# Protección de datos en la nube en Chile

> En Chile rige la Ley 19.628 hasta el 30 de noviembre de 2026; el 1 de diciembre entra en vigor la reforma de la Ley 21.719. Qué supone para tu nube.

La **protección de datos en la nube en Chile** atraviesa un año de transición. Hasta el 30 de noviembre de 2026 se aplica la Ley 19.628 de 1999, que exige un mandato por escrito cuando un tercero trata datos personales por cuenta de tu empresa. El 1 de diciembre de 2026 entran en vigor las modificaciones de la Ley 21.719, que crean la Agencia de Protección de Datos Personales y regulan el contrato con el proveedor, las transferencias internacionales y el reporte de brechas de seguridad.

**En resumen**

1. Hasta el 30 de noviembre de 2026, la Ley 19.628 exige que el encargo de tratar datos personales a un tercero, como un proveedor de nube, conste por escrito.
2. La Ley 21.719, publicada el 13 de diciembre de 2024, entra en vigor el 1 de diciembre de 2026, aunque un proyecto en trámite en el Senado propone aplazarla un año.
3. Con la reforma, el contrato con el encargado debe fijar objeto, duración, finalidad, tipo de datos y categorías de titulares, y las brechas con riesgo se reportan a la nueva Agencia.


## Protección de datos en la nube en Chile: un año con dos leyes

Si tu negocio está en Chile y guarda en la nube fichas de clientes, nóminas o historiales de pacientes, en 2026 te toca cumplir con dos versiones sucesivas de la misma ley. Hasta el 30 de noviembre rige la Ley 19.628, de 1999; desde el 1 de diciembre de 2026, ese texto pasa a leerse con las modificaciones de la [Ley 21.719, publicada en el Diario Oficial](https://www.diariooficial.interior.gob.cl/publicaciones/2024/12/13/44023/01/2583630.pdf) el 13 de diciembre de 2024. Esta página forma parte del repaso de [las obligaciones legales de guardar datos en la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/) país por país.

La respuesta corta: hoy necesitas, como mínimo, un encargo por escrito al proveedor y cuidar los datos con diligencia. Desde diciembre, ese encargo pasa a ser un contrato con contenido mínimo, aparece una autoridad que sanciona y las brechas se reportan. Antes de cerrar contratos o políticas, conviene validarlos con un abogado que ejerza en Chile.

### Lo que exige hoy la Ley 19.628

La versión vigente hasta el 30 de noviembre no menciona la nube, pero sí el tratamiento por cuenta de otro. Su artículo 8 establece que, cuando el tratamiento se hace por mandato, «el mandato deberá ser otorgado por escrito, dejando especial constancia de las condiciones de la utilización de los datos». La nube que guarda la agenda de una consulta dental de Santiago encaja en esa figura: las condiciones del servicio y su anexo de tratamiento de datos hacen de documento escrito.

Otros tres artículos pesan en la elección y el uso del proveedor:

- **Autorización del titular (art. 4).** Salvo las excepciones que prevé la ley, tratar datos personales exige la autorización de la persona, que «debe constar por escrito».
- **Diligencia (art. 11).** Quien guarda los datos «deberá cuidar de ellos con la debida diligencia, haciéndose responsable de los daños». Una carpeta de clientes compartida con un enlace abierto a cualquiera encaja mal en esa exigencia.
- **Datos sensibles (art. 10).** Solo pueden tratarse cuando la ley lo autoriza, cuando el titular consiente o cuando son necesarios para determinar u otorgar beneficios de salud.

En esta etapa no hay una autoridad administrativa que supervise al sector privado: las personas reclaman ante un juez civil, que puede imponer multas de 1 a 10 unidades tributarias mensuales (UTM), o de 10 a 50 UTM en algunos casos (art. 16). La ley tampoco regula las transferencias internacionales ni obliga a avisar de una brecha.

### Lo que cambia el 1 de diciembre de 2026

El primer artículo transitorio de la Ley 21.719 fija su entrada en vigor «el día primero del mes vigésimo cuarto posterior a la publicación», es decir, el 1 de diciembre de 2026. Para quien trabaja con la nube, los cambios se concentran en cinco puntos:

| Tema | Hasta el 30 de noviembre de 2026 | Desde el 1 de diciembre de 2026 |
|---|---|---|
| Autoridad | Ninguna para el sector privado; reclamos ante un juez civil | Agencia de Protección de Datos Personales (art. 30) |
| Proveedor de nube | Mandato por escrito con las condiciones de uso de los datos (art. 8) | Contrato con objeto, duración, finalidad, tipo de datos, categorías de titulares, derechos y obligaciones; subcontratar solo con autorización específica y por escrito (art. 15 bis) |
| Brechas de seguridad | Sin obligación de aviso | Reporte a la Agencia «sin dilaciones indebidas» si hay riesgo razonable; aviso a los titulares si afecta datos sensibles, de menores de 14 años o financieros (art. 14 sexies) |
| Servidores fuera de Chile | Sin régimen de transferencias | País con nivel adecuado, cláusulas contractuales u otras garantías; la Agencia determina qué países son adecuados (arts. 27 y 28) |
| Multas | De 1 a 50 UTM, impuestas por un juez | Hasta 5000, 10 000 o 20 000 UTM según la infracción sea leve, grave o gravísima (art. 35) |

*Fuentes: Ley 19.628 en su texto vigente hasta el 30 de noviembre de 2026 y Ley 21.719 (Diario Oficial n.º 44.023), consultadas el 13 de octubre de 2026. Los artículos citados en la columna derecha son los que la reforma introduce en la Ley 19.628.*

El contrato del artículo 15 bis añade dos obligaciones que afectan directamente a un servicio de nube: el proveedor debe reportarte cualquier vulneración de las medidas de seguridad y, cuando termina el servicio, suprimir o devolver los datos. Para las empresas de menor tamaño, el sexto artículo transitorio permite a la Agencia, durante los primeros doce meses, sancionar con una amonestación por escrito en lugar de una multa. El proyecto de aplazamiento descrito más abajo propone extender esa posibilidad a todas las empresas.

### Un aplazamiento posible, todavía sin aprobar

El 1 de septiembre de 2026 el Gobierno ingresó en el Senado un proyecto (boletín 18.623-07) que modifica la Ley 21.719 y propone, entre otros cambios, aplazar su entrada en vigor al 1 de diciembre de 2027. A 14 de octubre de 2026 sigue en primer trámite constitucional, pendiente del primer informe de la Comisión de Constitución del Senado y con urgencia «suma», según la [ficha de tramitación del Senado](https://tramitacion.senado.cl/wspublico/tramitacion.php?boletin=18623). Mientras no se convierta en ley, la fecha que cuenta es el 1 de diciembre de 2026.

### Preparar tu nube antes de diciembre

Una agencia de diseño de Valparaíso con seis personas y dos servicios en la nube puede hacer este repaso en una mañana:

1. **Lista los servicios con datos personales**: almacenamiento, correo, facturación, agenda, formularios web.
2. **Localiza el contrato o anexo de tratamiento** de cada proveedor y comprueba si cubre los seis contenidos del artículo 15 bis.
3. **Pregunta dónde están los servidores** y qué mecanismo usa el proveedor para las transferencias fuera de Chile, como cláusulas contractuales.
4. **Revisa permisos y enlaces compartidos**, y activa la verificación en dos pasos en todas las cuentas.
5. **Escribe un procedimiento de brechas**: quién decide si hay riesgo, quién reporta a la Agencia y dónde se registra cada incidente, porque el artículo 14 sexies obliga a llevar ese registro.

La Agencia deberá publicar en su web modelos de contrato y la lista de países con nivel adecuado (arts. 15 bis y 28). Hasta que existan, el contrato del proveedor es la referencia.

### Si también tienes clientes al otro lado de la cordillera

En Argentina la situación es casi la inversa: una ley del año 2000, una autoridad de control en funcionamiento y una lista oficial de países adecuados. El resumen de [la ley argentina de datos personales y la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/argentina/) sirve si también tienes clientes allí.

### Otra reforma reciente: la de México

En México, una nueva ley federal entró en vigor en marzo de 2025 y la autoridad cambió de manos. Los detalles de [la reforma mexicana y su efecto en la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/mexico/) permiten comparar enfoques.

### Salud, biometría y otros datos delicados

La nueva definición chilena de datos sensibles incluye expresamente la salud, el perfil biológico, los datos biométricos, la orientación sexual, la identidad de género y la situación socioeconómica. Si manejas información de ese tipo, revisa [las precauciones extra con los datos de salud](/guias/almacenamiento-en-la-nube/proteccion-de-datos/datos-sensibles/) antes de subirla.