Ley 21.719: qué debe cambiar tu sitio web antes del 1 de diciembre de 2026

El 1 de diciembre de 2026 Chile entra en una nueva etapa en materia de privacidad digital: por primera vez existirá una autoridad con facultades reales para fiscalizar y sancionar el tratamiento de datos personales. Si tu PYME tiene un sitio web, una tienda online, formularios de contacto, chatbots o listas de correos, esta fecha te afecta directamente.

Qué es la Ley 21.719 y por qué importa este 1 de diciembre

La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y regula la protección y el tratamiento de los datos personales. Reemplaza a la antigua Ley 19.628 de 1999, que carecía de autoridad de control, y crea la Agencia de Protección de Datos Personales (APDP), un organismo autónomo con potestad para fiscalizar y multar. Después de un período de transición de 24 meses, la norma entra en plena vigencia el 1 de diciembre de 2026.

Qué exige la ley a los sitios web y aplicaciones

La norma aplica a toda organización que trate datos de personas ubicadas en Chile, sin importar su tamaño ni dónde esté domiciliada. En la práctica, cualquier web con formularios, newsletters o analítica de usuarios queda dentro de su alcance. Los principales cambios son:

• Consentimiento trazable: aceptar los términos y condiciones deja de ser el final de la gestión. La empresa debe poder demostrar quién lo otorgó, cuándo, para qué finalidad y qué ocurrió después con él.
• Principios de tratamiento: finalidad, proporcionalidad, licitud, seguridad, transparencia, confidencialidad y responsabilidad deben estar respaldados por políticas y evidencias, no solo declaraciones.
• Derechos de las personas: los titulares pueden solicitar acceso, rectificación, actualización, eliminación, oposición y portabilidad de sus datos, y la empresa debe responder dentro de los plazos legales.
• Registro de actividades de tratamiento (RAT): un inventario de qué datos se recaban, dónde viven, quién accede a ellos y cuánto tiempo se conservan.
• Aviso de vulneración: ante una brecha de seguridad, existen obligaciones de notificación que deben estar previstas en un plan de respuesta.

Cuánto puede costar no cumplir

El régimen sancionatorio de la Ley 21.719 se gradúa en tres niveles según la gravedad de la infracción:

Un detalle importante: mientras la Agencia se conforma, el Congreso tramita el Boletín 18060-07, que proyecta rebajar estos montos. Aun así, la recomendación de los especialistas es prepararse con el texto vigente, porque la obligación de proteger los datos no depende de cuánto se pueda multar.

El panorama real de las empresas chilenas

Según la Encuesta de Protección de Datos Personales 2025 de PwC Chile junto a Fundación Generación Empresarial, solo el 13% de las empresas se declara "muy preparada" para cumplir la ley; un 54% se considera medianamente preparada y un 33% poco preparada. Además, a meses de la fecha límite, el Senado aún no aprueba los consejeros de la Agencia, por lo que la autoridad no puede estructurarse ni emitir lineamientos oficiales.

A esto se suma un segundo frente regulatorio: la Ley Marco de Ciberseguridad (Ley 21.663), que ya exige a los operadores de importancia vital reportar incidentes en un plazo máximo de tres horas. Expertos advierten que abordar ambas normas como proyectos separados duplica costos y riesgos: la protección de datos y la ciberseguridad deben gestionarse como un único modelo de gobierno digital.

Pasos accionables para tu PYME hoy

1. Inventaría tus datos: lista qué información personal recopila tu sitio, dónde se guarda, quién la usa y por cuánto tiempo.
2. Revisa formularios y consentimientos: cada casilla debe registrar fecha, finalidad y versión del texto aceptado, con opción de revocación.
3. Actualiza el aviso de privacidad: explica en lenguaje claro qué datos se tratan, con qué base legal y a quién se comparten.
4. Define un canal de derechos: un correo o formulario responsable de responder solicitudes de acceso, rectificación y eliminación dentro de plazo.
5. Sébre y cifra: restringe accesos, activa cifrado en reposo y en tránsito, y mantén copias de seguridad probadas.
6. Prepara un plan de respuesta a incidentes: quién actúa, cómo se evalúa el riesgo y cuándo se notifica.
7. Documenta todo: políticas, registros, contratos con proveedores y capacitaciones son la evidencia que exige la fiscalización.

Fuentes consultadas

• Biblioteca del Congreso Nacional — Ley 21.719 (texto oficial, vigencia 01-12-2026)
• ESGHOY — "Ley de Protección de Datos: la incertidumbre de una ley a punto de partir" (3 de agosto de 2026)
• trendTIC — "Empresas se preparan para nuevo estándar en protección de datos personales" (4 de septiembre de 2026)
• Diario Constitucional — "La Ley 21.719 entra en vigor el 1 de diciembre y expone vacíos en regulación de pequeñas empresas" (12 de junio de 2026)
• ADN Radio — "El dolor de cabeza de las empresas chilenas: dos nuevas leyes y sanciones" (26 de junio de 2026)