Ley 21.719 de protección de datos: lo que tu página web necesita para cumplir

Cada vez que alguien llena el formulario de contacto de tu web, compra en tu tienda, se suscribe a tu newsletter o simplemente navega mientras tu píxel de Meta registra lo que mira, tu negocio está tratando datos personales. Durante años, en Chile eso se hizo con reglas antiguas y casi sin fiscalización. Eso cambia con la Ley 21.719. No es una ley pensada solo para bancos o grandes empresas: alcanza a cualquier negocio que recibe datos de personas, y la página web suele ser la primera puerta por donde entran.

Qué es la Ley 21.719 y cuándo empieza a regir

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. Modifica de forma profunda la Ley 19.628 sobre protección de la vida privada, que regía desde 1999, y crea la Agencia de Protección de Datos Personales: un organismo con facultades para fiscalizar, resolver reclamos de las personas y aplicar multas.

Según su artículo primero transitorio, las nuevas reglas entran en vigencia el primer día del mes vigésimo cuarto posterior a su publicación, es decir, el 1 de diciembre de 2026.

¿Y la postergación?

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (Boletín N° 18.623-07) para aplazar la entrada en vigencia y reforzar la Agencia. A fines de octubre, el Senado lo aprobó en primer trámite fijando el 15 de octubre de 2027 como nueva fecha, y el proyecto pasó a la Cámara de Diputadas y Diputados. Puedes revisar su avance buscando ese número de boletín en el sitio del Senado. A la fecha de este artículo no es ley: mientras no se publique en el Diario Oficial, la fecha vigente sigue siendo el 1 de diciembre de 2026.

Postergar la ley no es postergar la preparación. Las obligaciones de fondo son las mismas; lo que cambia es cuánto tiempo tienes para ordenarte. Y el trabajo en la web no se hace en una semana.

¿Por qué tu página web está en el centro de esta ley?

Porque es donde se recolecta la mayor parte de los datos de un negocio digital, muchas veces sin que el dueño lo tenga claro. Piensa en todo lo que pasa en un sitio normal de una pyme:

Además, en todos esos casos intervienen proveedores: el hosting, la plataforma de ecommerce, la herramienta de correo, el CRM y las plataformas de publicidad. La ley te hace responsable de lo que pasa con esos datos, aunque los guarde otro.

Lo que la ley exige, explicado para una web

1. Una base legal para cada dato que pides

La ley parte de una regla general: puedes tratar datos personales cuando la persona da su consentimiento. Pero el artículo 13 reconoce otras bases que no requieren consentimiento, y que en una web se usan todo el tiempo:

• Ejecutar un contrato o medidas precontractuales que pidió la persona: los datos para despachar una compra o responder una cotización que te solicitaron.
• Cumplir una obligación legal: por ejemplo, los datos necesarios para emitir una boleta o factura.
• Interés legítimo del negocio, siempre que no se afecten los derechos y libertades de la persona, y que se le informe cuál es ese interés.

Lo importante es que el responsable debe poder acreditar la base legal de cada tratamiento. Ya no basta con «lo hacemos así desde siempre».

2. Consentimiento de verdad, cuando corresponde

Cuando la base es el consentimiento, por ejemplo para enviar publicidad o sumar a alguien a tu newsletter, la ley es exigente. Según el artículo 12, debe ser:

Y un detalle clave: la carga de la prueba es tuya. Si alguien reclama, el negocio tiene que demostrar que contaba con el consentimiento. Eso significa guardar registro de cuándo y cómo se otorgó.

3. Una política de tratamiento de datos publicada

El artículo 14 ter establece un deber de información y transparencia: el responsable debe mantener permanentemente disponible, en su sitio web o en un medio equivalente, al menos esta información:

• La política de tratamiento de datos, con su fecha y versión.
• Quién es el responsable de los datos y su representante legal.
• Un canal de contacto (correo, formulario u otro medio de fácil acceso) para recibir solicitudes de las personas.
• Qué datos se tratan, de quiénes, para qué finalidades, con qué base legal y a quién se comunican o ceden.
• La política y las medidas de seguridad que se aplican.
• Los derechos de las personas y su derecho a recurrir ante la Agencia si no se les responde.
• Si hay transferencias de datos a otros países y con qué garantías.
• Por cuánto tiempo se conservan los datos y de dónde provienen.
• Cuando el tratamiento se basa en el consentimiento, el derecho a retirarlo en cualquier momento.

Ese punto de las transferencias internacionales es más común de lo que parece: si usas Google Analytics, Meta Ads, Mailchimp o un hosting en Estados Unidos, tus datos ya están saliendo de Chile.

4. Responder a las personas en plazo

Las personas tienen derecho a acceder a sus datos, rectificarlos, pedir que se supriman, oponerse a su tratamiento, solicitar su portabilidad y, en ciertos casos, su bloqueo. Cuando alguien lo pide, el responsable debe acusar recibo y responder por escrito dentro de 30 días corridos, prorrogables por una sola vez hasta por 30 días más, guardando respaldo de la respuesta.

En la práctica, tu web necesita un canal visible para recibir estas solicitudes y tu negocio necesita saber dónde están los datos de una persona: en el CRM, en la tienda, en la planilla de leads, en la herramienta de correo y en el WhatsApp del vendedor.

5. Seguridad y reporte de vulneraciones

El principio de seguridad obliga a proteger los datos contra accesos no autorizados, pérdidas o filtraciones, con medidas acordes al riesgo. Y si ocurre una vulneración que genere un riesgo razonable para las personas, el artículo 14 sexies exige reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. Si involucra datos sensibles, datos de niños o niñas menores de 14 años o datos financieros, también hay que avisar a los afectados.

Para un sitio web, eso se traduce en cosas muy concretas: certificado HTTPS, plugins y plataforma actualizados, contraseñas fuertes con doble factor, accesos solo para quien los necesita, respaldos y alguien atento a lo que pasa. Un WordPress abandonado es un riesgo legal, no solo técnico, como explicamos en WordPress "económico": por qué sin mantención te puede salir más caro.

6. Pedir solo lo necesario, y cuidar a los menores

El principio de proporcionalidad dice que solo se deben tratar los datos necesarios para la finalidad, y conservarlos solo mientras se necesiten. Cada campo de más en un formulario es un dato que tienes que justificar, proteger y, eventualmente, borrar. Y si tu negocio atiende a niños o niñas menores de 14 años, tratar sus datos requiere el consentimiento de sus padres o representantes legales.

Lo que es necesario y lo que no

Alrededor de esta ley circulan muchos mitos, en las dos direcciones: quienes creen que basta con un banner de cookies y quienes creen que hay que pedir permiso para todo. Esta es la versión práctica para una web:

Sobre las cookies, una aclaración: la ley no tiene un artículo específico sobre ellas. Pero las herramientas de analítica y publicidad tratan identificadores y comportamiento asociados a personas, y por lo tanto caen dentro de las reglas generales. Lo práctico es configurar tu web para que las herramientas de publicidad no se activen hasta que la persona acepte, usando el modo de consentimiento de Google y un gestor que realmente bloquee los scripts. Si quieres entender qué hace cada etiqueta en tu sitio, revisa Google Tag Manager: el sistema nervioso de tu tracking en Google Ads.

Las multas: por qué no conviene esperar

La ley clasifica las infracciones en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM respectivamente, según el artículo 35 de la Ley 19.628, en su texto modificado por la Ley 21.719. Son montos máximos: la Agencia fija la multa de cada caso según criterios como la gravedad, el beneficio obtenido y la capacidad económica del infractor. En caso de reincidencia, las multas pueden aumentar, y para empresas que no son de menor tamaño pueden calcularse como un porcentaje de sus ingresos anuales. Las sanciones quedan además en un registro público, con el daño de reputación que eso implica.

Las disposiciones transitorias contemplan que, durante el primer período de vigencia, la Agencia pueda aplicar amonestaciones por escrito en vez de multas a las empresas de menor tamaño, y el proyecto de postergación propone extender ese criterio. Pero la amonestación no es inmunidad: es una advertencia que queda registrada. Y lo que más pesa para una pyme no es la multa, sino un reclamo de un cliente que no sabes cómo responder.

¿Tu web ya cumple? Haz este chequeo

Responde estas preguntas mirando tu propio sitio. Si alguna te deja en duda, ahí tienes trabajo pendiente:

1. ¿Tienes una política de tratamiento de datos visible desde todas las páginas, normalmente en el pie, con fecha y versión, que describa lo que tu negocio realmente hace?
2. ¿Cada formulario pide solo lo necesario y explica para qué se usan los datos, con enlace a la política?
3. ¿La casilla de publicidad o newsletter es opcional y viene desmarcada, y guardas registro de quién aceptó y cuándo?
4. ¿Sabes qué scripts cargan en tu web (analítica, píxeles, chats, mapas, videos) y las herramientas de publicidad esperan el consentimiento antes de activarse?
5. ¿Hay un canal claro para que una persona pida acceder o borrar sus datos, y alguien responsable de responder en 30 días?
6. ¿Tu sitio está actualizado, con HTTPS, accesos ordenados y respaldos, y sabes qué harías si mañana te avisan de una filtración?
7. ¿Sabes qué proveedores reciben tus datos (hosting, tienda, correo, CRM, publicidad) y en qué países están?

Cómo llegar a cumplir: el plan de trabajo

La buena noticia es que, para la mayoría de las pymes, cumplir en la web es un proyecto acotado. Este es el orden que propongo:

Un efecto secundario positivo: este ordenamiento suele mejorar la medición. Cuando sabes exactamente qué etiquetas cargan y por qué, tus datos de campañas son más confiables. Si tu píxel no está bien configurado, el problema no es solo legal, como explicamos en Píxel de Meta: por qué tus anuncios no venden.

Fuentes consultadas

Los artículos de la ley citados en esta guía (3, 12, 13, 14 ter, 14 sexies, plazos de respuesta, reglas para menores y disposiciones transitorias) provienen del texto oficial. Información revisada al 2 de noviembre de 2026:

• Ley 21.719 — texto oficial en LeyChile, Biblioteca del Congreso Nacional
• Ley 19.628 — texto consolidado con las modificaciones de la Ley 21.719 (artículos 35 a 37, sanciones), LeyChile

Qué hacemos en Creative Web

En Creative Web ayudamos a que tu sitio quede preparado para la Ley 21.719 desde el lado web, que es donde se recolecta la mayoría de los datos. Hacemos el inventario de formularios, scripts y proveedores, limpiamos lo que sobra, ajustamos formularios y casillas de consentimiento, configuramos el gestor de consentimiento y el modo de consentimiento de Google sin romper tu medición, habilitamos el canal para solicitudes y dejamos tu WordPress, Jumpseller o Shopify actualizado y seguro. Para la redacción final de la política y los casos con datos sensibles, trabajamos junto a tu asesor legal. Trabajas directamente conmigo, sin intermediarios.

Preguntas frecuentes