- Rige desde el 1 de diciembre de 2026. Hay un proyecto para moverla a 2027, pero al 20 de octubre sigue en su primer trámite en el Senado, sin aprobar.
- Si tu web tiene un formulario, una tienda, un chat o analítica, tratas datos personales y la ley te aplica.
- Lo mínimo: una política con el contenido que exige el art. 14 ter, consentimiento donde corresponde, un canal para que la gente ejerza sus derechos y medidas de seguridad que puedas demostrar.
- Las multas van de una amonestación hasta 20.000 UTM. Para empresas de menor tamaño, el primer año la Agencia puede aplicar solo una amonestación.
La Ley 21.719 reescribe casi por completo la Ley 19.628 de protección de la vida privada, vigente desde 1999. Se publicó el 13 de diciembre de 2024 y entra en vigencia «el día primero del mes vigésimo cuarto» posterior a su publicación: el 1 de diciembre de 2026. Crea además una Agencia de Protección de Datos Personales con facultades para fiscalizar y multar.
Es común encontrar sitios de pymes con una política de privacidad copiada, formularios que piden más datos de los necesarios y ningún canal para que una persona pida que borren sus datos. Con la ley nueva, cada una de esas cosas tiene una infracción asociada.
¿Se posterga a 2027?
El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) que propone mover la entrada en vigencia al 1 de diciembre de 2027. Según la ficha oficial de tramitación del Senado, al 20 de octubre está en primer trámite constitucional, esperando el primer informe de la Comisión de Constitución, con suma urgencia. Mientras no se apruebe y publique, la fecha legal sigue siendo diciembre de 2026.
Aunque se postergue, el trabajo es el mismo. Lo que cambia es el plazo para hacerlo.
Lo que la ley le pide a tu sitio web
1. Información pública y permanente (art. 14 ter)
El responsable de los datos debe tener «permanentemente a disposición del público, en su sitio web» al menos lo siguiente:
- La política de tratamiento de datos, con su fecha y versión.
- Quién es el responsable y su representante legal.
- Un domicilio postal, correo o formulario donde recibir las solicitudes de las personas.
- Qué tipos de datos trata, de quiénes, a quién se los comunica, para qué y con qué base legal.
- La política y las medidas de seguridad que usa.
- Los derechos de acceso, rectificación, supresión, oposición y portabilidad, y el derecho a reclamar ante la Agencia.
- Si envía datos a otro país y con qué garantías. Google Analytics, el píxel de Meta y muchos chats guardan datos fuera de Chile.
- Cuánto tiempo se conservan los datos y de dónde provienen.
- Si se usan decisiones automatizadas o perfiles.
No cumplir esto es una infracción leve (art. 34 bis). Una política genérica sin fecha ni versión, que no dice qué datos trata tu sitio, no cumple.
2. Consentimiento de verdad (art. 12)
Cuando el tratamiento se basa en el consentimiento, este debe ser «libre, informado y específico», previo e inequívoco. Se debe poder revocar en cualquier momento, por un medio tan fácil como el que se usó para darlo, y te corresponde a ti probar que lo obtuviste. En la práctica: casillas sin marcar, un texto que diga para qué se usa el dato y un registro de quién aceptó y cuándo.
Ojo: no todo requiere consentimiento. La ley acepta otras bases (art. 13), como ejecutar un contrato o las gestiones previas que la persona pidió. Para enviarle la cotización que pidió no hace falta una casilla; para meterte a una lista de correos promocionales, sí.
3. Pedir solo lo necesario (art. 3 y art. 34 ter)
Tratar datos innecesarios para el fin es una infracción grave. Si tu formulario de contacto pide RUT, dirección y fecha de nacimiento para responder una consulta, sobran campos. Es el cambio más barato y el que más riesgo te quita.
4. Responder las solicitudes a tiempo (art. 11)
Si alguien te pide ver, corregir o borrar sus datos, debes acusar recibo y responder dentro de 30 días corridos, prorrogables una sola vez por otros 30. Debes guardar el respaldo de la respuesta y su fecha. No responder o hacerlo tarde es infracción leve; impedir el ejercicio de un derecho, grave.
5. Seguridad que puedas demostrar (art. 14 quinquies)
La ley pide medidas proporcionales al riesgo que aseguren confidencialidad, integridad, disponibilidad y resiliencia, y menciona expresamente el cifrado, la capacidad de restaurar los datos rápido tras un incidente y un proceso de verificación regular. Lo más importante: ante un incidente, te toca acreditar qué medidas tenías. Un sitio sin actualizar, sin respaldos probados y sin HTTPS es difícil de defender.
6. Reportar y registrar incidentes (art. 14 sexies)
Si una vulneración pone en riesgo a las personas, debes reportarla a la Agencia sin demora y registrarla: qué pasó, qué datos, cuántas personas y qué hiciste. Si involucra datos sensibles, de menores de 14 años o financieros, también hay que avisar a cada afectado. Omitir el reporte a propósito es una infracción gravísima.
7. Contrato con quien trata datos por ti (art. 15 bis)
Tu hosting, tu agencia, el CRM o la plataforma de correos que usas tratan datos por encargo tuyo. La ley exige un contrato que diga el objeto, la duración, la finalidad, los tipos de datos y las obligaciones de cada parte. La Agencia publicará modelos tipo.
¿Cuánto son las multas?
| Infracción | Ejemplos (art. 34 bis a 34 quáter) | Multa máxima (art. 35) |
|---|---|---|
| Leve | Política incompleta, no tener canal de contacto, responder tarde | Amonestación o 5.000 UTM (unos $361 millones) |
| Grave | Tratar datos sin base legal, pedir datos innecesarios, fallas de seguridad, no registrar incidentes | 10.000 UTM (unos $722 millones) |
| Gravísima | Tratamiento fraudulento, omitir a propósito el reporte de una vulneración | 20.000 UTM (unos $1.443 millones) |
En pesos, con la UTM de octubre de 2026 ($72.151). Si no corriges en 60 días, la multa sube 50%; con reincidencia puede triplicarse, y en empresas que no son de menor tamaño puede llegar al 2% o 4% de sus ingresos anuales (art. 35).
Para las empresas de menor tamaño, la ley tiene un respiro: durante los primeros 12 meses de vigencia, la Agencia puede sancionarlas con una amonestación escrita en vez de multa (art. 6° transitorio). Además, las exigencias de información y seguridad se fijarán según el tamaño de la empresa y el tipo de datos (art. 14 septies). Es un respiro, no una exención: la amonestación queda registrada.
¿Existe una «certificación» para mi sitio?
No. Desconfía de quien te ofrezca un sello de «sitio certificado Ley 21.719». Lo que la ley contempla es un modelo de prevención de infracciones, voluntario, que la Agencia certificará según un reglamento (arts. 49 a 51). Incluye designar un delegado de protección de datos; en micro, pequeñas y medianas empresas el propio dueño puede asumir ese rol (art. 50). Tener ese modelo certificado es una atenuante si te sancionan (art. 36).
Revisa tu sitio en 30 minutos
- Haz la lista de lo que recibes
Recorre tu web y anota cada formulario, el chat, la tienda, el registro de usuarios y los servicios externos: analítica, píxeles, newsletter, CRM. Cada uno es un tratamiento de datos.
- Saca los campos que sobran
Por cada formulario, pregúntate si de verdad necesitas cada dato para responder. Si no, quítalo.
- Pon tu política al día
Genera una con nuestra herramienta gratis y complétala con lo que anotaste: datos, finalidades, servicios externos y plazos. Ponle fecha y versión, y enlázala desde cada formulario y el pie de página.
- Abre un canal de derechos
Un correo o formulario visible para pedir acceso, corrección o borrado, y una planilla donde anotes cada solicitud, la fecha y la respuesta.
- Revisa lo básico de seguridad
HTTPS activo, WordPress y plugins al día, usuarios administradores que sigan trabajando contigo y un respaldo que hayas probado restaurar.
Lo que conviene tener documentado
- La política vigente y sus versiones anteriores, con fecha.
- Dónde y cómo se obtiene el consentimiento, y su registro.
- La planilla de solicitudes de derechos y sus respuestas.
- Las medidas de seguridad: respaldos, actualizaciones y accesos.
- El registro de incidentes, aunque esté vacío.
- Los contratos con tu hosting y demás proveedores que tratan datos.
Si tu sitio vende, agenda o integra servicios, conviene que lo revise un equipo.
Todo lo anterior lo puedes hacer por tu cuenta. Conviene que lo tome un equipo si:
- Tu sitio tiene tienda, reservas o registro de clientes.
- Usas analítica, píxeles de publicidad, un CRM o un chatbot.
- No sabes qué plugins guardan datos ni dónde.
- Tu WordPress está desactualizado o nadie lo mantiene.
- Quieres tener todo documentado antes de diciembre.
Revisamos tu sitio, te decimos qué falta y lo dejamos en regla: política, consentimientos, canal de derechos y seguridad. Se cotiza según tu sitio.
Preguntas frecuentes
¿La ley aplica a una pyme o a un emprendedor?
Sí: aplica a toda persona o empresa que trata datos personales. Lo que cambia según el tamaño son las exigencias mínimas (art. 14 septies) y, el primer año, la posibilidad de una amonestación en vez de multa para empresas de menor tamaño.
¿Basta con publicar una política de privacidad?
No. La política es una parte. También tienes que pedir solo los datos necesarios, obtener el consentimiento cuando corresponde, responder las solicitudes en plazo y tener medidas de seguridad que puedas demostrar.
¿Google Analytics está prohibido?
No. Hay que informarlo en la política, incluido que los datos se guardan fuera de Chile, y cuando corresponda pedir el consentimiento antes de activarlo.
¿Quién fiscaliza?
La Agencia de Protección de Datos Personales que crea la ley. Puede recibir reclamos de las personas, fiscalizar y aplicar las multas del art. 35.
Revisado el 20 de octubre de 2026.