qué el cumplimiento dejó de ser un tema del área legal para pasar a ser un tema de la gerencia.
Qué puede revisar en el marketing de una empresa
Lo que más datos personales mueve en una empresa suele ser marketing, y casi siempre sin que nadie lo haya mirado con esa lupa. Lo que la Agencia va a poder revisar:
Los formularios y las bases de contactos. Con qué consentimiento se recogieron los datos, para qué finalidad, y si se están usando para otra. Una base comprada o una lista de un evento usada para envíos comerciales son los casos típicos.
El correo y el marketing directo. Si los envíos tienen una base legal, si es fácil darse de baja y si la baja se respeta. La ley da derecho a oponerse al tratamiento con fines de marketing, y la Agencia recibe ese reclamo.
Las cookies, los píxeles y la analítica. Qué se instala en el navegador de una persona antes de que acepte, qué datos se envían a Meta, Google, TikTok y otros, y si el banner de consentimiento gobierna algo o es decorativo. Es el punto donde más sitios fallan, incluidos muchos que ya tienen banner.
Los datos que viajan a terceros. Plataformas de correo, CRM, herramientas de analítica, agencias. Cada una es un encargado del tratamiento y tiene que estar bajo contrato con las cláusulas que la ley exige.
La política de privacidad. Que exista, que sea legible, que diga qué datos se recogen, para qué, por cuánto tiempo, con quién se comparten y cómo se ejercen los derechos. La plantilla que trae el gestor de contenidos no cumple.
Los datos personales dentro de las herramientas. Un caso frecuente: un formulario que manda el RUT, el correo o el teléfono en la URL, y termina guardado en Google Analytics como nombre de página. Es un dato personal en un servicio de terceros sin base para estar ahí, y se detecta en minutos.
El perfilamiento y las decisiones automatizadas. Segmentar audiencias con datos personales para publicidad es tratamiento; si se hace con datos sensibles (salud, orientación, creencias) las reglas son más estrictas.
Qué tener listo antes de diciembre
En orden de lo que más importa y menos cuesta:
- Un inventario de dónde hay datos personales: formularios, CRM, listas de correo, herramientas de analítica y publicidad, agencias. No se puede cumplir lo que no se conoce.
- La base legal de cada tratamiento: consentimiento, contrato, interés legítimo. Y documentada.
- Un banner de consentimiento que gobierne de verdad: nada se carga antes de aceptar, y rechazar es tan fácil como aceptar. Se comprueba mirando qué scripts corren antes del clic.
- La política de privacidad actualizada y enlazada desde todas las páginas.
- Un canal para ejercer derechos (un correo, un formulario) y un responsable que lo atienda en plazo.
- Contratos con los encargados: plataformas y agencias que tratan datos por cuenta de la empresa.
- Un procedimiento de brecha: quién hace qué si se filtra una base, y cómo se notifica a la Agencia y a las personas.
En Ley 21.719: lo que tienes que saber está el resumen de las obligaciones de la ley que respaldan esta lista.
Por qué es un tema de comunicaciones y no solo legal
Porque la primera fiscalización de una empresa conocida va a ser noticia, y porque el registro de sanciones es público. Una multa de la Agencia va a leerse como "la empresa X usó mal los datos de sus clientes", que es una crisis reputacional antes que un problema jurídico. Sobre cómo se prepara eso escribimos en cómo manejar una crisis reputacional.
Y por el lado positivo: las empresas que lleguen a diciembre con esto en orden van a poder decirlo, y en un mercado donde la mayoría no lo tiene, cumplir es un argumento.
Preguntas frecuentes
¿Desde cuándo puede fiscalizar la Agencia de Protección de Datos Personales?
Desde la entrada en vigencia de la Ley 21.719, el 1 de diciembre de 2026. A partir de esa fecha puede recibir reclamos, iniciar fiscalizaciones y aplicar sanciones. La instalación del organismo se preparó durante el período de vacancia de la ley.
¿La Agencia fiscaliza a todas las empresas o solo a las grandes?
A todas las que traten datos personales, que en la práctica son todas. Lo que cambia con el tamaño es el monto de las multas por reiteración, que en empresas grandes puede calcularse sobre los ingresos anuales. Una pyme con un formulario de contacto y una lista de correo está dentro del alcance.
¿Qué pasa si una persona reclama contra mi empresa?
La Agencia recibe el reclamo, puede pedirle información a la empresa y abre un procedimiento administrativo. Si la empresa respondió a la persona en plazo y con fundamento, el reclamo se resuelve rápido. Por eso importa tener un canal y un responsable para los derechos: la mayoría de los reclamos nacen de una solicitud que nadie contestó.
¿Un banner de cookies me deja en regla?
Solo si funciona. La Agencia va a poder revisar qué se carga en el navegador antes del consentimiento; un banner que muestra un aviso mientras los píxeles ya están corriendo no cumple. Se verifica con las herramientas del navegador: si aparecen llamadas a Meta, Google o TikTok antes del clic en aceptar, el banner es decorativo.
¿Necesito un delegado de protección de datos?
La ley no lo exige a toda empresa, pero sí exige que exista un responsable del tratamiento y recomienda un modelo de prevención, que la Agencia puede certificar y que actúa como atenuante. En empresas medianas, nombrar a alguien que coordine el cumplimiento es lo que hace que el resto de la lista se haga.
¿Tu marketing está listo para que alguien lo revise? En SOUL revisamos formularios, banners, píxeles y políticas desde el lado de la comunicación, y ayudamos a que cumplir se cuente como lo que es: una ventaja. Hablemos.
