El 1 de diciembre de 2026 entra en plena vigencia la Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y su artículo primero transitorio fijó la entrada en vigencia para “el día primero del mes vigésimo cuarto posterior a la publicación”.
Si administras un condominio con cámaras, esa fecha te llegó sin campaña, sin instructivo y sin un correo de nadie.
Lo que sigue es lo que la ley dice — y, tan importante como eso, lo que no dice, porque hay al menos dos afirmaciones circulando en artículos chilenos que no resisten una lectura del texto oficial.
La ley no menciona la palabra “cámara” ni una sola vez
Empecemos por lo incómodo.
Si buscas “cámara”, “imagen” o “videovigilancia” en el texto de la Ley 21.719, no las vas a encontrar. La única aparición de “Cámara” en toda la norma es “Cámara de Diputados”.
Esto importa por dos razones.
La primera: cualquier artículo que te diga “la Ley 21.719 establece que las cámaras deben…” está interpretando, no citando. La aplicación de esta ley a los sistemas de CCTV se deriva de la definición general de dato personal y de un artículo específico sobre evaluaciones de impacto. Es una derivación razonable y ampliamente compartida, pero es una interpretación.
La segunda: que sea interpretación no significa que no te aplique. Significa que los detalles se van a definir en la práctica — con los criterios que publique la Agencia de Protección de Datos Personales y con los primeros casos que se resuelvan. Quien te venda certezas absolutas hoy, te está vendiendo algo que todavía no existe.
Nosotros preferimos decírtelo así y que tomes decisiones con la información real.
Los tres deberes que sí te aplican
Deber de seguridad
El artículo 14 quinquies obliga a quien trata datos personales a adoptar medidas que aseguren “la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento”, y a evitar la alteración, destrucción, pérdida o acceso no autorizado.
La norma menciona expresamente, entre otras medidas posibles: la seudonimización y el cifrado, la capacidad de restaurar el acceso a los datos de forma rápida tras un incidente, y un proceso regular de verificación y evaluación de la eficacia de esas medidas.
Traducido a un condominio real: ¿quién tiene la clave del grabador? ¿Está en un pizarrón en conserjería? ¿Alguien verifica que las grabaciones efectivamente se estén guardando, o se descubre que el disco estaba lleno recién el día que hay que buscar un robo?
Hay un detalle del mismo artículo que conviene leer dos veces: ante un incidente de seguridad y en caso de controversia, le corresponde al responsable acreditar que las medidas existían y funcionaban. La carga de la prueba es tuya. Si no puedes demostrarlo, es como si no existiera.
Deber de reportar vulneraciones
Aquí hay una confusión frecuente, y vale la pena desarmarla con cuidado porque no es tan simple como suele contarse.
La Ley 21.719 no fija un plazo en horas. El artículo 14 sexies exige reportar a la Agencia “por los medios más expeditos posibles y sin dilaciones indebidas” las vulneraciones que ocasionen destrucción, filtración, pérdida o alteración de datos personales, cuando exista un riesgo razonable para los derechos de los titulares. No hay ninguna cifra de horas en ese texto.
Vas a encontrar artículos que afirman que esta ley obliga a notificar en 72 horas. Lo que probablemente está ocurriendo es una mezcla de tres marcos distintos:
- El reglamento europeo de protección de datos sí usa 72 horas, y es la fuente de la que mucho material chileno copia por analogía.
- La Ley 21.663, Marco de Ciberseguridad, sí establece plazos en horas para reportar incidentes al CSIRT Nacional: alerta temprana en 3 horas, reporte en 72 horas e informe final a los 15 días. Pero es otra ley, con otro ámbito de aplicación y otra autoridad.
- La Ley 21.719, que es la que te aplica por tener cámaras, dice “sin dilaciones indebidas”.
Así que la cifra existe en el ordenamiento chileno; lo que no corresponde es atribuírsela a la ley de datos personales. Si tu condominio además queda bajo el ámbito de la ley de ciberseguridad es una pregunta distinta, y para eso conviene asesoría específica.
¿Por qué importa la diferencia? Porque si construyes tu protocolo alrededor de las 72 horas creyendo que cumples con la ley de datos, estás optimizando para el examen equivocado. “Sin dilaciones indebidas” puede ser más exigente, no menos: si te enteras un martes a las 10:00 y reportas el jueves, cumpliste un plazo de 72 horas y probablemente incumpliste el estándar que sí te aplica.
El mismo artículo agrega algo que suele pasarse por alto: además de reportar a la Agencia, hay que comunicar a los titulares afectados cuando la vulneración involucra datos sensibles, datos de niños y niñas menores de catorce años, o datos económicos, financieros, bancarios o comerciales.
Evaluación de impacto en protección de datos
El artículo 15 ter exige una evaluación de impacto previa al inicio del tratamiento cuando éste pueda producir un alto riesgo para los derechos de los titulares. Y establece cuatro casos en que se requiere siempre. Dos son directamente relevantes:
- Tratamiento masivo de datos o a gran escala.
- Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público.
Y aquí aparece la pregunta que nadie ha respondido todavía: ¿las áreas comunes de un condominio cerrado son una “zona de acceso público”?
Hay argumentos en ambas direcciones. Un condominio cerrado no es una plaza: tiene control de acceso y un universo acotado de personas. Pero tampoco es un espacio privado en el sentido de un domicilio: circulan visitas, delivery, trabajadores externos, personal de aseo, contratistas.
No tenemos la respuesta, y desconfía de quien diga que la tiene. Escribimos aparte cómo se prepara una evaluación de impacto, con las cinco partes que la propia ley nombra. Lo que sí podemos decirte aquí es cómo se ve la decisión práctica: si tu condominio tiene cámaras en accesos, pasillos, estacionamientos y áreas recreativas, funcionando de forma permanente, el escenario conservador es asumir que califica y hacer la evaluación. El costo de hacerla es acotado. El costo de no haberla hecho, si resulta que correspondía, no lo es.
Reconocimiento facial: la categoría de la que casi nadie habla
Si tu condominio usa — o algún proveedor te está ofreciendo — control de acceso con reconocimiento facial, esto te aplica de forma directa y explícita.
El artículo 16 ter regula los datos personales biométricos de manera expresa. No por interpretación: la ley los nombra y les fija obligaciones propias, incluyendo identificar el sistema biométrico utilizado y la finalidad específica para la cual se usarán los datos que recolecte.
Es un contraste que vale la pena notar. La ley no menciona las cámaras, pero sí menciona los datos biométricos. Si un proveedor te vende “cámaras con inteligencia artificial y reconocimiento facial” sin mencionarte el artículo 16 ter, esa conversación merece más preguntas.
Las multas, con la letra chica
La escala del artículo 34 es la siguiente:
| Tipo de infracción | Multa máxima |
|---|---|
| Leves | 5.000 UTM |
| Graves | 10.000 UTM |
| Gravísimas | 20.000 UTM |
Vas a leer en muchos lados que las multas llegan “al 4% de los ingresos anuales”. Eso es cierto solo bajo dos condiciones que se cumplen de forma simultánea, según el artículo 35: que el infractor no sea una empresa de menor tamaño según la ley N° 20.416, y que sea reincidente en infracción grave o gravísima. En ese caso el porcentaje es 2% para infracciones graves y 4% para gravísimas.
Dicho de otro modo: el 4% no es la sanción de una primera infracción. Presentarlo así es alarmismo, y el alarmismo hace tomar malas decisiones — normalmente comprar rápido y mal.
Hay además un plazo relevante en el mismo artículo: cuando la Agencia sanciona, señala las medidas para subsanar la causa, y esas medidas deben adoptarse en no más de sesenta días. Si no se adoptan, la multa cursada se recarga en un 50%.
Si tu condominio lo administra una empresa de menor tamaño
Este punto casi no aparece en los artículos que hablan de la ley, y es el que más tranquilidad debería darte.
El artículo sexto transitorio establece que, durante los primeros doce meses desde la entrada en vigencia, cuando corresponda una sanción a empresas calificadas como de menor tamaño según la ley N° 20.416, la Agencia podrá aplicar una amonestación escrita en lugar de la multa, señalando la gravedad de la infracción y la conducta infractora.
Dos precisiones honestas. Primero, dice “podrá”, no “deberá”: es una facultad de la Agencia, no un derecho garantizado. Segundo, la amonestación igual queda registrada.
Pero el punto de fondo se sostiene: para una administración pequeña, el primer año está pensado como una ventana de adecuación, no como una cacería. Eso cambia la respuesta racional. No necesitas comprar una solución de urgencia en noviembre. Necesitas llegar a diciembre con tu situación ordenada y documentada.
Qué revisar antes del 1 de diciembre
Un orden que funciona, de lo más barato a lo más caro:
- Levanta qué tienes. Cuántas cámaras, dónde apunta cada una, qué graban, dónde se guarda y por cuánto tiempo. Sorprende la cantidad de comunidades que no tienen esto escrito en ninguna parte.
- Revisa el reglamento interno. ¿Está la instalación aprobada en asamblea? ¿Están la ubicación, el campo visual, la finalidad y el plazo de almacenamiento? Este punto viene de la Ley 21.442 de copropiedad inmobiliaria, no de la 21.719 — son obligaciones distintas que se suman.
- Escribe la finalidad. Para qué monitoreas. “Seguridad” no es una finalidad; es una categoría. “Prevenir intrusiones en accesos vehiculares y peatonales fuera de horario” sí lo es.
- Cierra el acceso a las grabaciones. Quién puede verlas, con qué autorización, y cómo queda registrado que las vio. El detalle de cuánto conservarlas y quién puede pedirlas está en su propio artículo.
- Define qué haces si hay una filtración. Quién se entera, quién decide, quién reporta. “Sin dilaciones indebidas” exige tener esto resuelto antes, no improvisarlo el día del incidente. Si un tercero opera el monitoreo de tus cámaras, ese protocolo tiene que incluirlo de forma explícita: el artículo 15 bis obliga a que el contrato con un tercero encargado del tratamiento establezca el objeto del encargo, su duración, la finalidad del tratamiento y el tipo de datos personales tratados.
- Documenta todo lo anterior. Vuelve a leer el artículo 14 quinquies: la carga de acreditar que las medidas existían es tuya.
Los primeros cinco puntos no requieren comprar nada. Ese es el punto.
Lo que aprendimos operando una central
Trabajamos monitoreando cámaras en vivo, con operadores que verifican cada alerta antes de activar un protocolo. Desde ese lugar, hay dos cosas que vemos seguido y que esta ley vuelve más caras.
La primera: cámaras que nadie sabe por qué están donde están. Aparecen apuntando a la vereda, al frontis del vecino, a una ventana. Nunca fue una decisión; fue donde alcanzaba el cable en la instalación de hace seis años. Eso, bajo un marco que exige finalidad definida y proporcionalidad, deja de ser un descuido.
La segunda: grabaciones que existen hasta que se necesitan. El disco lleno, la fecha desconfigurada, el canal que dejó de grabar en marzo. Un sistema que no puedes acreditar que funcionaba es, para efectos del artículo 14 quinquies, exactamente igual a uno que no funcionaba.
Ninguna de las dos se arregla comprando equipos. Se arreglan con un levantamiento honesto y un protocolo escrito. Y si además vas a contratar a alguien para monitorearlas, el checklist para comités tiene las preguntas que conviene hacer antes de firmar. Si quieres ver cómo abordamos esto en comunidades, está en nuestro servicio de monitoreo para condominios, y la parte técnica de cómo verificamos eventos está en tecnología.
Antes de cerrar
Central 911 opera una central de monitoreo; no somos un estudio jurídico. Todo lo anterior es información general basada en el texto oficial de la Ley 21.719, disponible en la Biblioteca del Congreso Nacional, y no constituye asesoría legal.
La aplicación concreta a tu condominio depende de su realidad específica, de su reglamento interno y de los criterios que publique la Agencia de Protección de Datos Personales. Para decisiones que comprometan responsabilidad, consulta con un abogado.
Si algo de lo que leíste aquí contradice lo que te dijo un proveedor, esa conversación vale la pena tenerla ahora y no en diciembre.