La Ley 21.719 es la nueva ley chilena de protección de datos personales: define cómo una empresa puede recolectar, guardar y usar los datos de personas naturales, y crea una autoridad con poder para fiscalizar y multar. Reemplaza en la práctica a la Ley 19.628, de 1999. Esto es para quien tiene una PYME con sitio web y necesita saber qué le toca. No soy abogado. Esto es lo que veo cuando me toca dejar un sitio en regla.
Qué es la Ley 21.719: resumen
Un dato personal es cualquier información vinculada a una persona natural identificada o identificable: nombre, RUT, correo, teléfono, y también identificadores indirectos. Aparte quedan los datos sensibles, con reglas más estrictas: salud, situación socioeconómica, datos biométricos, creencias, afiliación política o sindical y vida sexual, entre otros.
Sobre esa base la ley fija ocho principios, y los que más se notan son finalidad (recolectar para fines específicos, explícitos y lícitos), proporcionalidad (solo los datos necesarios), seguridad, confidencialidad y responsabilidad. La persona cuyos datos tratas puede pedirte acceso, rectificación, supresión, oposición y portabilidad (lo que se abrevia ARCOP), más un derecho de bloqueo temporal. Recibida la solicitud tienes que acusar recibo y pronunciarte dentro de treinta días corridos, prorrogables por una sola vez hasta por otros treinta.
Para tratar datos necesitas además una base de licitud. El consentimiento es la regla general y tiene requisitos: libre, informado, específico en cuanto a la finalidad, previo e inequívoco, y revocable por medios equivalentes a los que usaste para pedirlo. No todo depende de él: también son lícitos el cumplimiento de una obligación legal, la ejecución de un contrato con el titular y el interés legítimo. Probar la licitud te corresponde a ti. Encima de eso van los deberes: informar y ser transparente, guardar secreto, proteger desde el diseño y por defecto, adoptar medidas de seguridad, reportar las brechas a la Agencia y, en tratamientos de alto riesgo, hacer una evaluación de impacto antes de partir.
Cuándo entra en vigencia la Ley 21.719
Se promulgó el 25 de noviembre de 2024 y se publicó en el Diario Oficial el 13 de diciembre de 2024, pero no rige desde ahí: su artículo primero transitorio difiere la vigencia al día primero del mes vigésimo cuarto posterior a la publicación, o sea el 1 de diciembre de 2026. Hasta entonces sigue operando la Ley 19.628 antigua. La fecha solo se mueve si sale otra ley.
Qué cambia respecto de la Ley 19.628
Formalmente la Ley 21.719 modifica la 19.628, así que el cuerpo legal seguirá identificándose con ese número, aunque de la ley del 99 queda poco en pie: casi todo su articulado se reescribe.
La 19.628 no creó autoridad de control, así que un titular afectado tenía que ir a tribunales. Ahora existe una agencia que fiscaliza y sanciona, con multas de hasta 20.000 UTM. Cambia también el estándar de prueba: no basta con no hacer nada malo, tienes que poder demostrar qué haces con los datos y qué medidas aplicaste. Y el consentimiento queda ordenado: se acabaron la casilla premarcada y el permiso genérico para “cualquier finalidad comercial”.
A quién aplica
A quien decide los fines y medios del tratamiento, que la ley llama responsable de datos: persona natural o jurídica, pública o privada. No hay umbral de tamaño. Lo que sí hace la ley, en su artículo 14 septies, es diferenciar cómo se cumplen los deberes de información (14 ter) y de seguridad (14 quinquies) según el tamaño de la empresa y su actividad, ponderando además el tipo y el volumen de datos que trata. Territorialmente alcanza a quien está establecido en Chile y también a quien no lo está, pero ofrece bienes o servicios a personas que están en Chile o monitorea su comportamiento.
Qué es la Agencia de Protección de Datos Personales
Es la autoridad de control que crea la ley: un servicio público descentralizado que se relaciona con el Presidente de la República a través del Ministerio de Economía. Dicta instrucciones y normas generales obligatorias, interpreta la ley, fiscaliza y sanciona, resuelve los reclamos de los titulares cuando les niegas una solicitud o no respondes a tiempo, y administra el Registro Nacional de Sanciones y Cumplimiento, público y gratuito. La dirige un Consejo Directivo de tres consejeros designados por el Presidente con acuerdo del Senado.
Las multas, en números
Las infracciones se clasifican en leves, graves y gravísimas, y la escala del artículo 35 de la Ley 19.628 ya modificada es esta:
| Infracción | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
Si no adoptas las medidas que indique la Agencia dentro de sesenta días, se aplica un recargo de 50%. Y hay un tramo reservado a la reincidencia de las empresas que no califican como de menor tamaño según la Ley 20.416: si una de ellas vuelve a cometer una infracción grave o gravísima, la Agencia puede optar entre el triple de la multa o el 2% de los ingresos anuales por ventas y servicios del último año en el caso grave, y el 4% en el gravísimo, aplicando lo que resulte más gravoso (artículo 35, inciso cuarto).
Hay una regla transitoria a favor de las empresas chicas: durante los primeros doce meses de vigencia, cuando corresponda sancionar a esas mismas empresas de menor tamaño, la Agencia podrá aplicar una amonestación por escrito. Es una facultad de la Agencia, no un permiso para no cumplir el primer año, y una amonestación es una sanción, así que queda en el registro público.
Lo que hay que tocar en un sitio web de PYME
Si tienes formulario, analítica y una base de clientes, ya eres responsable de datos.
El formulario de contacto
Un formulario pide datos con una finalidad, y esa finalidad tiene que estar declarada antes de que la persona envíe. Si además vas a usar ese correo para promociones, esa es una segunda finalidad y necesita su propio consentimiento. Y pedir el RUT en una cotización que no lo necesita choca con el principio de proporcionalidad. En WordPress los envíos del formulario suelen quedar guardados en la base de datos del plugin y nadie los borra nunca; eso ya es una base de datos personales.
Cookies, analítica y píxeles
La ley no menciona la palabra cookie. Aplican las reglas generales: si instalas analítica, un píxel de remarketing o cualquier cosa que perfile comportamiento, estás tratando datos personales, necesitas una base de licitud, informarlo y permitir revocar. En concreto hablamos de Google Analytics 4, Tag Manager y el píxel de Meta. Muchos banners de WordPress cargan esos scripts antes de que el visitante acepte, así que el banner no está haciendo nada. Y un banner que solo ofrece el botón “aceptar”, a mi juicio, no cumple.
La tienda y la base de clientes
Una tienda acumula direcciones, teléfonos y a veces datos de pago. Las preguntas son dos: para qué guardas cada campo y por cuánto tiempo. El período de conservación hay que informarlo públicamente, y “para siempre por si acaso” no es un período. La retención infinita es el hallazgo más común en sitios chicos.
Hosting, plugins y proveedores
Tu hosting, tu plataforma de correos y tu CRM suelen ser encargados de tratamiento, según lo que hagan con los datos por cuenta tuya. Esa relación debe regirse por un contrato que fije el objeto, la duración, la finalidad, el tipo de datos y las categorías de titulares. El encargado no puede subdelegar sin autorización escrita tuya, y si usa los datos para algo distinto pasa a ser responsable y responde solidariamente contigo.
Respaldos y accesos
La ley pide medidas apropiadas al riesgo y nombra explícitamente la seudonimización y el cifrado, la capacidad de restaurar el acceso rápido tras un incidente y la verificación periódica de que funcionan. Ante un incidente te corresponde a ti acreditar que existían y operaban. Un respaldo que nunca se probó restaurando no acredita nada. Y es común encontrar cuentas de administrador de proveedores que dejaron de trabajar hace años.
Si hay una brecha
Cuando una vulneración filtra, pierde o expone datos y hay riesgo razonable para los titulares, tienes que reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. Si lo filtrado son datos sensibles, de menores de catorce años o de obligaciones económicas, además hay que avisarle a cada titular afectado en lenguaje claro. Eso implica tener resuelto antes cómo detectas que pasó y quién avisa.
Preguntas frecuentes
¿Necesito un delegado de protección de datos?
La ley dice que el responsable podrá designar un delegado de protección de datos personales. Es una opción, no una obligación general para una PYME.
¿Sirve la política de privacidad que copié de otro sitio?
Casi nunca. Hay que publicar cosas específicas de tu operación: categorías de datos, finalidades, base de legitimidad de cada una, a quién cedes datos, período de conservación, medidas de seguridad y decisiones automatizadas. Un texto copiado describe la operación de otro sitio, no la tuya.
¿Y si mi sitio es solo informativo?
Si no recolectas nada, no eres responsable de datos por el sitio. Pero revísalo con calma: la analítica, un chat embebido o un plugin de reservas ya recolectan.
¿Puedo esperar hasta diciembre de 2026?
Técnicamente sí, porque hasta entonces rige la ley antigua. Pero el inventario de qué datos tienes y dónde viven, y la limpieza de accesos, toman más que escribir la política de privacidad completa. Súmale definir retención y revisar los contratos con proveedores.
Dónde leer el texto oficial
El texto vigente está en Ley Chile, de la Biblioteca del Congreso Nacional: Ley 21.719 en bcn.cl. En el buscador da lo mismo escribir ley 21719 o con puntos, llegas al mismo texto, y desde ahí puedes exportarla en PDF. La BCN publicó además una descripción y síntesis de la ley, mejor puerta de entrada si no quieres leer el articulado completo. Todo lo que está acá sale de esas dos fuentes.
Esto es el mapa. Buena parte de lo que se vende como cumplimiento es papel, y la ley te pide demostrar que los controles funcionan. Esa parte la trabajo en protección de datos personales; el Console CM Vida Plena es un caso donde se diseñó con la ley encima de la mesa. Los contratos y la validez jurídica los ve un abogado.