Multas por incumplir la Ley 21.719

Última actualización: 20 de agosto de 2026

Los artículos 34 bis, 34 ter y 34 quáter de la Ley 21.719 tipifican las infracciones en tres niveles, y el artículo 35 fija el tope de multa de cada uno. El objetivo de esta guía no es asustarte: es que sepas en qué nivel puede quedar cada cosa antes de que la Agencia de Protección de Datos Personales la clasifique por ti.

Cómo clasifica la ley las infracciones

La escala tiene tres niveles, cada uno con su propio artículo y su propio tope de multa en UTM (Unidad Tributaria Mensual). El monto final dentro del rango lo determina la Agencia según la gravedad del caso, la reincidencia y el daño causado.

Leves — hasta 5.000 UTM (art. 34 bis)

Incumplir el deber de información y transparencia, no tener un canal de contacto operativo, o responder fuera de plazo las solicitudes de un titular. En un sitio web, esto se parece a no tener una forma real de contactar al responsable de los datos, o a un formulario de derechos ARCO que nadie revisa.

Graves — hasta 10.000 UTM (art. 34 ter)

Tratar datos sin consentimiento o sin otro fundamento legal, usarlos para un fin distinto del recolectado, u obstaculizar el ejercicio de derechos. Es el nivel donde caen la mayoría de los hallazgos típicos de un sitio sin actualizar: formularios que envían datos sin que la persona haya aceptado nada, o herramientas de medición activas antes de cualquier consentimiento.

Gravísimas — hasta 20.000 UTM (art. 34 quáter)

Tratamiento fraudulento, vulnerar el secreto sobre datos sensibles, o tratar a sabiendas datos de niños, niñas y adolescentes contra las reglas de la ley. Es el nivel más alto y, en la práctica, el menos frecuente: exige intención o un descuido grave, no un formulario mal configurado.

Qué pasa si hay reincidencia

Ante una segunda infracción grave o gravísima, la Agencia puede aplicar hasta tres veces el monto de la multa correspondiente (art. 35). Para empresas que no califican como de menor tamaño según el artículo 2° de la Ley N° 20.416, la reincidencia en infracciones graves o gravísimas puede calcularse además sobre los ingresos anuales por ventas y servicios —hasta 2% para graves y hasta 4% para gravísimas—, si ese monto resulta mayor. Esa fórmula sobre ingresos está reservada a empresas grandes: las de menor tamaño quedan fuera de ese cálculo.

El primer año de vigencia para pymes

El artículo sexto transitorio de la ley establece que, durante los primeros doce meses de vigencia —del 1 de diciembre de 2026 al 1 de diciembre de 2027—, la Agencia puede aplicar una amonestación por escrito en vez de una multa cuando la infractora sea una empresa calificada como de menor tamaño según el artículo 2° de la Ley N° 20.416 (micro, pequeña o mediana empresa). No es automático: es una facultad de la Agencia, que igual queda obligada a registrar la amonestación como antecedente.

Esto no exime de cumplir la ley durante ese año: es un año para corregir, no un año libre de obligaciones. La Ley N° 20.416 clasifica por ingresos anuales de ventas y servicios, un criterio pensado para empresas: una fundación u otra organización sin ese tipo de ingresos debe asumir que se rige por el régimen general, sin este beneficio. Después del 1 de diciembre de 2027 aplica la escala de multas completa para todos, tengan o no ese beneficio durante el primer año.

Cómo se llega a una multa

La Agencia de Protección de Datos Personales puede fiscalizar de oficio —sin que nadie denuncie— o a partir de una denuncia de un titular que sintió vulnerado alguno de sus derechos. Revisa la versión pública del sitio, lo mismo que vería cualquier visitante, y contrasta lo que encuentra contra la ley.

Cómo evitarlo

Los tres puntos que más se repiten en un sitio no preparado —y que están al alcance de cualquier organización, sin importar su tamaño— están detallados en qué es la Ley 21.719: Política de Privacidad propia, consentimiento en cada formulario y un banner que bloquee las herramientas de medición hasta que la persona decida.