Agendar reunión
La Ley N.º 21.719 comenzará a regir el 1 de diciembre de 2026 y cambiará profundamente la manera en que empresas, organizaciones y sitios web deben recopilar, utilizar, almacenar y proteger los datos personales.
Ya no será suficiente publicar una política de privacidad genérica o instalar un aviso de cookies. Las organizaciones deberán demostrar que sus procesos digitales cumplen efectivamente la normativa. En esta guía explicamos los principales cambios, cómo afectan a los sitios web y qué puede hacer una empresa desde ahora para prepararse.
Importante: este contenido es informativo y no reemplaza el asesoramiento jurídico. La adecuación legal de contratos, bases de licitud y políticas debe ser revisada por un profesional competente.
La Ley N.º 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024. Su objetivo es modernizar la regulación chilena sobre protección de datos personales, modificar la Ley N.º 19.628 y crear una nueva autoridad especializada: la Agencia de Protección de Datos Personales.
La ley fue promulgada el 25 de noviembre de 2024 y, considerando sus modificaciones posteriores, entrará en vigencia el 1 de diciembre de 2026. Su última modificación registrada por la Biblioteca del Congreso Nacional corresponde a la Ley N.º 21.806, publicada el 5 de febrero de 2026. Puedes consultar el texto actualizado de la Ley N.º 21.719 en la BCN.
Esta reforma aproxima el sistema chileno a los estándares internacionales contemporáneos, incorporando principios como la responsabilidad demostrable, la protección desde el diseño, la proporcionalidad y la seguridad basada en riesgos.
La normativa alcanza a personas naturales y jurídicas, públicas o privadas, que decidan para qué y cómo se tratan datos personales. En términos digitales, puede afectar a empresas y organizaciones que operen:
Una pequeña empresa también puede estar sujeta a la ley. Sin embargo, los estándares mínimos de información y seguridad deberán considerar factores como su tamaño, actividad, volumen de datos y nivel de riesgo.
La ley define como dato personal cualquier información vinculada o referida a una persona natural identificada o identificable. Esto incluye nombre, RUT, correo electrónico, teléfono, dirección, fecha de nacimiento, dirección IP, identificadores digitales, datos de localización, historial de compras, información laboral o financiera, fotografías y comportamiento online.
Por ello, una visita a un sitio web puede involucrar tratamiento de datos incluso cuando el usuario no completa un formulario. Puede ocurrir mediante identificadores, registros del servidor, herramientas estadísticas o tecnologías publicitarias.
La normativa entrega protección reforzada a datos biométricos, genéticos, de salud, orientación sexual, origen étnico, creencias y afiliación política o sindical. Su tratamiento queda sujeto a condiciones más estrictas y, como regla general, requiere consentimiento expreso, salvo las excepciones contempladas en la ley.
También existen reglas particulares para datos de niños, niñas y adolescentes, información financiera, datos sobre infracciones, geolocalización y perfiles automatizados.
La empresa debe contar con una justificación legal para tratar cada dato y ser capaz de demostrarla.
Los datos deben obtenerse para propósitos específicos, explícitos y lícitos. Por ejemplo, recibir un correo para contestar una cotización no autoriza automáticamente a incorporar a esa persona a una campaña publicitaria.
Solo deben solicitarse los datos adecuados y estrictamente necesarios. Un formulario de contacto básico normalmente no necesita conocer la fecha de nacimiento o el RUT del visitante.
Los datos deben ser exactos, completos y actuales. La organización será responsable del cumplimiento y tendrá que disponer de evidencia para demostrarlo. Además, debe proteger la información frente a accesos no autorizados, pérdida, filtración, alteración o destrucción.
Las personas deben entender quién usa sus datos, con qué finalidad, durante cuánto tiempo, con quién se comparten y cómo pueden ejercer sus derechos. Quienes accedan a la información deben guardar confidencialidad incluso después de terminada su relación con la organización.
Cuando el consentimiento sea la base utilizada, deberá ser libre, informado, específico, previo e inequívoco, y expresarse mediante una declaración o acción afirmativa clara. La organización deberá acreditar que lo obtuvo válidamente y permitir retirarlo mediante un sistema gratuito, expedito y permanentemente disponible.
Esto afecta directamente a formularios, suscripciones y determinados sistemas de cookies. Las casillas premarcadas, el silencio del visitante o los mensajes ambiguos difícilmente representan una acción afirmativa inequívoca.
El consentimiento no es la única base posible. La ley también contempla el cumplimiento de obligaciones legales, la ejecución de contratos y determinados intereses legítimos. La base adecuada debe estudiarse para cada actividad, no seleccionarse automáticamente.
La ley refuerza los derechos de los titulares, quienes podrán solicitar:
Estos derechos son gratuitos, personalísimos e irrenunciables. Un sitio preparado debería disponer de un canal visible para recibir solicitudes, verificar la identidad del solicitante, registrar la petición y acreditar que fue respondida correctamente.
El nuevo artículo 14 ter establece un deber de información y transparencia. El responsable deberá mantener permanentemente a disposición del público, en su sitio web o medio equivalente, información sobre el tratamiento que realiza.
Según corresponda, la capa informativa debería identificar al responsable, sus datos de contacto, las categorías de datos, las finalidades, la base de licitud, los destinatarios, las transferencias internacionales, los plazos de conservación, el canal para ejercer derechos y la existencia de decisiones automatizadas.
Una política copiada desde otro sitio no resuelve esta obligación: la información publicada debe coincidir con el funcionamiento real del sitio y sus integraciones.
La Ley N.º 21.719 no debe reducirse a una “ley de cookies”. Sin embargo, muchas tecnologías web pueden tratar datos personales: cookies publicitarias, píxeles sociales, identificadores de sesión, analítica, grabadores de sesiones, mapas de calor, remarketing, chatbots, videos o mapas incrustados y plugins sociales.
Para cada tecnología se debe determinar qué información recopila, quién la recibe, con qué finalidad se utiliza, cuál es su base de licitud, si los datos salen de Chile, cuánto tiempo permanecen almacenados y cómo puede el usuario controlar el tratamiento.
Cuando se dependa del consentimiento, esas tecnologías no deberían activarse antes de obtenerlo. Un banner que solo diga “Al continuar navegando aceptas todas las cookies” no demuestra por sí mismo un consentimiento libre, específico e inequívoco.
La privacidad debe considerarse antes de publicar una funcionalidad y durante toda su operación. La configuración inicial debe limitar el tratamiento a los datos estrictamente necesarios.
El responsable deberá adoptar medidas técnicas y organizativas apropiadas al riesgo. La ley menciona la seudonimización, el cifrado, la confidencialidad, la integridad, la disponibilidad y resiliencia de los sistemas, la restauración después de incidentes y las evaluaciones periódicas.
Si se produce una vulneración que represente un riesgo razonable para los derechos y libertades de las personas, deberá reportarse a la Agencia sin dilaciones indebidas. Cuando involucre datos sensibles, datos de niños o niñas menores de 14 años o información económica, financiera, bancaria o comercial, también será necesario comunicarla a los titulares afectados. Así lo dispone el texto actualizado de la Ley N.º 19.628 para su vigencia desde diciembre de 2026.
La responsabilidad no desaparece porque el tratamiento sea ejecutado por un proveedor. Hosting, CRM, email marketing, analítica, chat, pagos y almacenamiento en la nube pueden intervenir como encargados o terceros receptores. Es necesario determinar su función, los datos a los que acceden, las instrucciones que reciben y sus medidas de seguridad.
Además, muchos servicios están alojados en otros países. La ley contempla mecanismos para hacer lícitas las transferencias internacionales, como países con niveles adecuados de protección, cláusulas contractuales y otras situaciones legalmente previstas. El Ministerio de Economía publicó documentación oficial relacionada con transferencias internacionales.
La nueva Agencia será la autoridad encargada de fiscalizar, dictar instrucciones, tramitar reclamaciones, resolver procedimientos sancionatorios, certificar modelos de prevención y proteger el ejercicio de los derechos de los titulares.
La ley clasifica las infracciones en leves, graves y gravísimas. Las sanciones pueden alcanzar:
La Agencia también puede ordenar medidas para subsanar infracciones. A ello se suman posibles indemnizaciones por daños patrimoniales y extrapatrimoniales, suspensión o cese de tratamientos, eliminación de datos, reclamos, daño reputacional y pérdida de confianza.
Antes del 1 de diciembre de 2026 conviene revisar, como mínimo:
En Web Developer ofrecemos un servicio técnico de diagnóstico y normalización de sitios web orientado a preparar su operación digital para la nueva regulación de datos personales.
El servicio puede incluir auditoría técnica, detección de cookies y scripts, inventario de formularios, identificación de transferencias, implementación del gestor de consentimiento, bloqueo preventivo de tecnologías, normalización de formularios, creación de capas informativas, implementación de canales para titulares, mejoras de seguridad, configuración de conservación de registros y revisión de CRM, analítica, newsletters y herramientas publicitarias.
La normalización técnica no reemplaza la revisión jurídica, pero permite que las políticas y decisiones legales se reflejen realmente en el funcionamiento del sitio.
Adaptar una página puede requerir revisar proveedores, cambiar formularios, reconstruir el sistema de consentimiento, eliminar integraciones innecesarias y documentar procesos que hasta ahora no estaban registrados. El mejor momento para comenzar es antes de que la ley entre en vigencia.
Solicita una auditoría de tu sitio web con Web Developer y recibe un diagnóstico de los puntos que deben corregirse para avanzar hacia una operación digital más transparente, segura y preparada para la Ley N.º 21.719.
NORMALIZACIÓN WEB · LEY 21.719
En Web Developer auditamos y normalizamos formularios, cookies, herramientas de seguimiento, políticas, integraciones y medidas técnicas de seguridad para que tu operación digital refleje las exigencias de protección de datos.
No esperes al 1 de diciembre de 2026. Solicita una revisión de tu sitio y recibe una hoja de ruta clara para comenzar su normalización.
Conoce las señales que revelan problemas de SEO, velocidad, seguridad, medición y cumplimiento, y cómo priorizar las mejoras de tu sitio.
Leer más sobre Cómo saber si tu sitio necesita una auditoría web: 10 señales →
Para Proquinta no desarrollamos solamente un sitio web. Construimos un ecosistema digital inmobiliario que conecta su presencia pública con la gestión de propiedades, los procesos
Leer más sobre Proquinta: cómo construimos un ecosistema digital para la gestión inmobiliaria →
El headless design es una forma de diseñar y desarrollar experiencias digitales separando la interfaz que ve el usuario del sistema que administra los contenidos. Esta arquitectura
Leer más sobre Headless design: qué es, cómo funciona y qué beneficios ofrece →