Ley 21.719: qué debe cambiar en tu sitio web antes de diciembre

Una planilla de Excel con 800 correos

Conozco el caso: una distribuidora de insumos en regiones, sitio web hecho hace cuatro años, un formulario de contacto que funciona bien. Cada consulta llega al correo del dueño, y él la copia a una planilla. En cuatro años juntó unos 800 registros con nombre, teléfono, correo y a veces el RUT.

En marzo se le ocurrió mandar una promoción a toda la lista. Buena idea comercial. El problema es que esas 800 personas escribieron para pedir una cotización, no para recibir publicidad. Y a partir del 1 de diciembre de este año, esa diferencia deja de ser un detalle de buenos modales y pasa a ser una infracción con nombre y apellido.

Esto no es una campaña de miedo. Es una fecha en el calendario y una lista corta de cosas concretas que hay que arreglar. Vamos por partes.

Qué es la Ley 21.719 y desde cuándo rige

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Esos 24 meses de transición no eran un regalo: eran el plazo para llegar preparado, y ya queda menos de la mitad.

Reemplaza el régimen de la Ley 19.628, que venía de 1999 y que en la práctica nadie fiscalizaba porque las sanciones eran simbólicas. Lo nuevo es que se crea la Agencia de Protección de Datos Personales, un organismo con facultades reales para investigar de oficio, multar y ordenar que dejes de tratar ciertos datos. El modelo está inspirado en el GDPR europeo.

”Pero yo soy chico, esto es para las grandes”

No. La ley aplica a toda persona natural o jurídica, pública o privada, que trate datos personales en Chile. No hay umbral de facturación ni de número de trabajadores.

Y “dato personal” es más amplio de lo que la mayoría asume. Incluye:

• Nombre, RUT, dirección, correo, teléfono
• Dirección IP y datos de ubicación
• Fotografías y grabaciones de voz
• Historial de navegación y hábitos de consumo

Ese último punto es el que sorprende. Si tienes Google Analytics instalado, estás tratando datos personales. Si tienes el píxel de Meta para tus campañas, estás compartiendo datos personales con un tercero en el extranjero. No hace falta vender online para que te aplique.

Tampoco se trata solo de clientes: también cuentan los datos de tus trabajadores, proveedores, postulantes a un cargo y cualquier persona natural que pase por tus sistemas.

Los cambios concretos en tu sitio web

Aquí está la parte accionable. Estos son los mínimos para un sitio de pyme chilena:

1. Consentimiento con acción afirmativa

Se acabó el consentimiento implícito. Nada de casillas premarcadas, nada de “al enviar este formulario aceptas nuestras políticas” en letra chica. El estándar es que el consentimiento sea libre, informado, específico e inequívoco, mediante un acto afirmativo del usuario.

En la práctica: una casilla desmarcada por defecto, con texto claro sobre para qué vas a usar esos datos.

2. Consentimientos separados por finalidad

“Específico” significa una autorización por cada uso. Si con el mismo formulario quieres responder la consulta y sumar a la persona a tu newsletter, son dos permisos distintos. La persona debe poder aceptar uno y rechazar el otro.

3. Retirar el permiso tiene que ser tan fácil como darlo

Si alguien aceptó con un clic, debe poder desinscribirse con un clic. Si tu proceso de baja consiste en mandar un correo y esperar tres días hábiles, eso ya es una infracción.

4. Política de privacidad de verdad

Accesible siempre, gratuita, en lenguaje que se entienda. Debe decir quién eres, cómo contactarte, qué datos tratas, con qué finalidad, cuánto tiempo los guardas y con quién los compartes.

5. Banner de cookies — pero solo si corresponde

Acá viene el matiz que casi nadie te va a contar, porque vender banners es negocio.

Si tu sitio no usa cookies más allá de las estrictamente necesarias para funcionar, no necesitas un banner. Muchos sitios modernos hechos en Astro o Next.js caen justo en ese caso.

Ahora, si usas Analytics, píxel de Meta o cualquier herramienta de seguimiento, entonces sí: banner con opciones de aceptar, rechazar y configurar, todo desactivado por defecto, y los scripts efectivamente bloqueados hasta que la persona acepte. Un banner decorativo que carga los scripts igual no sirve de nada — y esa es la implementación que veo más seguido.

Las multas: separemos el dato del pánico

Vas a encontrar artículos que hablan de multas de $12.000 millones. Ese número está mal calculado y conviene aclararlo.

El techo real son 20.000 UTM, que al valor actual de la UTM bordea los $1.400 millones. Sigue siendo una cifra que termina con cualquier pyme, pero es diez veces menos de lo que circula por ahí. Cuando alguien te cotiza un servicio de cumplimiento citando el número inflado, ya sabes con qué criterio trabaja.

Las infracciones se clasifican por gravedad:

Nivel	Sanción
Leves	Amonestación escrita o multa de hasta 5.000 UTM
Graves	Multas mayores
Gravísimas	Hasta 20.000 UTM

En caso de reincidencia, la sanción puede llegar al 4% de los ingresos anuales.

Un punto importante que suele perderse: la Agencia no fiscaliza intenciones ni documentos bonitos, fiscaliza evidencia. Poder demostrar cuándo una persona dio su consentimiento, para qué, y que existe registro de eso. Un PDF de política de privacidad guardado en una carpeta no prueba nada por sí solo.

Lo que NO necesitas

Para bajarle el volumen a la ansiedad, porque en los próximos meses te van a intentar vender de todo:

• No necesitas rehacer tu sitio. En la mayoría de los casos esto son ajustes sobre lo que ya tienes.
• No necesitas un Delegado de Protección de Datos si eres una pyme con tratamiento de datos acotado. Esa figura se exige según la naturaleza y escala del tratamiento, no por defecto.
• No necesitas software de cumplimiento con suscripción mensual para un sitio con un formulario de contacto y Analytics.
• No necesitas certificarte con nadie. No existe un sello oficial que comprar.

Un plan realista, de aquí a diciembre

Agosto — Inventario. Anota todos los lugares donde capturas datos: formulario de contacto, newsletter, WhatsApp, planillas sueltas, el CRM. Y todas las herramientas externas que reciben esos datos: Analytics, Meta, Mailchimp, el proveedor de hosting.

Septiembre — Lo legal. Redactar o actualizar la política de privacidad. Esta parte conviene revisarla con un abogado: es texto con consecuencias jurídicas y una plantilla bajada de internet no está pensada para tu operación.

Octubre — Lo técnico. Casillas de consentimiento por finalidad, registro con fecha de cada consentimiento, gestión de cookies si corresponde, canal para que alguien pida acceder o eliminar sus datos, bloqueo real de scripts hasta que se acepte.

Noviembre — Probarlo. Simula el caso completo: alguien te escribe pidiendo que borres todos sus datos. ¿Sabes dónde están? ¿Puedes hacerlo? ¿En cuánto tiempo? Si la respuesta no es clara, todavía hay margen para arreglarlo.

En resumen

La ley no está diseñada para castigar a la pyme que se esfuerza por hacer las cosas bien. Está diseñada para que las organizaciones sepan qué datos tienen y para qué los usan. La mayoría de los negocios que conozco no está lejos de cumplir: les falta orden, no un rediseño.

El costo de llegar preparado es bajo comparado con casi cualquier otro proyecto digital. El costo de llegar en noviembre corriendo, no tanto.

Aclaración necesaria: este artículo es orientación general, no asesoría legal. Para la redacción de tus políticas y la evaluación de tu caso particular, consulta con un abogado especializado. Lo que sí puedo hacer es la implementación técnica en tu sitio.

---

¿Quieres que revisemos juntos qué le falta a tu sitio? Conversemos por WhatsApp — te digo derechamente si necesitas algo o si ya estás bien.