Ley 21.719: ¿puedes alojar datos personales de Chile en servidores de Europa?
Sí, con garantías. Te explicamos qué exige la Ley 21.719 para enviar datos fuera de Chile, qué obligaciones siguen siendo tuyas y qué errores evitar antes de diciembre de 2026.
Respuesta corta
- 1Sí, pero no basta con elegir el servidor: la Ley 21.719 permite la transferencia internacional de datos solo si el destino es un país adecuado o si existen garantías adecuadas por contrato.
- 2La ley fue publicada en el Diario Oficial el 13 de diciembre de 2024 y sus modificaciones a la Ley 19.628 entran en vigencia el 1 de diciembre de 2026.
- 3Qué países son adecuados lo determinará la Agencia de Protección de Datos Personales; mientras no publique su listado, lo prudente es amparar la transferencia en cláusulas contractuales.
- 4Tú sigues siendo el responsable: debes poder acreditar ante la Agencia que la transferencia cumplió la ley.
- 5Las multas llegan hasta 20.000 UTM por infracciones gravísimas, y en caso de reincidencia de grandes empresas pueden alcanzar el 4 % de los ingresos anuales.
Qué dicen los artículos 27 y 28
La Ley 21.719 reemplaza el Título V de la Ley 19.628. El nuevo artículo 27 declara lícita la transferencia internacional en tres casos: cuando el receptor está sujeto al ordenamiento de un país con niveles adecuados de protección; cuando la transferencia queda amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas; o cuando ambas partes adoptan un modelo de cumplimiento o mecanismo de certificación. El mismo artículo prevé excepciones para transferencias específicas y no habituales, como el consentimiento expreso del titular; no sirven para alojar una base de datos de forma permanente.
El artículo 28 entrega a la Agencia la determinación fundada de los países adecuados y la faculta para aprobar cláusulas modelo, que publicará en su sitio web junto con el listado de países. Las cláusulas modelo aprobadas no requieren autorización adicional.
¿Y la Unión Europea?
El RGPD europeo tiene estándares similares o superiores a los de la ley chilena, que es el criterio del artículo 28. Aun así, la calificación formal corresponde a la Agencia, que todavía no ha publicado su listado. No des por hecho una adecuación que aún no existe: firma con tu proveedor un contrato que recoja garantías equivalentes a las de la ley.
Fechas y sanciones
Según el artículo primero transitorio, la ley rige desde el primer día del mes vigésimo cuarto posterior a su publicación: el 1 de diciembre de 2026. En septiembre de 2026 el Gobierno ingresó al Senado un proyecto para postergarla al 1 de diciembre de 2027; mientras no se apruebe, la fecha vigente sigue siendo 2026.
El artículo 35 fija multas de hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. El artículo 29 permite además a la Agencia suspender temporalmente el envío de datos al extranjero.
Tres casos chilenos
Una tienda online de Valparaíso
Guarda nombres, direcciones y teléfonos de compradores en un servidor en Alemania. Necesita un contrato con el hosting que incluya garantías adecuadas y una política de privacidad que diga dónde se almacenan los datos.
Una consultora de Santiago
Aloja fichas de clientes en un VPS europeo y el backup en un tercer país. Son dos transferencias: cada una debe tener su propio amparo legal.
Un SaaS de Concepción con clientes en Europa
Trata datos de usuarios chilenos y europeos en la UE. Le conviene documentar los dos marcos: Ley 19.628 para lo que sale de Chile y RGPD para lo que trata en Europa.
Errores frecuentes
- Creer que "el servidor está en Europa" basta, sin firmar un contrato de mandato con garantías.
- Asumir que la UE ya es país adecuado para Chile: esa calificación aún no ha sido publicada por la Agencia.
- Olvidar los subencargados: CDN, correo transaccional o backups que copian datos a otros países.
- Esperar a la posible postergación para empezar: el plazo legal vigente es el 1 de diciembre de 2026.
Cómo te ayuda 4hosting
Nuestro centro de datos está en la Unión Europea (Frankfurt), no en Chile. Firmamos un contrato de encargado del tratamiento (DPA, art. 28 RGPD) que puedes usar como base de tus garantías, y trabajamos con alineación con ISO 27001 (no certificación).
Cada plan VPS, dedicado o GPU, y los planes cPanel desde Advanced, incluyen horas mensuales de DevOps y CyberSecurity: puedes usarlas para hardening, backups dentro de la UE o revisión de accesos. La migración es gratuita y facturamos en EUR.
No somos certificadores: el cumplimiento de la Ley 21.719 lo determinas tú, con tu asesor legal.
Consúltanos por tu caso →Preguntas frecuentes
¿Necesito autorización de la Agencia para usar un servidor en Alemania?
No, si la transferencia está amparada por un país adecuado o por cláusulas contractuales con garantías adecuadas. La autorización caso a caso del artículo 28 solo aplica cuando no existe ninguno de esos amparos.
¿Cuándo empieza a aplicarse la Ley 21.719?
El 1 de diciembre de 2026, según su artículo primero transitorio. Existe un proyecto para postergarla un año que, a la fecha, no ha sido aprobado.
¿4hosting certifica que cumplo con la Ley 21.719?
No. 4hosting ofrece infraestructura en la UE y un contrato de encargado (DPA); tu cumplimiento lo determinas tú con tu asesor legal.