Ley 21.719: lo que tu web debe cumplir antes del 1 de diciembre de 2026
Si tienes una web en Chile que pide correo, teléfono o guarda datos de clientes, esta fecha te conviene: la Ley 21.719 entra en pleno vigor el 1 de diciembre de 2026. Son dos meses. Y por primera vez en el país, las multas son reales.
Hasta ahora Chile tuvo una ley de protección de datos desde 1999, pero sin autoridad que la fiscalizara. Eso cambia en diciembre: la reforma crea la Agencia de Protección de Datos Personales (APDP), con potestad para investigar y sancionar.
Qué cambia en concreto
| Aspecto | Antes (Ley 19.628) | Con la Ley 21.719 |
|---|---|---|
| Fiscalización | No había autoridad real | La APDP puede investigar y sancionar |
| Multas | Prácticamente inaplicables | Hasta 5.000 UTM leves, 10.000 UTM graves, 20.000 UTM gravísimas |
| Agencia | No existía | Agencia de Protección de Datos Personales |
| Empresas extranjeras | Cobertura difusa | Aplica si ofrecen servicios a personas en Chile o las monitorean |
| Prevención | No había figura | Un programa de cumplimiento puede atenuar la responsabilidad |
Los derechos que se consolidan son los que resume el acrónimo BARSOP: acceso, bloqueo, rectificación, supresión, oposición y portabilidad. Es decir, la persona puede preguntarte qué datos tienes de ella, pedir que los corrija, que los elimines, o llevárselos en un formato utilizable.
Las 5 cosas que una web necesita
1. Política de privacidad publicada y visible. No basta con que exista: tiene que decir qué datos recolectas, para qué los usas, cuánto tiempo los guardas, con quién los compartes y cómo se ejercen los derechos. El enlace tiene que estar en el pie de página, alcanzable en un clic, no escondido en "legales".
2. Consentimiento informado y separable. Si usas analytics, publicidad o remarketing, eso es tratamiento de datos con fines distintos del servicio que la persona vino a buscar. El titular tiene que poder rechazarlos sin que eso le cueste el servicio. Es el punto donde muchas webs pequeñas fallan: bloquear todo o nada.
3. Aviso para transferencias internacionales. Si tu web usa herramientas cloud, herramientas de analytics o servicios de email con servidores fuera de Chile, tienes que informarlo. Es una obligación de transparencia, no una formalidad.
4. Registro de Actividades de Tratamiento (RAT). Llevar un inventario de qué datos procesas, con qué finalidad, quién es el responsable y qué ocurre si hay una brecha. Suena burocracia, pero es también tu evidencia si la agencia te requiere.
5. Procedimiento para responder a un titular. Alguien tiene que poder tomar un "bórralo todo" y ejecutarlo en un plazo razonable. En la práctica eso significa saber dónde está cada base, quién la administra y cómo se bloquea. Sin eso, la promesa de borrar no es cumplible.
Lo que NO es la solución
Aquí conviene ser directo, porque es el error más común y el más caro.
Una política de privacidad no te salva. Es una parte del deber de transparencia, no el cumplimiento completo. Puedes tener el mejor texto del país y seguir incumpliendo si no puedes responder a un titular, si no controlas a tus encargados (quien te presta servicios y accede a datos) o si no tienes forma de eliminar datos de un respaldo.
No es un problema de diseño. Es un problema de proceso. La web es solo una de las formas en que recolectas datos: también están tus planillas, tu WhatsApp Business, tu base de clientes y las herramientas que ya usas.
Y ojo con los flujos que todos usamos. El punto más citado como zona gris es justamente el más cotidiano: promociones por WhatsApp a personas que no te lo pidieron, traspaso de bases de clientes a terceros sin consentimiento documentado, y cesión de facturas a factoring sin protocolo. Son prácticas de hace años que de pronto son incumplimientos.
Nota importante: la fecha de vigencia diferida que figura en el texto legal vigente es el 1 de diciembre de 2026. Ha habido evidencia pública de que el Gobierno evalúa postergar ese plazo, por los retrasos en la instalación de la agencia. Si hay cambios, la APDP y el Diario Oficial serán la fuente. Prepararse ahora no sobra en ningún escenario; entrar en vigencia con un mes de aviso, sí.
Un orden de trabajo realista en dos meses
No necesitas un abogado antes que nada. Necesitas saber qué datos tienes y poder responder a alguien.
- Audita qué recolectas. Formularios, newsletters, analytics, chat, cookies. Anota cada campo y para qué lo usas. Media hora de trabajo honesto.
- Publica la política de privacidad y revisa que el consentimiento sea granular y rechazable. Tenemos un generador gratuito que arma Política de Privacidad y Términos con la estructura de la ley.
- Separa los consentimientos opcionales. Analytics y publicidad deben poder rechazarse sin perder la función principal.
- Deja registro de tus actividades de tratamiento. Una hoja con responsable, finalidad, tipo de datos y encargados. Sirve para responder y para demostrar.
- Designa quién responde. Aunque seas tú, que quede por escrito. En una pyme es casi siempre la misma persona, y hay que dejarlo anotado.
Qué hacemos nosotros con esto
Cuando construimos una web, el cumplimiento de la Ley 21.719 no es un añadido ni un extra: entra en la entrega. La política de privacidad y los términos se publican con el sitio, el consentimiento de cookies es granular desde el primer día —puedes probarlo en esta misma web, abajo a la izquierda— y no usamos plugins que cargan datos ocultos sin que tú lo sepas.
Lo que no hacemos es la auditoría legal de tu negocio. Eso es otra cosa y requiere asesoría jurídica. Lo que sí hacemos es que la web no te sume otro problema que resolver. Esa distinción es importante y preferimos decirla antes de que la descubras después.
Preguntas frecuentes
¿La Ley 21.719 aplica a una pyme o solo a empresas grandes? Aplica a cualquier organización pública o privada que trate datos de personas en Chile, sin importar su tamaño. El tamaño cambia quién puede asumir la carga del cumplimiento, no si la obligación existe.
¿Si no tengo formulario de contacto estoy fuera? No. Recolectas datos desde el momento en que alguien te deja su correo, te manda un mensaje o navega tu web con herramientas de medición. También si usas un formulario de un proveedor externo: el tratamiento ocurre igual.
¿La política de privacidad tiene que estar en cada web? Sí, si recolectas datos. Y tiene que ser alcanzable: un enlace en el pie de página, visible y en un clic. No un PDF perdido ni una pestaña de contacto.
¿Puedo clasificar los analytics y la publicidad como "necesarios"? No. Son finalidades distintas del servicio que el visitante vino a buscar, y por eso requieren consentimiento separado. Bloquear el sitio entero para forzar la aceptación es práctica cuestionada.
¿Qué pasa si ya tengo una política de privacidad de antes? Probablemente no alcance. Las leyes de la época no exigían los derechos BARSOP, ni la separación de consentimientos, ni información sobre transferencias. Conviene revisarla y actualizarla.
Este contenido es informativo y no constituye asesoría legal. Para decisiones sobre tu situación específica, conversa con un abogado. Si quieres partir por lo práctico, el generador de políticas de privacidad está disponible sin costo.