Multas de la Ley 21.719: cuánto arriesga tu pyme en Chile

Una sola infracción gravísima a la Ley 21.719 puede costarle a tu empresa hasta 20.000 UTM: más de $1.400 millones al valor de la UTM de julio de 2026. No es una cifra teórica para asustar —es el techo que fija la nueva ley— y desde el 1 de diciembre de 2026 habrá una Agencia con facultades reales para aplicarla. Si tienes una pyme y tratas datos de clientes, trabajadores o proveedores (o sea, prácticamente todas), las multas de la Ley de Protección de Datos dejaron de ser un riesgo lejano.

Este artículo aterriza las multas de la Ley 21.719 en Chile a números concretos: cuánto es cada tramo en pesos, qué conducta cae en cada nivel, cuándo la multa se triplica y qué cubre —y qué no— el famoso “año de gracia” para pymes.

¿Recién te pones al día con la ley? Parte por la guía de la Ley 21.719 para pymes. Y si quieres saber en minutos qué te falta, usa el test gratuito de cumplimiento.

Cuánto son las multas de la Ley 21.719 (en UTM y en pesos)

La Ley 21.719, que reemplaza a la antigua Ley 19.628, clasifica las infracciones en tres niveles y fija un tope de multa para cada uno, expresado en UTM. Como la UTM se reajusta cada mes, conviene traducirla a pesos con un valor de referencia: en julio de 2026 la UTM vale $71.649 (valor oficial del SII).

Son topes, no montos automáticos. La Agencia gradúa la multa según la gravedad de la conducta, la intencionalidad, el daño causado, el beneficio económico obtenido y la capacidad económica del infractor. Una pyme y un banco no reciben la misma cifra por la misma falta. Pero el marco es este, y el piso de exposición es alto.

Qué cuenta como infracción leve, grave o gravísima

La clave para dimensionar el riesgo no es el número máximo, sino dónde cae tu conducta habitual. Estos son los ejemplos típicos de cada nivel.

Infracciones leves. Son incumplimientos más bien formales: no informar bien al titular sobre el tratamiento (transparencia parcial), responder una solicitud de derechos fuera de plazo o no hacer una comunicación obligatoria a la Agencia. Molestas, pero acotadas.

Infracciones graves. Aquí está el grueso del riesgo real para una pyme: tratar datos sin base legal ni consentimiento, aplicar medidas de seguridad insuficientes, obstaculizar el ejercicio de los derechos ARCO del titular, vulnerar el deber de secreto o tratar datos de niños, niñas y adolescentes sin los resguardos que exige la ley.

Infracciones gravísimas. Lo más serio, y acá el matiz importa: tratar, comunicar o ceder a sabiendas datos sensibles (salud, biometría, afiliación política o sindical, origen étnico) en contravención a la ley, desviar maliciosamente los datos a una finalidad distinta de la consentida, realizar transferencias internacionales prohibidas o entregar información falsa a la Agencia. La palabra “a sabiendas” es la que separa el tramo: tratar datos sensibles sin base legal, pero sin esa intencionalidad, es infracción grave —hasta 10.000 UTM—, no gravísima.

El detalle importa porque la mayoría de las pymes no arriesga la gravísima por maldad, sino la grave por desprolijidad: una base de correos comprada, un formulario sin consentimiento claro, un Excel con datos de clientes sin ninguna medida de seguridad.

Reincidencia: cuando la multa se triplica (o se calcula sobre tus ventas)

La multa de la primera vez no es el final de la historia. Si tu empresa reincide dentro de los 5 años siguientes, la Agencia puede aplicar hasta el triple del monto de la infracción cometida.

Y hay un cálculo alternativo pensado para las empresas grandes. Para las que no son de menor tamaño y reinciden en infracciones graves o gravísimas, el tope puede fijarse como un porcentaje de los ingresos anuales por ventas y servicios que la Ley 21.719 establece en 2% (grave) y 4% (gravísimo). Para una compañía con facturación alta, ese 4% puede superar con creces las 20.000 UTM.

A la multa se le pueden sumar sanciones accesorias que a veces duelen más que el dinero:

• Suspensión de las operaciones de tratamiento hasta por 30 días (imagina tu sistema de marketing o de asistencia congelado por un mes).
• Prohibición temporal o definitiva de tratar ciertos datos.
• Publicación de la sanción en un registro nacional, visible para clientes, socios e inversionistas.

El “año de gracia”: por qué no te salva del todo

Existe un respiro, pero conviene leer la letra chica. Durante los primeros 12 meses de vigencia —del 1 de diciembre de 2026 al 1 de diciembre de 2027— la Agencia puede aplicar a las empresas de menor tamaño (según la Ley 20.416) una amonestación por escrito en lugar de multa. Suena tranquilizador, hasta que se mira de cerca:

• Es solo para empresas de menor tamaño, no para todas.
• Aplica a la primera infracción; la reincidencia queda fuera.
• La amonestación queda registrada: es un antecedente, no borrón y cuenta nueva.
• No cubre las órdenes de suspender o corregir un tratamiento: esas pueden llegar igual.

En la práctica, el año de gracia es una ventana para ordenarse, no un permiso para ignorar la ley. Las obligaciones —tener el registro de tratamientos, responder derechos, cuidar la seguridad— rigen desde el día uno; lo que se suaviza el primer año es la multa, no el deber.

Cuánto arriesga realmente una pyme (no es solo la multa)

Seamos concretos: la Agencia no va a repartir multas de $1.400 millones a la panadería de la esquina el 2 de diciembre. Con recursos limitados, las fiscalizaciones suelen partir por un reclamo —un cliente molesto, un ex trabajador, un competidor— o por una brecha que se hizo pública. El riesgo no se activa solo; alguien lo gatilla.

Pero el costo real de quedar en la mira no es únicamente la cifra de la multa:

• El tiempo y el desgaste de responder un requerimiento de la Agencia sin tener el registro de actividades de tratamiento ni la evidencia a mano.
• La suspensión de un tratamiento clave mientras se resuelve el caso.
• El registro público de la sanción, que cualquiera puede consultar antes de firmar un contrato contigo.

Dicho de otra forma: para la mayoría de las pymes, el mayor riesgo no es el techo de 20.000 UTM, sino no poder demostrar que hacen las cosas bien el día que se lo pregunten. La multa castiga la conducta; la falta de evidencia la agrava.

Cómo bajar el riesgo antes del 1 de diciembre de 2026

La buena noticia es que reducir la exposición no es un proyecto eterno. Estos son los movimientos que más bajan el riesgo por peso invertido:

1. Ten tu registro de actividades de tratamiento al día. Es lo primero que pide una fiscalización y el mapa de todo lo demás.
2. Asigna una base de licitud a cada uso de datos y guarda el consentimiento demostrable cuando corresponda (con fecha y forma de captura).
3. Monta el canal de derechos ARCO y respóndelo dentro de plazo: obstaculizarlo es una infracción grave.
4. Ten un protocolo de brechas y sabe de antemano a quién notificar y en qué orden.
5. Evalúa un Modelo de Prevención de Infracciones. Certificarlo ante la Agencia funciona como atenuante; eso sí, si lo certificas, designar un delegado de protección de datos (DPO) pasa a ser obligatorio.
6. Cierra los puntos ciegos con una lista. El checklist de adecuación a la Ley 21.719 ordena los 12 frentes sin que se te escape ninguno.

En Softdigital acompañamos a pymes chilenas en su adecuación a la Ley 21.719: dejamos el registro, el canal de derechos, el protocolo de brechas y la trazabilidad funcionando, conectados a tus sistemas. Partimos con un diagnóstico gratuito de 15 minutos y una propuesta a precio fijo en menos de 24 horas, sin sorpresas.

No esperes la fiscalización para tomarte esto en serio

Las multas de la Ley 21.719 son altas, pero rara vez caen por sorpresa: casi siempre hay un reclamo, una brecha o un requerimiento antes. La empresa que llega al 1 de diciembre de 2026 con su registro al día, sus derechos respondidos en plazo y su evidencia ordenada entra en esa conversación desde un lugar cómodo. La que improvisa, no.

Si prefieres saber dónde estás parado antes de invertir un peso, usa el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: revisamos tu situación y te decimos, sin humo, qué te falta y cuánto cuesta cerrarlo a precio fijo.