Ley 21.719: qué debe cambiar en tu página web antes del 1 de diciembre de 2026

La Ley 21.719 regula la protección y el tratamiento de los datos personales en Chile y rige desde el 1 de diciembre de 2026 para todas las organizaciones, sin importar su tamaño. Si tu página web tiene un formulario de contacto, reservas, un newsletter, una tienda o herramientas como Google Analytics y el píxel de Meta, trata datos personales y debe adecuarse. En la práctica, eso significa informar antes de pedir datos, pedir permiso de verdad para las cookies de medición y publicidad, guardar solo lo necesario y responder cuando alguien pida ver o borrar sus datos.

¿Qué es la Ley 21.719 y desde cuándo rige?

Es la ley que modifica la antigua Ley 19.628 sobre protección de la vida privada. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Además, crea la Agencia de Protección de Datos Personales, el organismo que fiscalizará su cumplimiento y podrá aplicar multas. El texto oficial está en la Biblioteca del Congreso Nacional.

La ley aplica a cualquier persona o empresa que trate datos de personas en Chile. No hay una excepción para las pymes ni para los sitios pequeños: lo que cambia según el tamaño es el monto de algunas sanciones, no la obligación de cumplir.

¿Mi página web trata datos personales?

Casi con seguridad, sí. Un dato personal es cualquier información que identifica o permite identificar a una persona: su nombre, su correo, su teléfono, su RUT, su dirección o incluso su dirección IP. Tu sitio trata datos personales si tiene alguna de estas cosas:

• un formulario de contacto, de cotización o de reserva;
• un newsletter o una lista de espera;
• una tienda en línea con cuentas de cliente y pedidos;
• Google Analytics, Google Ads, Google Tag Manager o el píxel de Meta;
• un chat o un botón de WhatsApp que registra de dónde viene cada contacto.

¿Cómo están hoy los sitios web de los negocios chilenos?

En mantencionweb.cl revisamos 300 sitios web de negocios con dominio .cl el 1 y 2 de octubre de 2026, dos meses antes de que rija la ley. Ninguno de los 300 cumple lo básico: un aviso de cookies que permita rechazar, nada de Google ni Meta antes de que la persona acepte y una política de privacidad enlazada desde la portada. La mitad carga herramientas de Google o Meta apenas alguien entra, sin pedir permiso.

Cómo lo medimos: elegimos al azar sitios .cl del índice público de Common Crawl (septiembre de 2026), dejamos fuera los organismos públicos, las universidades y los 10.000 sitios más visitados según la lista Tranco, y nos quedamos con los primeros 300 que estaban en línea y mostraban señales de negocio (WhatsApp, contacto, tienda o servicios). Visitamos solo la portada, como lo haría cualquier persona: con un navegador y sin hacer clic, para ver qué se carga antes de aceptar. No probamos fallas ni entramos a ninguna zona privada, y no publicaremos el nombre de ningún sitio.

Límites: revisamos solo la portada (un sitio puede tener su política en otra página), un aviso muy poco común puede no detectarse, y algunos sitios tienen instalado un plugin de cookies que no muestra el aviso a quien entra desde Chile: contamos lo que ve el visitante. Repetiremos la medición en los mismos sitios entre el 1 y el 3 de diciembre de 2026, ya con la ley vigente, y publicaremos la comparación.

¿Qué debe cambiar en tu página web?

Estos son los cambios que se notan en un sitio web. Ninguno requiere rehacerlo: se aplican sobre el sitio que ya tienes.

¿Qué pasa con las cookies de Google Analytics y el píxel de Meta?

Las cookies de medición y de publicidad no son necesarias para que tu sitio funcione, así que deben activarse solo si la persona acepta. Un aviso que dice «al seguir navegando aceptas las cookies», o que carga Google Analytics y el píxel antes de que la persona elija, no cumple con un consentimiento libre e informado.

Lo correcto es un aviso con tres opciones visibles (aceptar, rechazar y configurar), que no cargue ninguna herramienta de terceros hasta que la persona decida, y que le permita cambiar su elección después desde un enlace en el pie de página. Google ofrece el modo de consentimiento para que sus etiquetas respeten esa elección.

Hay un efecto que conviene tener claro: las personas que rechazan dejan de aparecer en tus estadísticas, así que Google Analytics y Meta mostrarán menos visitas y conversiones que antes. No es que tu sitio reciba menos visitas, es que ahora mides solo a quienes lo permiten.

¿Qué derechos tienen las personas sobre sus datos?

La ley amplía los antiguos derechos ARCO (acceso, rectificación, cancelación y oposición). Desde el 1 de diciembre de 2026, cualquier persona puede pedirte:

• Acceso: saber qué datos suyos tienes y para qué los usas.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: que borres sus datos cuando ya no son necesarios o retira su consentimiento.
• Oposición: que dejes de usarlos para algo, por ejemplo para enviarle publicidad.
• Portabilidad: recibir sus datos en un formato que pueda llevar a otro proveedor.
• Bloqueo: que suspendas temporalmente su uso mientras se resuelve una solicitud.

En una tienda WooCommerce, WordPress ya trae herramientas para exportar y borrar los datos de un cliente. Lo que hay que agregar es un canal publicado para pedirlo y un procedimiento interno para responder dentro de plazo.

¿Qué multas contempla la Ley 21.719?

La Agencia de Protección de Datos Personales puede aplicar multas de hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por infracciones graves y hasta 20.000 UTM por infracciones gravísimas. En caso de reincidencia, las multas pueden aumentar. El detalle está en el texto oficial de la ley.

Los montos en pesos son aproximados: usan la UTM de octubre de 2026 ($72.151, según el SII), que cambia cada mes. Son topes: la Agencia fija cada multa según la gravedad, el daño y si la empresa colaboró.

Más allá de la multa, hay un riesgo práctico: si tu sitio es hackeado y expone datos de tus clientes, la ley exige informar a la Agencia las vulneraciones de seguridad que los pongan en riesgo. Por eso la seguridad del sitio pasa a ser también un tema legal. Si ya te ocurrió, revisa nuestra guía de WordPress hackeado.

¿Mi pyme necesita un delegado de protección de datos?

En la mayoría de los casos, no es obligatorio. La ley contempla un modelo de prevención de infracciones voluntario (artículo 49 del texto oficial): si una empresa lo adopta, debe designar a un delegado de protección de datos, con autonomía para cumplir su función. Un modelo de prevención certificado puede servir como atenuante si la Agencia sanciona a la empresa.

Si tu empresa trata datos sensibles (por ejemplo, de salud) o grandes volúmenes de datos de personas, revisa con un abogado si te conviene o te corresponde designarlo. Para una pyme con un sitio web de servicios, lo urgente es lo de esta guía: aviso de cookies, formularios, política de privacidad, derechos y seguridad.

¿Qué parte no se resuelve en la página web?

La página web es solo una parte. La ley también alcanza los datos que tu empresa guarda fuera del sitio, y eso conviene revisarlo con un abogado:

• las planillas, el ERP, el correo y las conversaciones de WhatsApp con datos de clientes;
• los contratos con los proveedores que tratan datos por encargo tuyo (hosting, plataforma de correo, facturación);
• el delegado de protección de datos y los modelos de prevención de infracciones, cuando correspondan;
• la revisión legal de tu política de privacidad.

Lista de revisión antes del 1 de diciembre

1. Haz una lista de todo lo que pide datos en tu sitio: formularios, tienda, newsletter, chat.
2. Revisa qué herramientas de terceros cargan tus páginas (Google, Meta, chats, mapas).
3. Instala un aviso de cookies que no cargue nada de terceros antes de que la persona elija.
4. Agrega a cada formulario un texto breve y una casilla de aceptación sin marcar.
5. Quita de los formularios los campos que no necesitas.
6. Actualiza tu política de privacidad con lo que tu sitio hace de verdad y enlázala desde el pie y los formularios.
7. Publica un correo o formulario para que las personas ejerzan sus derechos.
8. Borra los datos antiguos que tu sitio acumuló y define cuánto tiempo guardas cada uno.
9. Revisa la seguridad: SSL, actualizaciones, usuarios del administrador, verificación en dos pasos y respaldos.