Ley 21.719: checklist para preparar tu web y tu marketing antes del 1 de diciembre

¿Tu sitio tiene un formulario de contacto? ¿Envías newsletters? ¿Respondes cotizaciones por WhatsApp? Entonces tratas datos personales, y desde el 1 de diciembre de 2026 eso se rige por nuevas reglas.

La Ley 21.719 reforma la antigua Ley 19.628, crea la Agencia de Protección de Datos Personales y fija multas que pueden llegar a miles de UTM. La buena noticia: buena parte del trabajo para una pyme está en lugares que ya conoces, como tu web, tus formularios, tu base de contactos y tus herramientas de marketing. Aquí te dejamos un checklist concreto, sin letra chica.

¿Cuándo entra en vigencia la Ley 21.719 y se va a postergar?

La ley se publicó el 13 de diciembre de 2024. Su artículo primero transitorio dice que entra en vigencia "el día primero del mes vigésimo cuarto posterior a la publicación", es decir, el 1 de diciembre de 2026. Así figura en LeyChile, que la muestra "con vigencia diferida por fecha 01-DIC-2026".

¿Y la postergación de la que se habla? Es real, pero todavía no es ley. El 31 de agosto de 2026 el Gobierno firmó un proyecto (boletín 18.623-07) que movería la fecha al 1 de diciembre de 2027. Al 11 de octubre de 2026, el Senado lo registra "En tramitación", con ingreso el 1 de septiembre. Mientras no se apruebe y publique, la fecha que manda es el 1 de diciembre de 2026. Nuestro consejo: planifica con esa fecha.

Lo básico: ¿cuándo puedes tratar datos personales?

La ley parte de una regla general: el tratamiento es lícito cuando la persona da su consentimiento (artículo 12). Ese consentimiento debe ser libre, informado y específico según la finalidad, y otorgarse en forma previa e inequívoca, por ejemplo con una declaración escrita o electrónica, o con un acto afirmativo claro. Además, la persona puede revocarlo en cualquier momento, por medios similares a los que usó para darlo, y esos medios deben ser expeditos, gratuitos y estar siempre disponibles.

El artículo 13 agrega otras bases que no requieren consentimiento, entre ellas:

• Cuando el tratamiento es necesario para celebrar o ejecutar un contrato con la persona, o para medidas precontractuales que ella pidió (por ejemplo, preparar la cotización que te solicitó).
• Cuando lo exige una obligación legal.
• Cuando es necesario para un interés legítimo tuyo o de un tercero, siempre que no afecte los derechos de la persona, quien siempre puede pedir que le informes cuál es ese interés.

Ojo con un detalle clave: tú debes poder acreditar la base de licitud (artículo 13, inciso final). Si no puedes demostrarla, para efectos prácticos es como si no la tuvieras.

Checklist Ley 21.719 para pymes: web y marketing

1. Formularios web: pide solo lo necesario y separa los permisos

• Revisa cada formulario (contacto, cotización, descarga de ebook, checkout) y elimina los campos que no necesitas. La ley considera infracción grave tratar datos innecesarios para la finalidad (artículo 34 ter, letra c).
• Si además quieres enviar publicidad, usa una casilla separada y desmarcada para ese permiso. Pedir la cotización y aceptar el newsletter son finalidades distintas.
• Junto al formulario, indica para qué usarás los datos y enlaza tu aviso de privacidad.
• Guarda evidencia del consentimiento: fecha, formulario y texto aceptado.

2. Cookies, píxeles y analítica

La ley no menciona las cookies por su nombre. Pero si tus etiquetas de analítica o publicidad (Google Analytics, píxel de Meta, Google Ads) tratan datos personales con una finalidad que se apoya en el consentimiento, aplican las mismas reglas del artículo 12: consentimiento previo, específico y revocable. En la práctica:

• Haz un inventario de las etiquetas que se cargan en tu sitio.
• Evalúa con tu asesor legal si necesitas un banner de consentimiento que bloquee las etiquetas no esenciales hasta que la persona acepte, y que permita retirar el permiso con la misma facilidad.

3. Aviso o política de privacidad en tu sitio

El artículo 14 ter exige mantener permanentemente a disposición del público, en tu sitio web o en un medio equivalente, al menos:

• Tu política de tratamiento de datos, con fecha y versión.
• La identificación del responsable y su representante legal.
• Un domicilio postal, un correo, un formulario o un medio equivalente para recibir solicitudes.
• Qué datos tratas, de quiénes, a quién los comunicas, con qué finalidades y con qué base de licitud (y cuál es el interés legítimo, si lo usas).
• Tu política y tus medidas de seguridad.
• Los derechos de las personas y su derecho a reclamar ante la Agencia.

Incumplir este deber de información se considera infracción leve (artículo 34 bis, letra a). Si tu sitio no tiene una política actualizada, este es el primer punto que conviene resolver. Podemos ayudarte a implementarla en tu web a través de Desarrollo Web.

4. Email marketing y bases de datos

• Revisa de dónde vienen tus contactos. Si no sabes con qué base de licitud se obtuvieron, no los uses para campañas hasta aclararlo.
• Incluye en cada envío una forma simple de darse de baja. El artículo 8 reconoce el derecho de oposición cuando el tratamiento es con fines de marketing directo, incluida la elaboración de perfiles.
• Procesa las bajas en todas tus herramientas, no solo en la plataforma de envío.
• Depura las bases antiguas o desactualizadas. Tratar datos inexactos o desactualizados también puede ser infracción grave (artículo 34 ter, letra d).

5. WhatsApp, CRM y automatización con IA

Tu CRM y tus conversaciones de WhatsApp también contienen datos personales. Aplica el mismo criterio:

• Define quién del equipo accede a qué información.
• No reutilices los contactos que llegaron por atención al cliente para campañas sin una base de licitud que lo permita.
• Si usas IA o automatizaciones para decidir algo sobre una persona, recuerda que el artículo 8 bis le da derecho a oponerse a decisiones basadas únicamente en tratamiento automatizado que la afecten significativamente, y a pedir intervención humana. Sobre cómo conectar agentes de IA con prudencia, te puede servir nuestro artículo sobre riesgos de la IA y agentes seguros.

6. Proveedores y encargados del tratamiento

Tu plataforma de email, tu hosting, tu CRM o tu agencia pueden tratar datos por encargo tuyo. El artículo 15 bis regula esa relación:

• Asegúrate de tener un contrato que fije el objeto del encargo, su duración, su finalidad y el tipo de datos tratados, entre otros elementos.
• El encargado solo puede tratar los datos según tus instrucciones. Si los usa para otro fin, la ley lo considera responsable para todos los efectos.

7. Derechos de las personas: acceso, rectificación, supresión, oposición y portabilidad

Además de los clásicos derechos ARCO, la ley incorpora la portabilidad: obtener una copia de los datos en un formato electrónico estructurado y de uso común, y transferirlos a otro responsable. También agrega el bloqueo temporal del tratamiento mientras se resuelve una solicitud (artículo 8 ter).

• Habilita un correo o formulario específico para recibir estas solicitudes.
• Prepárate para cumplir los plazos del artículo 11: acusar recibo y responder dentro de 30 días corridos, prorrogables una sola vez por otros 30.
• Guarda respaldo de cada respuesta enviada, porque la ley te pide poder demostrarla.

8. Seguridad y reporte de brechas

• Aplica medidas de seguridad acordes al riesgo (artículo 14 quinquies). La ley menciona, entre otras, la seudonimización y el cifrado, y la capacidad de restaurar los datos rápidamente tras un incidente. Respaldos, contraseñas robustas, doble factor y software actualizado son un buen punto de partida. En Hosting y soporte trabajamos con respaldos diarios y monitoreo.
• Define un protocolo para incidentes. El artículo 14 sexies obliga a reportar a la Agencia, sin dilaciones indebidas, las vulneraciones de seguridad que generen un riesgo razonable para las personas, y a registrarlas. Si involucran datos sensibles, datos de menores de 14 años o datos financieros o comerciales, también debes comunicarlo a los afectados en lenguaje claro.

9. Sanciones y la nueva Agencia

La Agencia de Protección de Datos Personales es una corporación autónoma que se relaciona con el Presidente a través del Ministerio de Economía (artículo 30). Podrá dictar instrucciones generales y fiscalizar, entre otras funciones. Las multas del artículo 35 son:

Hay agravantes por reincidencia, y además existirá un Registro Nacional de Sanciones y Cumplimiento, que será público (artículo 39). Para las empresas de menor tamaño hay un alivio transitorio: durante los primeros 12 meses de vigencia, cuando proceda una sanción, la Agencia podrá aplicar una amonestación por escrito (artículo sexto transitorio). Además, el artículo 14 septies indica que los estándares de información y seguridad considerarán el tamaño de la empresa. Eso no te exime de cumplir.

Preguntas frecuentes sobre la Ley 21.719

¿Desde cuándo rige la nueva ley de datos personales en Chile?

Desde el 1 de diciembre de 2026, según su artículo primero transitorio. Existe un proyecto para postergarla a diciembre de 2027 (boletín 18.623-07), pero al 11 de octubre de 2026 sigue en tramitación en el Senado.

¿Aplica a mi pyme aunque sea pequeña?

Sí. La ley se aplica a todo tratamiento de datos que realice una persona natural o jurídica. Lo que cambia según el tamaño son algunos estándares de cumplimiento y, durante el primer año, la posibilidad de recibir una amonestación en vez de una multa.

¿Necesito consentimiento para enviar newsletters?

Depende de la base de licitud con que obtuviste el contacto. El consentimiento es la regla general, y las personas siempre pueden oponerse al marketing directo. Revisa tu caso con tu asesor legal.

¿Cuánto tiempo tengo para responder una solicitud de acceso o supresión?

30 días corridos desde que ingresa la solicitud, prorrogables una sola vez por otros 30 (artículo 11).

¿Este checklist reemplaza a un abogado?

No. Es una guía informativa y operativa para ordenar tu web y tu marketing. Las decisiones de cumplimiento deben validarse con tu asesor legal, como explicamos en nuestros Términos y condiciones.

Ordena tu web y tu marketing antes del 1 de diciembre

En Tucango te ayudamos con la parte técnica y operativa: formularios con consentimiento, aviso de privacidad visible, configuración de etiquetas y una base de contactos ordenada para tus campañas.

Revisa tu estrategia de marketing digital → · Actualiza tu sitio web →

Este artículo es informativo y entrega una mirada técnica y operativa, basada en nuestra experiencia implementando sitios y campañas; no reemplaza la asesoría legal especializada. Más detalles en nuestros Términos y condiciones y nuestra Política de privacidad.

---

Fuentes

1. Ley 21.719: regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Biblioteca del Congreso Nacional, LeyChile (versión con vigencia diferida al 01-12-2026; publicada el 13-12-2024; última modificación el 05-02-2026 por la Ley 21.806). Artículos citados: 8°, 8° bis, 8° ter, 11, 12, 13, 14 ter, 14 quinquies, 14 sexies, 14 septies, 15 bis, 30, 34 bis, 34 ter, 35, 39 y los artículos primero y sexto transitorios. https://www.bcn.cl/leychile/Navegar?idNorma=1209272
2. Mensaje que modifica la Ley 21.719 (boletín 18.623-07), fechado en Santiago el 31 de agosto de 2026. Cámara de Diputadas y Diputados de Chile. https://www.camara.cl/verDoc.aspx?prmID=18854&prmTIPO=INICIATIVA
3. Tramitación de proyectos: boletín 18623-07, "En tramitación", fecha 01/09/2026. Senado de la República de Chile, consultado el 11 oct 2026. https://www.senado.cl/appsenado/templates/tramitacion/index.php?boletin_ini=18623-07
4. Términos y condiciones (sección 19, "Orientación normativa (no es asesoría legal)") y Política de privacidad. Tucango. https://tucango.com/terminos · https://tucango.com/privacidad