Proyecto de implementación · Ley 21.719
Consultoría Ley de Datos Personales: adecuación a la Ley 21.719 en 2 a 3 meses
Esta consultoría Ley de Datos Personales es el proyecto de implementación: tiene inicio y cierre. Abogados y especialistas en ciberseguridad levantan tu RAT, bases de licitud, políticas, derechos ARSOP, EIPD y gestión de brechas, y los dejan operando en Confirmer360 con tu equipo capacitado.
- 2 a 3 meseshabitualmente, según tu punto de partida
- Abogados + ciberseguridaden el mismo equipo
- Confirmer360 incluidodurante el proyecto
- Capacitacióncon certificado Certisec
Empresas que confían en nosotros
Más de 3 millones de titulares de datos en Chile, sumando todas ellas
Metodología
La implementación termina. El cumplimiento, no.
Lo que se implementa queda operando, se mide y se ajusta. En cada etapa sabes quién actúa.
-
01
Diagnosticar
Qué datos tratas, dónde están las brechas y qué priorizar.
Actúa: Diagnóstico Ley 21.719, de 2 a 3 semanas.
-
02
Implementar
RAT, bases de licitud, políticas, contratos y procesos andando.
Actúa: nuestros especialistas legales y técnicos, en 5 bloques.
-
03
Operar
Solicitudes, EIPD, incidentes y consentimientos con plazos, responsables y evidencia.
Actúa: tu equipo en Confirmer360, capacitado en Certisec Academy.
-
04
Mejorar
Revisión del RAT, puntaje del programa y ajustes cuando cambia tu operación.
Actúa: DPD Virtual con el puntaje de Confirmer360.
Cada revisión vuelve a empezar el ciclo.
Qué recibes al terminar la implementación.
Cada obligación cubierta termina en un entregable, con su evidencia en Confirmer360.
- Legal
- Técnico
- Personas
- Registro de Actividades de Tratamiento Finalidades, datos, destinatarios y plazos de conservación.
- Bases de licitud y consentimientos Fundamento por tratamiento y consentimientos registrados.
- Políticas, avisos y contratos Retención, cesión, avisos al titular y contratos con encargados.
- Derechos ARSOP y portal de privacidad Canal público atendido dentro de plazo.
- Evaluaciones de impacto Dónde se exige y la primera evaluación.
- Gestión y notificación de brechas Detección, contención y aviso a Agencia y titulares.
- Medidas de seguridad Controles técnicos y organizativos según el riesgo.
- Capacitación del personal Certisec Academy, con certificado como evidencia.
Implementación, DPD Virtual o software: qué resuelve cada uno.
Son tres servicios distintos que se encadenan. Muchas empresas contratan la implementación y después el DPD Virtual; Confirmer360 acompaña a los dos.
Implementación de la Ley 21.719
El servicio de esta página
- Qué es
- Un proyecto de adecuación con especialistas legales y técnicos.
- Cuándo termina
- Al cerrar el bloque 5: habitualmente entre 2 y 3 meses.
- Qué obtienes
- El programa levantado y operando, con evidencia en Confirmer360 y tu equipo capacitado.
DPD Virtual
- Qué es
- Un Delegado de Protección de Datos externo que opera el programa contigo.
- Cuándo termina
- No tiene cierre: es un servicio mensual.
- Qué obtienes
- Revisión del RAT, atención de solicitudes ARSOP, acompañamiento de incidentes y EIPD y reporte al directorio, con Confirmer360 incluido.
Confirmer360
- Qué es
- La plataforma donde se registra y se opera el programa.
- Cuándo termina
- Mientras mantengas la suscripción.
- Qué obtienes
- RAT, EIPD, solicitudes ARSOP con control de plazos, consentimientos e incidentes, con alertas y evidencia. No garantiza el cumplimiento por sí sola.
Sobre lo implementado, más adelante
Cómo funciona nuestra consultoría Ley de Datos Personales: 5 bloques operativos
Cada bloque termina con un entregable concreto y deja algo funcionando en Confirmer360. Las semanas son un calendario de referencia: los bloques se solapan y el plazo real depende de tu empresa.
Calendario de referencia · habitualmente entre 2 y 3 meses · los bloques se solapan
-
Diagnóstico y mapa de tratamientos
Semanas 1 a 2 · referencia- Qué hacemos
- Definimos el alcance y el comité de privacidad (legal, RRHH, TI, operaciones). En el kickoff damos una capacitación inicial a los actores clave de cada área, para que sepan qué información les pediremos en el diagnóstico y por qué. Luego entrevistamos a cada área e inventariamos sus tratamientos con finalidades, categorías de datos, destinatarios y bases legales actuales.
- Entregable
- Mapa de tratamientos, informe de brechas frente a la Ley 21.719 y plan de adecuación priorizado.
- Queda en Confirmer360
- El mapa de tratamientos pasa a ser la base del RAT, que se completa en el bloque 2.
-
RAT y bases de licitud
Semanas 2 a 4 · referencia- Qué hacemos
- Construimos el Registro de Actividades de Tratamiento y documentamos la base de licitud de cada finalidad: consentimiento, contrato, obligación legal o interés legítimo. Mapeamos proveedores y transferencias internacionales.
- Entregable
- RAT completo, matriz de bases de licitud y registro de consentimientos.
- Queda en Confirmer360
- RAT con ficha por tratamiento y alertas; cuadro de mando de consentimientos, titulares y canales de captura; transferencias internacionales registradas.
-
Políticas, contratos y avisos
Semanas 3 a 6 · referencia- Qué hacemos
- Redactamos las políticas de privacidad, retención y cesión a terceros, y los avisos de cada canal (web, formularios, contratos laborales y comerciales). La abogada del equipo revisa los contratos con encargados de tratamiento.
- Entregable
- Políticas aprobadas, avisos publicados y cláusulas tipo para encargados.
- Queda en Confirmer360
- Encargados y contratos registrados, con aviso de los que todavía no tienen contrato.
-
Procesos vivos: ARSOP, EIPD y brechas
Semanas 5 a 9 · referencia- Qué hacemos
- Dejamos operando el canal de derechos ARSOP, la metodología de evaluación de impacto aplicada a los tratamientos de alto riesgo y el procedimiento de gestión de brechas, cada uno con responsables y plazos. Designamos al DPD cuando corresponde.
- Entregable
- Procedimientos, plantillas, primera EIPD ejecutada y protocolo de brechas.
- Queda en Confirmer360
- Solicitudes ARSOP con control de plazos, EIPD, gestión de incidentes y módulo DPD.
-
Capacitación y preparación
Semanas 8 a 12 · referencia- Qué hacemos
- Capacitamos a todo el personal y a los roles críticos (RRHH, marketing, TI, legal). Hacemos un simulacro de fiscalización con el lente de la Agencia y cerramos las no conformidades antes del cierre.
- Entregable
- Personal capacitado con certificado de Certisec Academy, informe de auditoría interna, plan correctivo y cierre formal del proyecto.
- Queda en Confirmer360
- Puntaje del programa (RAT, EIPD, ARSOP, consentimientos e incidentes) para seguir el cumplimiento después del cierre.
De qué depende el plazo de tu implementación.
Habitualmente entre 2 y 3 meses. No prometemos el mismo plazo a todos.
Los cinco bloques se ordenan sobre un calendario de referencia de 12 semanas. Cuatro factores lo alargan o lo acortan.
Ver el alcance para mi empresa
¿Prefieres medir antes de decidir? El Diagnóstico Ley 21.719 toma de 2 a 3 semanas.
- El número de tratamientos de datosCada tratamiento necesita su ficha en el RAT, su base de licitud y, si es de alto riesgo, una EIPD.
- Tu punto de partidaLas políticas existentes, aunque vengan de la Ley 19.628, se modernizan. Con ISO 27001 reutilizamos inventario, riesgos y controles técnicos.
- Cuántas razones sociales y sedes entranCada una que entra en el alcance suma tratamientos, responsables y documentos.
- La disponibilidad de tu equipoEntrevistas por área y revisiones de documentos: cuanto antes respondan, antes cierra cada bloque.
Las 11 obligaciones que cubre nuestra consultoría Ley de Datos Personales
La Ley 21.719 clasifica las infracciones en leves, graves y gravísimas, con sanciones graduadas para cada categoría. Sin un modelo operando, una brecha mal gestionada o una solicitud ARSOP sin respuesta puede gatillar una sanción. Una consultoría de ley de datos personales que solo entrega plantillas no resiste una fiscalización.
11 obligaciones operativas · agrupadas por área funcional · todas cubiertas en nuestra consultoría
- Exigencia legal
- La ley la pide a toda empresa que trata datos personales.
- Según tu caso
- La ley la exige solo en ciertas situaciones.
- Recomendación
- No es una exigencia directa, pero sin ella los procesos no se sostienen.
Implementar internamente vs contratar una consultoría Ley de Datos Personales
Es la pregunta más común de las gerencias antes de contratar. Pesa más si eres encargado de tratamiento de un cliente B2B: vas a tener que demostrar tu cumplimiento de la Ley 21.719, no declararlo.
| Variable | Implementación interna | Consultoría especializada |
|---|---|---|
| Tiempo total | 9 a 14 meses | Habitualmente 2 a 3 meses |
| Equipo interno requerido | 1 FTE dedicado (abogado/compliance) + 0.5 FTE TI | ~6-8 horas/semana del responsable + involucramientos puntuales |
| Conocimiento legal | Riesgo: la Ley 21.719 es nueva, jurisprudencia escasa | Abogada especialista en el equipo y alianza legal especializada |
| Plataforma operativa | Comprar GRC: $8-15M anuales | Confirmer360 incluido durante el proyecto |
| Riesgo de gaps | Alto: equipos sin experiencia previa subestiman EIPD y ARSOP | Bajo: metodología validada en múltiples proyectos |
| Costo total directo + oportunidad | $30-50M en horas internas + plataforma | Propuesta en UF + IVA según tu alcance, con plataforma incluida (cotizador en línea) |
| ¿Llegas a la fecha de vigencia? | Difícil si arrancas hoy: un equipo interno tarda 9 a 14 meses | Habitualmente 2 a 3 meses desde que arrancas, según tu punto de partida |
Referencias orientativas: cada empresa parte de un lugar distinto.
Errores comunes que detectamos en empresas sin consultoría Ley de Datos Personales
- Creer que basta con publicar una política de privacidad
- La ley exige un modelo operativo completo: RAT, bases de licitud, derechos, EIPD y brechas. La política web es solo una de las 11 obligaciones.
- Confundir consentimiento con un checkbox al pie del formulario
- Debe ser libre, específico, informado e inequívoco. Un «Acepto los términos» genérico no califica para datos sensibles ni para perfilamiento.
- No diferenciar responsable, encargado y subencargado
- Cada figura tiene obligaciones distintas. El error se arrastra a los contratos con proveedores y genera exposición legal innecesaria.
- Pensar que la Agencia no fiscalizará a empresas pequeñas
- La ley no fija un umbral de tamaño. Una sola denuncia bien fundada de un titular basta para abrir un procedimiento.
- Tratar la EIPD como un PDF que se llena una vez
- Se actualiza cuando cambia el tratamiento, aparecen riesgos nuevos o cambia la norma. Un PDF estático no sirve como evidencia.
- Subestimar las transferencias internacionales
- Cada servicio cloud (AWS, Azure, GCP, Salesforce, HubSpot) implica transferir datos fuera de Chile. Sin garantías documentadas, esos tratamientos quedan en riesgo legal.
Una consultoría Ley de Datos Personales con dos miradas: la jurídica y la técnica.
La ley exige fundamentos legales para cada tratamiento y medidas de seguridad proporcionales al riesgo. Por eso cada entregable lo revisan juntos una abogada especialista en protección de datos y un líder de ciberseguridad.
Ciberseguridad
- Medidas de seguridad proporcionales al riesgo
- Gestión y notificación de brechas
- Controles en sistemas y accesos
- Evidencias técnicas auditables
Legal
- Bases de licitud para cada tratamiento
- Políticas, avisos y contratos con encargados
- Derechos ARSOP atendidos dentro de plazo
- Evaluaciones de impacto en privacidad
Cada entregable se revisa con las dos miradas antes de darse por cerrado.
Conoce a Rachel Grez, abogada líder en protección de datos, y a Daniel Vargas Mazuela, CEO y líder técnico con más de 20 años en servicios informáticos y ciberseguridad.
Preguntas frecuentes sobre nuestra consultoría Ley de Datos Personales
Lo que más nos preguntan antes de contratar la implementación. Si tu caso es distinto, lo vemos en la conversación inicial.
¿Qué incluye una consultoría de implementación de la Ley de Datos Personales?
Una consultoría de implementación de la Ley de Datos Personales (Ley 21.719) bien hecha cubre seis ejes: (1) diagnóstico de tratamientos y bases de licitud existentes, (2) levantamiento del RAT (Registro de Actividades de Tratamiento), (3) políticas, contratos y avisos de privacidad, (4) procesos vivos para derechos ARSOP, EIPD y gestión de brechas, (5) capacitación interna y (6) plataforma operativa para mantener el cumplimiento. En Primaris además incluimos alianza legal especializada y soporte hasta dejar el modelo operando.
¿Cuánto tiempo toma implementar el cumplimiento de la Ley 21.719?
Habitualmente entre 2 y 3 meses. Depende del número de tratamientos, del punto de partida (políticas existentes o una certificación ISO 27001, cuyo SGSI ya cubre buena parte de los controles técnicos), de cuántas razones sociales y sedes entran y de la disponibilidad de tu equipo. No prometemos el mismo plazo a todos.
¿Cuánto cuesta una consultoría Ley de Datos Personales en Chile?
No publicamos un precio único porque cada implementación se calibra al punto de partida. La propuesta incluye la consultoría, Confirmer360 durante el proyecto y la capacitación. Aparte quedan el tiempo de tu equipo y las mejoras técnicas que aparezcan en el diagnóstico, que cuantificamos al cerrar el bloque 1. En el cotizador en línea respondes un cuestionario de 3 a 5 minutos y ves la propuesta en UF + IVA en pantalla; también te llega por correo.
¿En qué se diferencia este servicio del DPD Virtual?
La Implementación es un proyecto único de adecuación: levantamos el modelo de cumplimiento desde cero o desde un cumplimiento parcial, hasta dejarlo vivo. El DPD Virtual es un servicio recurrente posterior: una vez implementado, alguien tiene que operar el cumplimiento en el día a día. Muchas organizaciones contratan ambos secuencialmente.
¿Qué pasa cuando termina la implementación?
Tu equipo queda operando el programa en Confirmer360, capacitado y con los procedimientos escritos. Si quieres que alguien lo sostenga contigo mes a mes, el DPD Virtual actúa como tu Delegado de Protección de Datos externo: revisa el RAT, atiende las solicitudes y acompaña los incidentes y las EIPD. Confirmer360 sigue activa como parte del DPD Virtual o como suscripción por separado.
¿Usar Confirmer360 garantiza que cumplo la ley?
No. Ningún software garantiza el cumplimiento por sí solo. Confirmer360 ordena el trabajo, avisa los plazos y guarda la evidencia; el cumplimiento depende de las decisiones y los procesos que tu empresa sostiene. Por eso lo implementamos junto con especialistas legales y técnicos y capacitamos a tu equipo.
¿La Implementación incluye la plataforma Confirmer360?
Sí. Durante el proyecto, Confirmer360 está incluida sin costo adicional. Si después continúas con DPD Virtual, la plataforma sigue activa como parte del servicio. Si no continúas, puedes mantener la suscripción por separado o exportar tus evidencias.
¿La Implementación incluye revisión legal?
Sí. Nuestra alianza con asesoría legal especializada cubre la revisión de contratos con encargados, cláusulas de cesión a terceros y temas de transferencias internacionales. Para temas que requieran defensa o representación específica derivamos al estudio legal aliado o al tuyo.
¿Qué pasa si solo necesito una parte (por ejemplo, solo el RAT)?
Podemos cotizar componentes individuales si tu organización ya tiene avances. Pero la mayor parte del valor está en operar todo el modelo coherentemente: RAT desconectado de bases de licitud o de procesos ARSOP es un PDF que no pasa una fiscalización.
¿Se puede certificar el cumplimiento de la Ley 21.719?
La ley en sí no es certificable, pero ISO 27701 — el estándar internacional de privacidad — sí lo es. Si quieres una certificación formal de privacidad, podemos diseñar la implementación para que quede alineada con ISO 27701 y certificable en un siguiente paso. La certificación la emite un organismo certificador; nosotros preparamos y acompañamos.
¿Qué pasa si se posterga la entrada en vigencia de la ley?
Hay un proyecto de ley en trámite para postergarla (fecha propuesta: 15 de octubre de 2027). Lo que puede cambiar es el día en que la Agencia empieza a fiscalizar; no cambia lo que tu empresa tiene que tener listo. El trabajo de implementación es el mismo. Seguimos el estado en la guía de la Ley 21.719.
Qué incluye la implementación y qué queda fuera.
Es lo que cotizas en línea: una sola propuesta con consultoría, plataforma y capacitación, un alcance definido y un cierre formal del proyecto.
Incluye
- Consultoría legal y técnica de principio a finNo entregamos plantillas para que las llenes solo: levantamos el inventario, redactamos las políticas y configuramos los flujos. Tú pones el contexto del negocio.
- Revisión legal de la documentaciónContratos con encargados, cláusulas de cesión a terceros y transferencias internacionales.
- Confirmer360 durante todo el proyectoSin costo adicional. Ahí quedan el RAT, las solicitudes, las EIPD, los incidentes y la evidencia.
- Capacitación con certificadoCursos en Certisec Academy para todo el personal y módulos para roles críticos.
- Simulacro de fiscalización y cierreAuditoría interna con el lente de la Agencia, plan correctivo y cierre formal.
No incluye
- La operación mes a mes después del cierreLa sostiene tu equipo en Confirmer360 o, si lo prefieres, el DPD Virtual, un servicio mensual aparte.
- Confirmer360 después del proyectoSigue activa si continúas con DPD Virtual; si no, mantienes la suscripción por separado o exportas tus evidencias.
- Defensa o representación legalLos temas que la requieran los derivamos al estudio legal aliado o al tuyo.
- Remediación técnica y tiempo de tu equipoLas mejoras técnicas o configuraciones que aparezcan en el diagnóstico se cuantifican al cerrar el bloque 1.
- Una certificaciónLa Ley 21.719 no es certificable. ISO 27701 sí: la emite un organismo certificador y dejamos la implementación alineada para ese paso.
Lo que entra en tu caso lo define el cuestionario del cotizador.
Evaluar mi empresaEvalúa tu empresa y cotiza tu consultoría Ley de Datos Personales.
Respondes un cuestionario de 3 a 5 minutos y ves la propuesta en UF + IVA en pantalla; también te llega por correo. Si prefieres conversar antes, agenda una conversación inicial gratuita de 30 minutos.