Ley 21.719: qué debe tener el sitio web de tu empresa antes del 1 de diciembre de 2026
El 1 de diciembre de 2026 empieza a regir en Chile la nueva ley de datos personales, y el primer lugar donde se nota es el sitio web de tu empresa: ahí está el formulario de contacto, el registro de clientes o la tienda, y ahí es donde la ley pide que expliques qué haces con esos datos.
La Ley 21.719 actualiza la ley de protección de datos personales (Ley 19.628) y rige desde el 1 de diciembre de 2026. A un sitio web le pide, sobre todo, tres cosas: publicar una política que diga qué datos recoges, para qué y con quién los compartes; tener un canal operativo para que las personas pidan acceso, corrección o eliminación de sus datos; y contar con una base legal —muchas veces, el consentimiento previo— antes de usar esos datos.
Esta guía explica la ley en simple para dueños de pyme, citando el texto oficial. No es asesoría legal: para tu caso específico, consulta con un abogado. El texto completo está en la Biblioteca del Congreso: Ley 21.719 y la Ley 19.628 en su versión vigente desde el 1 de diciembre de 2026.
Qué cambia con la Ley 21.719, en simple
La ley se publicó el 13 de diciembre de 2024 y se dio dos años de plazo para que las empresas se adecuen. Los cambios principales son:
- Crea la Agencia de Protección de Datos Personales, que podrá fiscalizar y multar. Hasta ahora no existía un organismo dedicado a esto.
- Define con precisión qué es el consentimiento: una manifestación de voluntad libre, específica, inequívoca e informada, dada mediante una declaración o una acción afirmativa clara. Una casilla que ya viene marcada no cumple con eso.
- Ordena los derechos de las personas sobre sus datos: acceso, rectificación, supresión, oposición y portabilidad (pedir una copia de sus datos en un formato que se pueda llevar a otro proveedor).
- Fija multas que van hasta 20.000 UTM, con recargos por no corregir y por reincidir (más abajo, el detalle).
¿Aplica a mi negocio?
Si tu sitio web recibe datos de personas, sí. No hace falta tener una tienda online ni ser una empresa grande: basta con un formulario de contacto que pide nombre, correo y teléfono, un registro de clientes o una suscripción a novedades.
La ley no exime a nadie por tamaño, pero sí reconoce que no es lo mismo una pyme que un banco: su artículo 14 septies le encarga a la Agencia fijar estándares mínimos diferenciados según el tamaño de la empresa, el tipo de datos y el volumen que maneja. Ese detalle todavía tiene que publicarlo la Agencia, así que conviene revisar sus instrucciones cuando salgan.
Lo que tu sitio web debe mostrar
El artículo 14 ter establece un deber de información y transparencia: lo que tienes que mantener siempre disponible, en tu sitio web o en un medio equivalente. Traducido a lo práctico, tu sitio debería mostrar:
- Tu política de tratamiento de datos, con su fecha y versión.
- Quién es el responsable de los datos (tu empresa) y su representante legal.
- Un canal de contacto que funcione —correo, formulario o dirección— para que las personas te pidan acceso, corrección o eliminación de sus datos.
- Qué datos recoges, de quiénes, para qué los usas, con quién los compartes y en qué base legal te apoyas.
- Cómo proteges esos datos (tus medidas de seguridad).
- Los derechos de las personas y su derecho a reclamar ante la Agencia si no respondes.
- Si los datos salen de Chile (por ejemplo, si tu correo o tu tienda guardan la información en servidores de otro país), a dónde van y con qué garantías.
- Cuánto tiempo los guardas.
- Que pueden retirar su consentimiento en cualquier momento, cuando el tratamiento se basa en él.
Esto importa porque no cumplir el deber de información es una infracción leve (artículo 34 bis, letra a), y no tener un canal de contacto actualizado y operativo, también (letra b). Son justamente las dos fallas más fáciles de detectar en un sitio web: basta con entrar y mirar.
Formularios: cuándo necesitas pedir permiso
La regla general de la ley es el consentimiento (artículo 12): debe ser previo, libre, informado, específico para cada finalidad e inequívoco. Además, la persona puede revocarlo en cualquier momento, por un medio tan simple como el que usó para darlo, y te corresponde a ti probar que lo obtuviste.
Pero el consentimiento no es la única base legal. El artículo 13 permite tratar datos sin consentimiento en algunos casos; el que más aplica a una pyme es cuando el tratamiento es necesario para celebrar o cumplir un contrato, o para medidas previas que la misma persona pidió.
En la práctica:
- Si alguien llena tu formulario para pedir una cotización, puedes usar sus datos para responderle: es una medida precontractual que la persona solicitó.
- Si después quieres mandarle promociones o un boletín, eso es otra finalidad, y ahí sí necesitas su permiso: una casilla sin marcar que diga claramente para qué es. Usar los datos para un fin distinto del que motivó su recolección es una infracción grave (artículo 34 ter, letra a).
Cookies, píxeles y analítica
La ley no menciona las cookies por su nombre. Lo que regula es el tratamiento de datos personales, y eso incluye cualquier información vinculada a una persona identificable.
Si tu sitio usa herramientas de publicidad o de seguimiento que registran el comportamiento de quien lo visita —por ejemplo, el píxel de Meta para medir anuncios—, la forma más segura de cumplir es pedir permiso antes de activarlas, con un aviso donde “Rechazar” sea tan fácil como “Aceptar”, y dejar siempre a mano la opción de cambiar de opinión.
Si tu sitio no usa ninguna de esas herramientas, no hay nada que consentir y no necesitas un aviso de cookies. La Agencia podría precisar estos casos en sus instrucciones generales; por ahora, la regla del consentimiento previo es el criterio a seguir.
Las multas, con cifras del texto oficial
El artículo 35 fija tres niveles. Para que se entiendan en pesos, usamos el valor de la UTM de octubre de 2026 publicado por el SII: $72.151.
| Infracción | Multa máxima |
|---|---|
| Leve | Amonestación o hasta 5.000 UTM (unos $361 millones) |
| Grave | Hasta 10.000 UTM (unos $722 millones) |
| Gravísima | Hasta 20.000 UTM (unos $1.443 millones) |
Algunos ejemplos que da la propia ley (artículos 34 bis, ter y quáter):
- Leves: no publicar la información del artículo 14 ter, no tener un canal de contacto operativo o no responder a tiempo las solicitudes de las personas.
- Graves: tratar datos sin consentimiento ni otra base legal, usarlos para un fin distinto del que motivó su recolección o impedir que una persona ejerza sus derechos.
- Gravísimas: usar los datos de mala fe para un fin distinto del autorizado, ocultar a propósito una filtración de datos o tratar datos sensibles o de menores en contra de la ley.
Son montos máximos, no fijos: la Agencia gradúa cada multa según las circunstancias del caso. Sobre eso, la ley agrega tres cosas:
- La Agencia indicará qué corregir, y si no se corrige en 60 días se aplica un recargo del 50% a la multa.
- Si hay reincidencia, la multa puede llegar a tres veces el monto de la infracción.
- Si la empresa reincidente no es de menor tamaño (según la Ley 20.416), la multa puede llegar al 2% o 4% de sus ingresos anuales, según la infracción sea grave o gravísima.
Checklist rápido para revisar tu sitio
Abre tu sitio web como si fueras un cliente y revisa:
- ¿Hay un enlace visible a tu política de privacidad, con fecha?
- ¿Esa política dice qué datos pides, para qué, con quién los compartes y por cuánto tiempo los guardas?
- ¿Hay un correo o formulario donde una persona pueda pedir ver, corregir o borrar sus datos, y alguien lo revisa?
- ¿Tus formularios piden solo los datos que de verdad necesitas?
- Si mandas promociones, ¿pides permiso con una casilla sin marcar?
- ¿Usas herramientas de publicidad o seguimiento? Si es así, ¿piden permiso antes de activarse?
Si alguna respuesta es “no” o “no sé”, ese es el punto que conviene resolver antes del 1 de diciembre.
Cómo lo resolvimos en optiweb.cl
Lo contamos como ejemplo, no como la única forma correcta. En nuestro propio sitio tomamos un camino simple: no usamos cookies, analítica de terceros ni píxeles de publicidad. Por eso no tenemos aviso de cookies: no hay nada que consentir.
Lo que sí tenemos es una política de privacidad que describe exactamente qué datos pide cada formulario, quién más interviene en su tratamiento y cómo pedir acceso, corrección o eliminación. Si algún día sumamos herramientas de medición de publicidad, primero aparecerá un aviso pidiendo permiso y la política se actualizará antes de activarlas.
Si vas a hacer o renovar tu sitio
El mejor momento para resolver esto es cuando se diseña el sitio, no después: qué datos pide cada formulario, dónde se guardan y qué dice la política se decide mucho más fácil desde el principio. Si estás pensando en un sitio corporativo o una tienda online, genera tu propuesta gratis y cuéntanos qué datos necesita recibir tu negocio.
Y antes de lanzar cualquier sitio, revisa también nuestro checklist de 12 puntos.