¿La Ley 21.719 aplica a pymes y fundaciones sin fines de lucro?

Última actualización: 20 de agosto de 2026

Sí, aplica. La Ley 21.719 no distingue por tamaño de organización ni por si tiene o no fines de lucro. Una fundación de tres personas, un colegio, una junta de vecinos con página web o una pyme quedan bajo la misma ley que un banco, aunque el primer año de vigencia trae una diferencia importante en cómo se sanciona.

La respuesta corta

La ley se activa por un solo hecho: que la organización trate datos personales de alguien en Chile. Eso incluye tener un formulario de contacto, enviar un boletín, recibir postulaciones a un cargo o programa, o simplemente instalar Google Analytics en el sitio. No importa si la organización es una sociedad anónima, una fundación sin fines de lucro, una ONG o un emprendimiento unipersonal: si trata datos, la ley le aplica.

Por qué el tamaño no exime

Es un cambio deliberado respecto a cómo se entendía el cumplimiento normativo antes: la obligación no nace del tamaño de la organización ni de cuánto factura, sino del riesgo para la persona cuyos datos se tratan. Los datos de un donante, un postulante o un apoderado están igual de expuestos si el sitio que los recoge pertenece a una fundación pequeña que si pertenece a una corporación grande. Puedes revisar qué es exactamente lo que la ley regula en qué es la Ley 21.719.

El primer año de vigencia para pymes

Donde sí hay una diferencia real es en la sanción, no en la obligación. El artículo sexto transitorio de la ley permite —no obliga— que la Agencia aplique una amonestación por escrito en vez de una multa, durante los primeros doce meses de vigencia plena (1 de diciembre de 2026 a 1 de diciembre de 2027), cuando la infractora califica como empresa de menor tamaño según el artículo 2° de la Ley N° 20.416.

Esa clasificación es por ingresos anuales de ventas y servicios (Ley N° 20.416), un criterio pensado para empresas. Una fundación u otra organización sin fines de lucro, que normalmente no tiene ingresos de ese tipo, debe asumir que se rige por el régimen general de sanciones —el mismo que cualquier empresa grande—, sin el beneficio de la amonestación del primer año. Y en cualquier caso, esto no cambia la obligación de fondo: la ley rige desde el día uno para todos, tengan o no ese beneficio. El detalle completo está en multas por incumplir la Ley 21.719.

¿Necesitas un Delegado de Protección de Datos?

No necesariamente. La figura del Delegado de Protección de Datos está en el artículo 49 de la ley, pero no es obligatoria para toda organización por su tamaño: se activa solo si la organización adopta, de forma voluntaria, un Modelo de Prevención de Infracciones. Una pyme o una fundación pequeña puede cumplir la ley sin nombrar un delegado formal, siempre que tenga resueltos los puntos que la ley sí exige de forma directa.

Y si de todas formas decides tener uno: la propia ley dice que en las micro, pequeñas y medianas empresas, el dueño o su máxima autoridad puede asumir personalmente esa función, sin necesidad de contratar a alguien para el cargo.

Qué es exigible desde el primer día

Independiente del tamaño de la organización, hay tres cosas que la ley exige desde el día uno de su vigencia plena, sin gradualidad ni excepción:

• Una Política de Privacidad propia que corresponda a los datos que el sitio realmente recoge.
• Consentimiento explícito en cada formulario que pida datos personales.
• Un banner de consentimiento que bloquee Google Analytics, Meta Pixel y herramientas similares hasta que la persona decida.

Por qué no cobramos distinto por tamaño

Por lo mismo que explica esta guía: el volumen del trabajo de revisión no cambia mucho entre un sitio institucional chico y uno grande, y quien realmente necesita el diagnóstico es la pyme o la fundación que no tiene un equipo técnico propio para resolver esto por su cuenta. Por eso el Diagnóstico Web Ley 21.719 tiene un valor único de $49.990, sin tramos por tamaño de organización.