La Ley 19.628, «sobre protección de la vida privada», es la ley de datos personales de Chile desde 1999. La Ley 21.719 no la reemplaza por otra: la modifica a fondo, y desde el 1 de diciembre de 2026 la Ley 19.628 se aplica con esos cambios. Los más importantes: una autoridad que fiscaliza, la Agencia de Protección de Datos Personales; multas de hasta 20.000 UTM, cuando antes iban de 1 a 50 UTM; un consentimiento más exigente; 30 días para responder a las personas, y la obligación de avisar las filtraciones de datos.
¿Qué es la Ley 19.628?
Es la primera ley chilena que reguló el tratamiento de datos personales. Se promulgó el 18 de agosto de 1999, cuando casi no existían las tiendas en línea, las redes sociales ni las herramientas de medición. Su texto está en la Biblioteca del Congreso Nacional. Sus reglas principales eran estas:
- Consentimiento por escrito: los datos solo se podían tratar si la ley lo autorizaba o si la persona consentía de forma expresa, informada y por escrito (artículo 4).
- Excepciones amplias: no hacía falta permiso para los datos de fuentes accesibles al público, los datos comerciales y financieros, o los usados en venta directa, entre otros casos.
- Derechos: pedir información sobre los propios datos, su modificación, su eliminación o su bloqueo (artículo 12), y oponerse a su uso en publicidad o encuestas (artículo 3).
- Datos sensibles: los de salud, origen racial, creencias o vida sexual, entre otros, solo se podían tratar con autorización legal o con consentimiento (artículo 10).
- Reclamo ante un juez: si el responsable no respondía en dos días hábiles, la persona debía ir al juez de letras en lo civil (artículo 16).
¿Por qué había que cambiarla?
En la práctica, la Ley 19.628 se aplicaba poco. No había un organismo que fiscalizara: cada persona tenía que reclamar ante un tribunal por su cuenta. Las multas eran bajas, de 1 a 10 UTM, o de 10 a 50 UTM si se trataba de datos comerciales y financieros. Y sus excepciones dejaban fuera gran parte de lo que hoy hace un sitio web: medir visitas, mostrar publicidad o guardar datos en servidores de otros países.
¿La Ley 21.719 reemplaza a la Ley 19.628?
No. La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y su artículo primero modifica la Ley 19.628: reescribe artículos, agrega otros nuevos y crea la Agencia. Por eso, desde el 1 de diciembre de 2026 se sigue hablando de la «Ley 19.628», pero con un texto nuevo. Esa fecha viene del artículo primero transitorio de la Ley 21.719, que fija la vigencia en el primer día del mes 24 después de su publicación.
Cuando una política de privacidad, un contrato o un formulario dice «según la Ley 19.628», sigue siendo correcto, pero desde diciembre esa ley exige mucho más que antes. Una política que solo cita la ley de 1999 probablemente no informa todo lo que hoy se pide.
Ley 19.628 antes y después: la comparación
| Tema | Ley 19.628 (1999) | Con la Ley 21.719 (desde el 1 de diciembre de 2026) |
|---|---|---|
| Quién fiscaliza | Nadie en particular: la persona reclamaba ante un juez civil | La Agencia de Protección de Datos Personales, que fiscaliza y aplica multas |
| Consentimiento | Expreso, informado y por escrito | Libre, informado, específico, previo e inequívoco; se retira por un medio similar al que se usó para darlo (artículo 12) |
| Tratar datos sin consentimiento | Excepciones amplias: fuentes accesibles al público, datos comerciales, venta directa | Solo en los casos del artículo 13 (contrato, obligación legal, interés legítimo, entre otros), y el responsable debe poder acreditarlo |
| Principios | Reglas sueltas: usar los datos para su fin y cuidarlos con diligencia (artículos 9 y 11) | Ocho principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad (artículo 3) |
| Derechos de las personas | Información, modificación, eliminación y bloqueo; oposición a publicidad y encuestas | Acceso, rectificación, supresión, oposición, portabilidad y bloqueo |
| Plazo para responder | Dos días hábiles; si no, la persona iba a tribunales | 30 días corridos, prorrogables una vez por otros 30; si no, la persona reclama ante la Agencia (artículo 11) |
| Información al público | Sin una obligación general | Política de tratamiento publicada en el sitio web, con 12 puntos mínimos (artículo 14 ter) |
| Filtraciones de datos | Sin obligación de avisar | Reportar a la Agencia sin dilaciones indebidas cuando hay riesgo para las personas, y llevar un registro (artículo 14 sexies) |
| Multas | De 1 a 10 UTM, o de 10 a 50 UTM en datos comerciales y financieros | Hasta 5.000, 10.000 o 20.000 UTM según la gravedad (artículo 35) |
| Registro público | Solo de las bases de datos de organismos públicos, en el Registro Civil | Registro Nacional de Sanciones y Cumplimiento, a cargo de la Agencia |
La tabla resume los cambios que más se notan en una empresa. La ley tiene muchos más detalles, por ejemplo sobre datos de salud, de niños y niñas, y transferencias a otros países.
¿Cómo cambian las multas?
Es el cambio más visible. Con la Ley 19.628 de 1999, el juez podía aplicar multas de 1 a 10 UTM, o de 10 a 50 UTM en infracciones con datos comerciales y financieros. Con la Ley 21.719, la Agencia puede aplicar hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por graves y hasta 20.000 UTM por gravísimas (con la UTM de octubre de 2026, unos $1.443.020.000).
Además, la Agencia puede triplicar la multa si hay reincidencia, y en las empresas que no son de menor tamaño, la multa por reincidir en una infracción grave o gravísima puede llegar al 2 % o al 4 % de sus ingresos anuales. Si la empresa no corrige el problema en 60 días, la multa sube un 50 %, y si se repiten las infracciones gravísimas en 24 meses, la Agencia puede suspender el tratamiento de datos hasta por 30 días (artículos 35 y 38).
¿Qué no cambió?
La base sigue siendo la misma: un dato personal es cualquier información que identifica a una persona, los datos sensibles tienen más protección y, como regla general, para usar datos hace falta el permiso de la persona. Lo que cambia es que ahora hay una autoridad que lo revisa, plazos cortos y sanciones que una empresa sí siente.
¿Qué significa para tu página web?
Si tu sitio tiene formularios, una tienda, un newsletter o herramientas como Google Analytics y el píxel de Meta, trata datos personales y desde diciembre debe cumplir la ley con sus cambios. Lo práctico, paso a paso, está en nuestra guía Ley 21.719: qué debe cambiar en tu página web. Para dos puntos concretos, revisa también cómo hacer la política de privacidad para tu página web y cómo pedir el consentimiento de datos personales en formularios, WhatsApp y cookies.
Para saber en un minuto cómo está tu portada, usa el verificador gratis de la Ley 21.719.
¿Quieres que lo hagamos por ti? Con la Adecuación Web Ley 21.719 dejamos tu sitio WordPress o tienda WooCommerce listo para la ley con sus cambios: aviso de cookies, formularios, política de privacidad, canal para los derechos y seguridad. La adecuación de un sitio web cuesta $249.990 y la de una tienda WooCommerce $449.990, pago único, IVA incluido. Es implementación técnica, no asesoría legal.
Escrito por Antonio Mondaca Vargas
Fundador de mantencionweb.cl
Más de 20 años en servicios TI, desarrollo web y servidores. Desde 2019 mantiene, aloja y posiciona sitios WordPress y WooCommerce en Chile con mantencionweb.cl.
