La Ley 21.719 reemplaza casi por completo las reglas de la antigua Ley 19.628 sobre datos personales. Se aplica a toda persona o empresa que trate datos de personas en Chile, sin excepción por tamaño: una pyme con un formulario de contacto también queda incluida. Si tu sitio pide un nombre, un correo, un teléfono o un RUT, esta guía es para ti.
Fecha de vigencia, al 4 de noviembre de 2026: la fecha legal sigue siendo el 1 de diciembre de 2026. En el Senado se tramita un proyecto para postergarla al 1 de diciembre de 2027 (boletín 18.623-07), aprobado en general en la Comisión de Constitución, pero mientras no se publique en el Diario Oficial, la fecha no cambia. Con o sin postergación, lo que sigue conviene hacerlo igual.
Esta guía cubre el lado técnico: qué tiene que cambiar en tu sitio, tus formularios y tu servidor. No es asesoría legal; para tu política interna, contratos y casos especiales, conviene revisarlo con un abogado.
1. Haz un inventario de lo que recoge tu sitio
No puedes proteger ni explicar datos que no sabes que tienes. Revisa cada lugar por donde entran datos personales:
- Formularios: contacto, cotización, registro, postulación, reservas, boletín.
- Correo: las consultas que llegan a tu bandeja también son datos personales guardados.
- Paneles y bases de datos: clientes registrados, inscripciones exportadas a Excel.
- Herramientas de terceros: analítica, chat, píxeles de publicidad, CRM, plataformas de boletines.
- Registros y respaldos del servidor: guardan direcciones IP y copias de todo lo anterior.
Para cada uno, anota qué datos pide, para qué, dónde se guardan, quién puede verlos y cuánto tiempo se conservan. Aprovecha de recortar: si no necesitas el RUT o la fecha de nacimiento para responder una consulta, no los pidas. El dato que no recoges no hay que protegerlo.
2. Publica una política de tratamiento completa
La ley exige mantener disponible de forma permanente, por ejemplo en tu sitio web, una política de tratamiento con un contenido mínimo. La típica "política de privacidad" copiada de otro sitio casi nunca lo cumple. Según el artículo 14 ter, debe indicar, entre otros puntos:
- Quién es el responsable y cómo contactarlo, con la fecha y versión de la política.
- Qué datos tratas, de dónde vienen y para qué los usas.
- La base legal de cada uso: consentimiento, un contrato, una obligación legal u otra.
- Las medidas de seguridad que aplicas, en términos generales.
- Si los datos salen de Chile, por ejemplo porque tu hosting o tu herramienta de correo está en el extranjero.
- Cuánto tiempo los conservas.
- Los derechos de las personas, el canal para ejercerlos, cómo retirar el consentimiento y el derecho a reclamar ante la Agencia.
- Si tomas decisiones automatizadas con esos datos.
Ojo con las transferencias internacionales: si tu sitio está alojado en Estados Unidos o usas servicios como Google, Microsoft o Mailchimp, los datos salen de Chile, y la política tiene que decirlo.
3. Ajusta tus formularios
- Pide solo lo necesario para la finalidad que declaras.
- Si la base legal es el consentimiento, que sea real: casilla sin marcar de antemano, texto claro y enlace a la política.
- Separa las finalidades. Aceptar que respondan tu consulta no es lo mismo que aceptar recibir publicidad; usa casillas distintas.
- Valida en el servidor y protege el formulario contra bots, para que nadie lo use para cargar basura o probar ataques.
- No envíes datos sensibles por correo sin cifrar ni los dejes en archivos dentro de la carpeta pública del sitio.
4. Habilita un canal para los derechos de las personas
Cualquier persona puede pedir acceso a sus datos, rectificarlos, suprimirlos, oponerse a un uso, pedir su portabilidad o el bloqueo temporal mientras se resuelve su solicitud. Necesitas un canal conocido, como un correo o un formulario, y un procedimiento interno:
- Plazo general de respuesta: 30 días corridos, prorrogables una sola vez por otros 30.
- Solicitud de bloqueo temporal: 2 días hábiles.
- Para responder a tiempo, tienes que poder encontrar los datos de una persona en todos tus sistemas, respaldos incluidos. Por eso el inventario del paso 1 es la base.
5. Seguridad técnica proporcional
La ley pide medidas de seguridad apropiadas al tipo de datos y al riesgo. No exige una lista cerrada de tecnologías, pero un sitio con formularios debería tener al menos:
| Dónde | Medida mínima |
|---|---|
| Sitio | HTTPS en todo el sitio, cabeceras de seguridad, software y plugins actualizados |
| Accesos | Contraseñas únicas y segundo factor en paneles, hosting y correo; cada persona con su propia cuenta |
| Datos guardados | Fuera de la carpeta pública, con permisos mínimos y contraseñas cifradas con algoritmos modernos |
| Servidor | Parches al día, firewall, SSH con llave y bloqueo de ataques por fuerza bruta |
| Respaldos | Automáticos, cifrados, fuera del servidor y con restauración probada |
| Registros | Accesos y cambios registrados, para saber qué pasó si ocurre un incidente |
6. Prepárate para un incidente
Si una vulneración de seguridad provoca la destrucción, filtración, pérdida o alteración de datos personales y hay un riesgo razonable para las personas, debes reportarla a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, y dejar registro. Si afecta datos sensibles, datos de menores de 14 años o datos financieros, también hay que avisar a cada persona afectada.
En la práctica, eso significa tener definido de antemano quién decide, a quién se avisa y cómo se reconstruye lo ocurrido. Sin registros del servidor ni respaldos, no podrás saber qué datos se vieron afectados ni recuperarlos.
7. Revisa a tus proveedores
Tu hosting, tu agencia, tu CRM o quien administra tu servidor tratan datos por encargo tuyo. Conviene tener por escrito qué pueden hacer con ellos, qué seguridad aplican, dónde los guardan y qué pasa con los datos al terminar el contrato.
Multas
| Infracción | Multa máxima |
|---|---|
| Leve | Amonestación escrita o hasta 5.000 UTM |
| Grave | Hasta 10.000 UTM |
| Gravísima | Hasta 20.000 UTM |
La reincidencia puede triplicar la multa, y para empresas que no son de menor tamaño puede llegar a un porcentaje de sus ingresos anuales. La ley también contempla un modelo voluntario de prevención de infracciones, que incluye designar un delegado de protección de datos y que se considera al momento de sancionar.
Lista rápida para tu sitio
- Inventario de formularios, herramientas y lugares donde quedan datos.
- Política de tratamiento con el contenido mínimo, fecha y versión.
- Formularios con datos mínimos y consentimientos separados.
- Canal y procedimiento para responder solicitudes en 30 días.
- HTTPS, accesos con segundo factor, datos fuera de la carpeta pública y servidor parchado.
- Respaldos cifrados con restauración probada y registros de acceso.
- Plan de incidentes y acuerdos con tus proveedores.
Fuente principal: Ley 21.719, que modifica la Ley 19.628, publicada en el Diario Oficial el 13 de diciembre de 2024. Puedes leer el texto en Ley Chile (BCN).