Chile llevaba décadas con una ley de datos personales de 1999 que, siendo honestos, casi nadie cumplía porque casi nadie fiscalizaba. Eso se acabó: la Ley 21.719, la nueva ley de protección de datos personales publicada el 13 de diciembre de 2024, entra en plena vigencia el 1 de diciembre de 2026. Con Agencia de Protección de Datos propia, sanciones reales y obligaciones concretas.
En las conversaciones con clientes chilenos veo el mismo patrón que vi en España con el RGPD en 2018: la mayoría de las pymes piensa que "eso es para las empresas grandes". No lo es. Y la parte buena es que, para una pyme típica, una porción enorme del cumplimiento pasa por algo muy acotado: cómo tu sitio web recolecta y guarda datos de personas. Formularios, base de prospectos, cookies, política de privacidad. Terreno conocido.
En pocas palabras: La Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026 y aplica a empresas de todos los tamaños. Necesitas consentimiento explícito en tus formularios, una política de privacidad adaptada a la ley chilena, un aviso de cookies que funcione de verdad, saber qué datos guardas y dónde, y un procedimiento escrito para reaccionar rápido si se filtran. Las pequeñas empresas tienen un año de gracia con amonestaciones en vez de multas — úsalo para ordenarte, no para postergar.
Un aviso antes de entrar: esto es un resumen editorial escrito desde el lado técnico, no asesoría legal. Sirve para saber qué preguntar y qué preparar; la redacción final de tu política de privacidad y la evaluación de tu caso concreto conviene contrastarlas con un abogado especialista.
Qué cambia y a quién aplica
Lo primero: la ley aplica a empresas de todos los tamaños. Si tu negocio guarda datos de personas — clientes, prospectos, empleados, proveedores que son personas naturales — te aplica. No hay umbral mínimo de facturación ni de empleados.
Lo segundo, y esto es importante para bajar la ansiedad: hay gracia real para las pymes. Las pequeñas empresas (según la Ley 20.416) reciben una amonestación escrita en su primera infracción en vez de multa. Y durante el primer año de vigencia — de diciembre de 2026 a diciembre de 2027 — las pymes están sujetas solo a amonestaciones.
Eso no significa que puedas ignorarlo hasta 2028. Significa que tienes una ventana para ordenarte sin que un error te cueste dinero. Después de esa ventana, las sanciones son serias: las infracciones gravísimas llegan hasta 20.000 UTM, y en caso de reincidencia hasta el 4% de los ingresos anuales en Chile. Para una pyme, el escenario realista no es la multa máxima del titular — es que una denuncia de un cliente molesto te encuentre sin nada en orden.
Y hay una obligación con reloj: si sufres una vulneración de datos (te hackean la web, se filtra tu base de clientes, un empleado manda la planilla equivocada), debes notificar a la nueva Agencia de Protección de Datos. Aquí conviene precisar algo que circula mal por internet: el texto de la 21.719 exige avisar "por los medios más expeditos posibles y sin dilaciones indebidas", no fija un plazo de 72 horas. Las 72 horas son el plazo del RGPD europeo y el de la Ley Marco de Ciberseguridad chilena (21.663) para las entidades que esa ley obliga, y de ahí se ha contagiado a medio internet. Para efectos prácticos da igual: si te pasa, el reloj corre desde que te enteras y nadie va a considerar razonable esperar una semana. Y si la vulneración implica alto riesgo para las personas afectadas, también hay que avisarles a ellas.
Qué significa esto para tu sitio web, concretamente
Aquí es donde esto deja de ser abstracto. Tu web es probablemente el principal punto donde tu empresa recolecta datos personales. Esto es lo que debe tener:
1. Formularios con consentimiento explícito y finalidad clara
Cada formulario — contacto, cotización, newsletter, descarga — debe decir para qué vas a usar los datos, y la persona debe consentir de forma explícita. Eso significa:
- Un checkbox no premarcado de aceptación de la política de privacidad.
- Un texto breve junto al formulario: "Usaremos tu correo para responder tu consulta" (y nada más, si no consentiste nada más).
- Si además quieres enviar newsletter o promociones, es otro checkbox separado. Meter a alguien a tu lista de mailing porque pidió una cotización ya no corre.
2. Base de prospectos con consentimiento rastreable
No basta con pedir consentimiento: debes poder demostrar que lo obtuviste. Tu base de contactos (CRM, planilla, base de datos del sitio) debería registrar cuándo y cómo consintió cada persona. Si hoy tienes una lista de correos acumulada durante años sin saber de dónde salió cada uno, ese es un problema a resolver antes de diciembre. Y si vas a automatizar la entrada de contactos, es el momento de dejar el consentimiento dentro del flujo desde el principio en lugar de añadirlo después (automatizar el seguimiento de prospectos).
3. Política de privacidad adaptada a la ley chilena
Muchas webs chilenas tienen políticas copiadas de plantillas del RGPD europeo o, peor, de sitios gringos. Necesitas una política que hable de la Ley 21.719: qué datos recoges, con qué finalidad, cuánto tiempo los guardas, con quién los compartes (¿tu herramienta de email marketing? ¿Google Analytics?), y cómo la persona puede ejercer sus derechos de acceso, rectificación y supresión.
4. Aviso de cookies real, no decorativo
El cartel que dice "usamos cookies, OK" y no hace nada es decorativo. Uno real permite rechazar las cookies no esenciales, y cuando el usuario rechaza, las de analítica y marketing no se cargan. Es un cambio técnico, no solo de texto — y es el punto donde más webs creen estar cumpliendo sin estarlo.
5. Registro de qué datos guardas y dónde
Un documento simple: qué datos personales maneja la empresa, dónde viven (hosting, CRM, Mailchimp, planillas en Drive), quién tiene acceso y por qué. Este mapa es la base de todo lo demás — y es lo primero que te van a pedir si algo pasa. Si nunca has hecho un ejercicio así, auditar tu presencia digital es un buen punto de partida.
6. HTTPS y seguridad básica
La ley exige medidas de seguridad adecuadas. Para una web de pyme eso parte por HTTPS en todo el sitio, formularios protegidos, accesos con contraseñas fuertes y 2FA, y backups. Ya escribí sobre lo mínimo de seguridad web que necesita una pyme — con eso cubres la base.
7. Un proceso para que un cliente pida sus datos o los borre
No necesita ser sofisticado: un correo de contacto publicado en la política de privacidad y un procedimiento interno de "si alguien pide sus datos o su eliminación, quién responde y en cuánto tiempo". Lo importante es que exista y funcione cuando llegue la primera solicitud.
Qué hacer esta semana
- Audita tus formularios (1 hora): recorre tu web, lista cada formulario, y verifica si tiene texto de finalidad y checkbox de consentimiento. Anota los que fallan.
- Actualiza tu política de privacidad a la Ley 21.719 — o al menos agenda con quién la vas a redactar. Es de los entregables más rápidos de resolver.
- Haz el mapa de datos: un documento de una página con qué datos guardas, dónde y quién accede. Incluye las herramientas de terceros (email marketing, analytics, CRM).
- Define un responsable: alguien en la empresa (aunque sean 3 personas) debe ser "el que responde por los datos". Sin dueño, nada de esto avanza.
- Escribe tu plan de respuesta: si mañana se filtra tu base de clientes, ¿quién lo detecta, quién notifica a la Agencia y cómo? Media página basta, pero tenla escrita antes de necesitarla, porque el día que pase no vas a tener cabeza para redactarla.
Preguntas frecuentes
Mi pyme es chica y solo tengo un formulario de contacto. ¿Igual me aplica?
Sí. La ley aplica a todo tratamiento de datos personales, sin importar el tamaño de la empresa. La diferencia es que como pequeña empresa tu primera infracción se sanciona con amonestación escrita, no con multa, y durante el primer año (diciembre 2026 a diciembre 2027) solo hay amonestaciones para pymes. Pero la obligación de cumplir existe desde el día uno.
¿Puedo seguir usando Google Analytics, Mailchimp y herramientas extranjeras?
Sí, pero con condiciones: tu política de privacidad debe declarar que compartes datos con esos servicios, tu banner de cookies debe permitir rechazar la analítica, y conviene revisar qué dicen esos proveedores sobre transferencias internacionales de datos. Sobre el criterio general de qué datos compartir con herramientas de terceros — incluida la IA — escribí en IA y privacidad: qué datos compartir.
¿Qué pasa si me hackean y pierdo datos de clientes?
Debes notificar a la Agencia de Protección de Datos sin dilaciones indebidas y por la vía más rápida disponible, desde que tomas conocimiento de la vulneración. Verás repetido por todas partes un plazo de 72 horas: ese número viene del RGPD europeo y de la Ley Marco de Ciberseguridad, no del texto de la 21.719. En la práctica es una referencia razonable para organizarte, pero no lo trates como el plazo legal exacto de esta ley. Si el incidente implica alto riesgo para las personas (datos financieros, de salud, credenciales), también hay que avisarles a ellas. Por eso tener el plan de respuesta escrito de antemano no es burocracia: cuando pasa, no hay tiempo para improvisar.
Si quieres revisar tu caso concreto — tu web, tus formularios y tu base de datos frente a la 21.719 — una consultoría 1:1 de $60 y salimos con un plan.
Newsletter
¿Te fue útil este artículo?
Suscríbete y te aviso cuando publique algo que valga la pena leer. Sin correo basura y sin una frecuencia forzada.