Multas Ley 21.719: cuánto puede costar no cumplir

Una de las preguntas más frecuentes que recibimos de empresas chilenas es: ¿cuánto puede costar realmente no cumplir con la Ley 21.719? La respuesta es más impactante de lo que la mayoría imagina, especialmente para las PYMEs que asumen que las multas millonarias son solo para las grandes corporaciones.

Spoiler: no lo son.

El régimen sancionatorio de la Ley 21.719

La ley establece un sistema de infracciones en tres categorías, con multas expresadas en Unidades Tributarias Mensuales (UTM). Al valor de abril 2026 (aproximadamente $70.000 CLP por UTM), las cifras son significativas.

Infracciones leves — amonestación o hasta 5.000 UTM (~$350.000.000 CLP)

Se consideran infracciones leves aquellas que no representen un riesgo elevado para los derechos de los titulares:

• Incumplir total o parcialmente el deber de información y transparencia
• No responder oportunamente las solicitudes ARSOP (el plazo es 30 días corridos desde el ingreso de la solicitud (Art. 11), prorrogable una vez por 30 días corridos adicionales)
• Carecer de un medio de contacto actualizado y operativo para titulares
• Omitir comunicaciones obligatorias a la Agencia
• Incumplir instrucciones generales de la Agencia cuando la conducta no esté sancionada como grave o gravísima

Ejemplo real: Una empresa que no responde en plazo a un empleado que solicita acceso a sus datos personales puede recibir una amonestación escrita o una multa de hasta 5.000 UTM. Para una PYME, incluso una sanción muy por debajo del máximo puede ser un golpe importante.

Infracciones graves — hasta 10.000 UTM (~$700.000.000 CLP)

Aquí la escala cambia radicalmente:

• No notificar una brecha de datos sin dilaciones indebidas (obligación nueva y crítica)
• Realizar transferencias internacionales de datos sin garantías adecuadas
• Vulnerar medidas de seguridad que la ley exige implementar
• Tratar datos con una finalidad distinta a la declarada
• Ceder datos a terceros sin la base legal correspondiente
• Dificultar o impedir el ejercicio de derechos ARSOP

Ejemplo real: Una empresa de e-commerce sufre un hackeo y espera una semana antes de notificar a la Agencia mientras "evalúa el impacto". Resultado: infracción grave con multa de hasta 10.000 UTM, más la exposición reputacional.

Infracciones gravísimas — hasta 20.000 UTM (~$1.400.000.000 CLP)

Las sanciones más severas se aplican ante conductas fraudulentas, maliciosas o especialmente sensibles:

• Efectuar tratamiento de datos personales en forma fraudulenta
• Destinar maliciosamente los datos a una finalidad distinta de la consentida o prevista en la ley
• Tratar, comunicar o ceder, a sabiendas, datos sensibles o datos de niños, niñas y adolescentes en contravención a la ley
• Omitir deliberadamente la comunicación de vulneraciones de seguridad que puedan afectar confidencialidad, disponibilidad o integridad

El daño causado a los titulares no es, en sí mismo, una infracción gravísima tipificada — es uno de los criterios que la Agencia pondera para fijar el monto exacto de la multa (Art. 37) y también puede dar lugar a responsabilidad civil por daños y perjuicios (Art. 47), independiente de la sanción administrativa.

Ejemplo real: Una empresa de salud que vende bases de datos de pacientes a aseguradoras a sabiendas y sin habilitación legal puede enfrentar multas de hasta 20.000 UTM. Si además acumula infracciones gravísimas reiteradas, puede exponerse a sanciones accesorias que afecten sus operaciones de tratamiento.

Sanciones adicionales: más allá de la multa

El régimen sancionatorio no se limita al pago de UTM. La ley incorpora consecuencias y obligaciones posteriores que pueden ser tan relevantes como la multa:

Medidas de subsanación obligatorias

En cada sanción, la Agencia debe señalar medidas para subsanar las causas de la infracción. La empresa tiene un plazo máximo de 60 días para adoptarlas.

Si no cumple esas medidas, la ley contempla un recargo de 50% sobre la multa cursada.

Suspensión temporal de operaciones de tratamiento

Si se imponen multas por infracciones gravísimas reiteradas dentro de un período de 24 meses, la Agencia puede disponer la suspensión parcial o total de las operaciones y actividades de tratamiento de datos hasta por 30 días.

Esta suspensión no afecta el almacenamiento de datos y no puede decretarse cuando con ello se afecten los derechos de los titulares.

Responsabilidad civil

Las sanciones administrativas se entienden sin perjuicio de otras responsabilidades legales, civiles o penales. Los titulares afectados pueden perseguir daños y perjuicios cuando corresponda.

Registro Nacional de Sanciones y Cumplimiento

La Agencia administra un registro donde se consignan responsables sancionados, gravedad de la infracción, conducta infraccionada, atenuantes, agravantes y sanción impuesta.

Para una empresa B2B, aparecer en ese registro puede costar más que la multa misma en términos de reputación, due diligence y pérdida de clientes.

El factor agravante que pocos consideran: la reincidencia

La ley contempla que la reincidencia es una circunstancia agravante. Existe reincidencia cuando el responsable ha sido sancionado en dos o más ocasiones, en los últimos treinta meses, por infracción a la ley, con resoluciones firmes o ejecutoriadas.

Cuando existe reincidencia, la Agencia puede aplicar una multa de hasta tres veces el monto asignado a la infracción cometida.

Además, si el infractor no es una empresa de menor tamaño y reincide en una infracción grave o gravísima, la multa puede alcanzar el monto más gravoso entre esa regla de tres veces o hasta el 2% de los ingresos anuales en infracciones graves y hasta el 4% de los ingresos anuales en infracciones gravísimas.

Factores que la Agencia considera para calcular la multa

No toda infracción resulta en la multa máxima. La Agencia ponderará:

• Intencionalidad o negligencia del infractor
• Número de titulares afectados (más afectados = multa mayor)
• Tipo de datos involucrados (sensibles ponderan más)
• Beneficio económico obtenido por la infracción
• Daño causado a los titulares
• Grado de cooperación durante la investigación
• Antecedentes de cumplimiento de la empresa

Este último punto es especialmente importante: las empresas que demuestren que tenían programas de cumplimiento activos, aunque hayan cometido un error, reciben trato preferencial.

¿Qué medidas de mitigación reconoce la ley?

La Ley 21.719 reconoce circunstancias atenuantes que pueden influir en la determinación de la multa. Entre ellas:

1. Acciones de reparación o acuerdos reparatorios con titulares afectados
2. Colaboración durante la investigación administrativa
3. Ausencia de sanciones previas del responsable
4. Autodenuncia ante la Agencia, comunicando medidas de cese o mitigación
5. Cumplimiento diligente de deberes de dirección y supervisión, verificable mediante certificado del modelo de prevención

Este punto crea un incentivo directo para tener evidencia antes del problema: modelos certificados de prevención, registros, trazabilidad de decisiones y respuesta temprana pesan cuando la Agencia calcula la sanción.

Comparación con multas RGPD en Europa

Para dimensionar la escala, el RGPD europeo establece multas de hasta 20 millones de euros o el 4% de la facturación global anual. La Ley 21.719 chilena tiene máximos absolutos en UTM, pero también incorpora una regla proporcional para empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas: hasta 2% o 4% de los ingresos anuales, según el caso.

El costo real del incumplimiento: más que las multas

Los estudios del sector muestran que el costo total de una brecha de datos incluye:

| Componente | Costo estimado | |-----------|---------------| | Investigación forense | $5M–$20M CLP | | Notificaciones a afectados | $2M–$10M CLP | | Relaciones públicas de crisis | $10M–$50M CLP | | Multas regulatorias | hasta 20.000 UTM | | Litigios civiles | variable | | Pérdida de clientes | 20%–30% de la base |

El costo de la prevención —implementar un programa de cumplimiento como Askesis— es una fracción de cualquiera de estos valores.

Conclusión: el cumplimiento es inversión, no gasto

Muchas empresas tratan el cumplimiento de la Ley 21.719 como un trámite burocrático que genera costos sin retorno. El análisis es equivocado: el cumplimiento es una póliza de seguro contra multas millonarias, pérdida de reputación y suspensión de operaciones.

¿Cuánto tiempo tiene tu empresa antes de que la Agencia empiece a fiscalizar? Menos del que crees.

Evalúa tu brecha de cumplimiento hoy con el análisis gratuito de Askesis y descubre qué riesgos está asumiendo tu empresa sin saberlo.