Multas por incumplir la Ley 21.719

Última actualización: 16 de septiembre de 2026

Los artículos 34 bis, 34 ter y 34 quáter de la Ley 21.719 tipifican las infracciones en tres niveles, y el artículo 35 fija el tope de multa de cada uno. El objetivo de esta guía no es asustarte: es que sepas en qué nivel puede quedar cada cosa antes de que la Agencia de Protección de Datos Personales la clasifique por ti.

Cómo clasifica la ley las infracciones

La escala tiene tres niveles, cada uno con su propio artículo y su propio tope de multa en UTM (Unidad Tributaria Mensual). Son topes, no pisos: cada nivel dice hasta cuánto puede llegar la multa, no desde cuánto parte. El monto concreto lo fija la Agencia con los criterios del artículo 37, que se explican más abajo.

Leves — hasta 5.000 UTM (art. 34 bis)

Incumplir el deber de información y transparencia, no tener un canal de contacto operativo, o responder fuera de plazo las solicitudes de un titular. En un sitio web, esto se parece a no tener una forma real de contactar al responsable de los datos, o a un formulario de derechos ARCO que nadie revisa.

Es el único nivel en que la ley permite sancionar con una amonestación escrita en vez de una multa (art. 35, letra a).

Graves — hasta 10.000 UTM (art. 34 ter)

Tratar datos sin consentimiento o sin otro fundamento legal, usarlos para un fin distinto del recolectado, u obstaculizar el ejercicio de derechos. Es el nivel donde caen la mayoría de los hallazgos típicos de un sitio sin actualizar: formularios que envían datos sin que la persona haya aceptado nada, o herramientas de medición activas antes de cualquier consentimiento.

Gravísimas — hasta 20.000 UTM (art. 34 quáter)

Tratamiento fraudulento, vulnerar el secreto sobre datos sensibles, o tratar a sabiendas datos de niños, niñas y adolescentes contra las reglas de la ley. Es el nivel más alto y, en la práctica, el menos frecuente: exige intención o un descuido grave, no un formulario mal configurado.

Cómo se fija el monto de la multa

Dentro de cada tope, el artículo 37 obliga a la Agencia a considerar ocho criterios:

• La gravedad de la conducta.
• Si hubo falta de diligencia o cuidado.
• El perjuicio causado, especialmente el número de personas afectadas.
• El beneficio económico obtenido con la infracción, si lo hubo.
• Si se trataron datos sensibles o datos de niños, niñas y adolescentes.
• La capacidad económica del infractor.
• Las sanciones que la Agencia haya aplicado antes en las mismas circunstancias.
• Las circunstancias atenuantes y agravantes.

Esas circunstancias están en el artículo 36. Atenúan la responsabilidad: reparar el daño por iniciativa propia o por acuerdo con las personas afectadas, colaborar con la investigación, no tener sanciones previas, autodenunciarse ante la Agencia informando las medidas adoptadas, y tener certificado por la Agencia un modelo de prevención de infracciones. La agravan: la reincidencia, que la infracción se haya mantenido en el tiempo y haber puesto en riesgo los derechos de las personas sobre sus datos.

Si una misma conducta configura dos o más infracciones, o una sirve para cometer otra, se aplica una sola multa: la de la infracción más grave. Si son conductas distintas e independientes entre sí, las multas se suman.

Qué es la reincidencia y cuánto sube la multa

Para la ley no basta con cometer dos infracciones. Según el artículo 36, hay reincidencia cuando el responsable ya fue sancionado dos o más veces en los últimos treinta meses por infringir esta ley, con resoluciones firmes, es decir, que ya no se pueden reclamar. La ley no usa un plazo de doce meses ni exige que las sanciones anteriores sean graves: cuentan todas las sanciones firmes dentro de esos treinta meses.

Si hay reincidencia, la Agencia puede aplicar una multa de hasta tres veces el monto asignado a la infracción cometida (art. 35).

Hay una regla adicional para las empresas que no califican como de menor tamaño según el artículo 2° de la Ley N° 20.416. Si reinciden en una infracción grave o gravísima, la multa puede llegar a lo que resulte mayor entre ese triple y el 2% (graves) o el 4% (gravísimas) de sus ingresos anuales por ventas y servicios del último año calendario. Las empresas de menor tamaño quedan fuera de ese cálculo sobre ingresos.

Qué pasa después de la multa

• Sesenta días para corregir. Junto con la sanción, la Agencia indica las medidas para subsanar lo que la motivó. Deben estar adoptadas en un plazo no mayor a sesenta días; si no, la multa sube un 50% (art. 35).
• Diez días hábiles para pagar. La multa se paga en la Tesorería General de la República dentro de los diez días hábiles siguientes a que la resolución quede firme, y el comprobante se presenta a la Agencia en los diez días hábiles posteriores al pago (art. 37).
• Cinco años en un registro público. Toda sanción se anota en el Registro Nacional de Sanciones y Cumplimiento, de acceso público y gratuito, con la conducta, las circunstancias y la sanción impuesta. La anotación queda visible cinco años (art. 39).
• Suspensión del tratamiento de datos. Si se imponen multas por infracciones gravísimas reiteradas en un período de veinticuatro meses, la Agencia puede suspender las operaciones de tratamiento de datos hasta por treinta días, prorrogables mientras no se cumpla lo ordenado (art. 38).

El primer año de vigencia para pymes

El artículo sexto transitorio de la ley establece que, durante los primeros doce meses de vigencia —del 1 de diciembre de 2026 al 1 de diciembre de 2027—, la Agencia puede aplicar una amonestación por escrito en vez de una multa cuando la infractora sea una empresa calificada como de menor tamaño según el artículo 2° de la Ley N° 20.416 (micro, pequeña o mediana empresa). No es automático: es una facultad de la Agencia, que igual queda obligada a registrar la amonestación como antecedente.

Esto no exime de cumplir la ley durante ese año: es un año para corregir, no un año libre de obligaciones. La Ley N° 20.416 clasifica por ingresos anuales de ventas y servicios, un criterio pensado para empresas: una fundación u otra organización sin ese tipo de ingresos debe asumir que se rige por el régimen general, sin este beneficio. Después del 1 de diciembre de 2027 aplica la escala de multas completa para todos, tengan o no ese beneficio durante el primer año.

Cómo se llega a una multa

La Agencia de Protección de Datos Personales puede fiscalizar de oficio —sin que nadie denuncie— o a partir de una denuncia de un titular que sintió vulnerado alguno de sus derechos. Revisa la versión pública del sitio, lo mismo que vería cualquier visitante, y contrasta lo que encuentra contra la ley.

Cómo evitarlo

Los tres puntos que más se repiten en un sitio no preparado —y que están al alcance de cualquier organización, sin importar su tamaño— están detallados en qué es la Ley 21.719: Política de Privacidad propia, consentimiento en cada formulario y un banner que bloquee las herramientas de medición hasta que la persona decida. Para revisarlos uno por uno en tu propio sitio, usa el checklist de siete puntos.