El 1 de diciembre de 2026 entra en vigencia en Chile la Ley 21.719 de Protecci\u00f3n de Datos Personales. Y aplica a much\u00edsima m\u00e1s gente de la que cree.<\/p>\n
No es solo para bancos ni para empresas grandes. Si tu sitio web tiene un formulario de contacto, una lista de correos, una tienda online o cualquier cosa donde una persona escriba su nombre, su correo o su tel\u00e9fono, est\u00e1s tratando datos personales. Y por lo tanto, te aplica.<\/p>\n
Esta es una gu\u00eda pr\u00e1ctica de qu\u00e9 revisar en tu sitio web antes de esa fecha. Sin lenguaje legal complicado y sin venderte miedo.<\/p>\n
Nota: este art\u00edculo es orientativo y est\u00e1 enfocado en la parte web y t\u00e9cnica. Si manejas datos sensibles o un volumen alto, conversa con un abogado especialista.<\/em><\/p>\n Es la ley que reemplaza a la antigua normativa de datos personales de Chile, que era de 1999 y estaba completamente desactualizada.<\/p>\n La nueva ley establece que los datos personales le pertenecen a la persona, no a quien los recolecta. T\u00fa puedes usarlos, pero necesitas un motivo leg\u00edtimo para hacerlo, tienes que decirle a la persona qu\u00e9 vas a hacer con ellos, y tienes que poder devolv\u00e9rselos o borrarlos si te los pide.<\/p>\n Adem\u00e1s crea una Agencia de Protecci\u00f3n de Datos Personales<\/strong>, un organismo con facultades para fiscalizar y sancionar. Eso es lo nuevo: antes la ley exist\u00eda pero no hab\u00eda qui\u00e9n la hiciera cumplir.<\/p>\n Las sanciones se ordenan por gravedad de la infracci\u00f3n. En el tramo m\u00e1s alto, las infracciones grav\u00edsimas pueden llegar hasta 20.000 UTM<\/strong>, con un tope alternativo de hasta el 4% de los ingresos anuales<\/strong> de la empresa.<\/p>\n Esas cifras son para casos graves y reiterados, no para un formulario mal configurado. Pero dan la se\u00f1al de hacia d\u00f3nde va el asunto: esto se toma en serio.<\/p>\n No sirve copiar una de internet. Tiene que decir tu realidad: qu\u00e9 datos pides, para qu\u00e9 los usas, con qui\u00e9n los compartes, cu\u00e1nto tiempo los guardas y a qui\u00e9n puede escribir la persona para ejercer sus derechos.<\/p>\n Debe estar enlazada desde el pie de p\u00e1gina, visible en todo el sitio.<\/p>\n Este es el error m\u00e1s com\u00fan y el m\u00e1s f\u00e1cil de arreglar.<\/p>\n La casilla de aceptaci\u00f3n no puede venir marcada por defecto<\/strong>. La persona la tiene que marcar ella. Y el texto tiene que ser claro: no vale un \u00abacepto los t\u00e9rminos\u00bb enterrado en letra chica.<\/p>\n Adem\u00e1s, si pides el correo para responder una consulta, ese correo no queda autom\u00e1ticamente habilitado para mandarle publicidad. Son dos finalidades distintas y necesitan dos aceptaciones distintas.<\/p>\n Un banner que solo diga \u00abusamos cookies, aceptar\u00bb ya no basta.<\/p>\n Tiene que permitir rechazar<\/strong> con la misma facilidad con que permite aceptar, y las cookies de anal\u00edtica y publicidad no deber\u00edan cargarse antes de que la persona acepte. Si usas Google Analytics o el p\u00edxel de Meta, esto te aplica directamente.<\/p>\n La ley se basa en el principio de minimizaci\u00f3n: si para responder una consulta te basta el nombre y el correo, no pidas RUT, direcci\u00f3n y fecha de nacimiento.<\/p>\n Revisa tus formularios y borra los campos que est\u00e1n ah\u00ed \u00abpor si acaso\u00bb. Cada dato de m\u00e1s es una responsabilidad de m\u00e1s.<\/p>\n Necesitas tener por escrito, aunque sea en una planilla, un inventario: qu\u00e9 datos recolectas, d\u00f3nde quedan guardados, para qu\u00e9 los usas y qui\u00e9n tiene acceso.<\/p>\n Es el documento que te van a pedir primero si alguna vez hay una fiscalizaci\u00f3n, y es el que casi nadie tiene hoy.<\/p>\n Si un tercero maneja datos de tus clientes por encargo tuyo, eso tiene que estar documentado.<\/p>\n Piensa en tu plataforma de correos masivos, tu CRM, tu sistema de facturaci\u00f3n, la agencia que administra tu sitio. Todos ellos tocan datos de tus clientes.<\/p>\n Herramientas como Google Analytics, Mailchimp, Meta o tu CRM guardan datos fuera de Chile. Eso es una transferencia internacional y la ley la permite, siempre que exista un respaldo contractual adecuado.<\/p>\n En la pr\u00e1ctica, estas plataformas ya ofrecen sus cl\u00e1usulas de tratamiento de datos: tienes que aceptarlas y guardar constancia. No es prohibici\u00f3n, es papeleo.<\/p>\n Cualquier persona puede pedirte que le muestres qu\u00e9 datos tienes de ella, que los corrijas, que los elimines o que se los entregues para llev\u00e1rselos a otro proveedor.<\/p>\n Necesitas un canal de contacto publicado y alguien responsable de responder dentro de plazo. Un correo tipo Si te hackean el sitio y quedan expuestos datos de tus clientes, tienes la obligaci\u00f3n de notificar a la Agencia<\/strong>, y en los casos que corresponda, tambi\u00e9n a las personas afectadas.<\/p>\n El plazo de referencia es de 72 horas<\/strong> desde que tomas conocimiento. Setenta y dos horas es muy poco si reci\u00e9n ah\u00ed empiezas a averiguar qu\u00e9 hacer.<\/p>\n Aqu\u00ed es donde el aspecto t\u00e9cnico se cruza con el legal: para notificar necesitas primero darte cuenta<\/em> de que te entraron. Vale la pena revisar las se\u00f1ales de que ya entraron a tu WordPress<\/a>, porque muchos sitios est\u00e1n comprometidos hace meses sin que el due\u00f1o lo sepa.<\/p>\n La ley no te entrega una lista de tecnolog\u00edas obligatorias. Exige medidas apropiadas al riesgo. En un sitio web chileno promedio, eso se traduce en cosas concretas:<\/p>\n S\u00ed. La ley no distingue por tama\u00f1o de empresa, sino por si tratas datos personales o no. Un emprendimiento con un formulario de contacto trata datos personales.<\/p>\n Si de verdad no capturas ning\u00fan dato y no usas cookies de anal\u00edtica ni de publicidad, tu exposici\u00f3n es m\u00ednima. Revisa igual, porque muchos sitios \u00abinformativos\u00bb tienen Google Analytics instalado y no lo recuerdan.<\/p>\n Depende de con qu\u00e9 base legal la reuniste y de qu\u00e9 le dijiste a esa gente en su momento. Si tu lista de correos se arm\u00f3 sin una autorizaci\u00f3n clara, lo m\u00e1s sano es hacer una campa\u00f1a de reconfirmaci\u00f3n antes de diciembre.<\/p>\n No. El banner es un punto de diez. Es el m\u00e1s visible, pero el registro de tratamientos, el consentimiento en formularios y el plan ante brechas pesan igual o m\u00e1s.<\/p>\n Para un sitio web peque\u00f1o, la mayor\u00eda de estos diez puntos son configuraci\u00f3n y redacci\u00f3n: horas de trabajo, no una inversi\u00f3n grande. Los costos suben cuando manejas datos sensibles, muchos usuarios o integraciones complejas.<\/p>\n Si tienes que elegir solo tres cosas, parte por estas:<\/p>\n Falta poco para diciembre y esto no se resuelve la \u00faltima semana. Lo bueno es que la mayor parte es orden, no gasto.<\/p>\nQu\u00e9 es la Ley 21.719, en simple<\/h2>\n
Fechas que importan<\/h2>\n
\n
Cu\u00e1nto son las multas<\/h2>\n
Checklist: 10 puntos para revisar en tu sitio web<\/h2>\n
1. Pol\u00edtica de privacidad, escrita y visible<\/h3>\n
2. Consentimiento real en los formularios<\/h3>\n
3. Banner de cookies que funcione de verdad<\/h3>\n
4. Pide solo los datos que realmente necesitas<\/h3>\n
5. Registro de qu\u00e9 datos tratas<\/h3>\n
6. Contratos con quienes tratan datos por ti<\/h3>\n
7. Si usas servicios del extranjero, docum\u00e9ntalo<\/h3>\n
8. Procedimiento para responder solicitudes de las personas<\/h3>\n
datos@tuempresa.cl<\/code> monitoreado de verdad es suficiente para empezar.<\/p>\n9. Plan de respuesta ante una brecha de seguridad<\/h3>\n
10. Medidas de seguridad razonables<\/h3>\n
\n
Preguntas frecuentes<\/h2>\n
\u00bfLe aplica a una pyme o a un emprendimiento peque\u00f1o?<\/h3>\n
\u00bfY si mi sitio es solo informativo, sin formularios?<\/h3>\n
\u00bfTengo que pedirle permiso de nuevo a mi base de datos actual?<\/h3>\n
\u00bfUn banner de cookies me deja cumpliendo?<\/h3>\n
\u00bfCu\u00e1nto cuesta ponerse al d\u00eda?<\/h3>\n
Por d\u00f3nde partir esta semana<\/h2>\n
\n