Ley 21.719: qué debe revisar tu empresa para proteger los datos personales en Chile
La nueva ley de protección de datos entra en vigor el 1 de diciembre de 2026. Revisa formularios, marketing, CRM, proveedores, derechos, seguridad e IA con esta guía práctica.
Si tu empresa recibe consultas por una web, vende en línea, usa un CRM o envía campañas, ya trabaja con datos personales. Prepararse para la nueva ley chilena exige revisar qué ocurre con esa información desde que llega hasta que se elimina: formularios, personas, herramientas, integraciones y respaldos.
La Ley N.º 21.719, publicada el 13 de diciembre de 2024, modifica la Ley N.º 19.628 y crea la Agencia de Protección de Datos Personales. Su entrada en vigor es el 1 de diciembre de 2026. La preparación debe comenzar antes; las obligaciones del régimen actualmente vigente también siguen siendo aplicables.
Esta guía reúne los principales frentes que una empresa debe evaluar y propone controles prácticos para una operación digital. Las recomendaciones de implementación y el calendario son nuestra propuesta de trabajo, no plazos adicionales impuestos por la ley.
¿A quién aplica y qué información debes revisar?
El régimen alcanza al tratamiento de datos de personas naturales por empresas y organismos públicos, con las excepciones legales. También contempla ciertos tratamientos realizados desde el extranjero cuando se ofrecen bienes o servicios a personas en Chile o se monitorea su comportamiento. Ser una pyme no supone una exención general. Consulta los artículos 1 y 1 bis.
Piensa en clientes, prospectos, trabajadores, postulantes, asistentes a eventos y contactos de proveedores. Un correo profesional que identifica a una persona puede ser un dato personal. Lo mismo ocurre con un identificador en línea si permite vincular la actividad con alguien identificable. La revisión no termina en los nombres y RUT.
1. Define quién responde por los datos
Distingue al responsable, que decide para qué y cómo se usan los datos, del encargado, que los trata por cuenta del responsable. Un proveedor puede cumplir funciones distintas según el servicio; conviene revisar el flujo concreto antes de asignarle una categoría.
- Asigna un coordinador interno con autoridad, un reemplazo y responsables por sistema.
- Define quién aprueba un nuevo formulario, una campaña, un proveedor o una exportación.
- Deja documentado quién recibe solicitudes y quién coordina una emergencia.
- Evalúa el delegado de protección de datos y un modelo de prevención según tu operación. La ley contempla su adopción; el delegado no es una obligación universal para todas las empresas. Artículo 50.
2. Haz un inventario que refleje la operación real
Recorre una consulta desde la landing hasta la venta. Puede pasar por WordPress, email, WhatsApp, una planilla, CRM, una automatización y una plataforma publicitaria. Cada copia, destinatario e integración debe aparecer en el mapa.
- Registra sistema, origen, categorías de datos, personas afectadas, finalidad y área responsable.
- Anota la base que permite el uso, quién accede, proveedores, países involucrados y plazo de conservación.
- Incluye archivos locales, exportaciones, grabaciones, logs, respaldos y cuentas usadas por exempleados.
- Marca los tratamientos de mayor riesgo para evaluarlos primero.
Ejemplo: si un formulario pide nombre, correo, teléfono, RUT y fecha de nacimiento para enviar una cotización simple, cuestiona cada campo. Solicita lo necesario para esa etapa y deja información de facturación para cuando corresponda.
3. Justifica cada uso y revisa el consentimiento
El consentimiento es una base de licitud, pero también existen hipótesis como la obligación legal, el contrato o las medidas precontractuales y el interés legítimo, bajo sus condiciones. Este último no equivale a una autorización para cualquier campaña. Artículos 12 y 13.
Asigna una base por finalidad. Responder una cotización, emitir un documento y enviar promociones son usos distintos. Con asesoría jurídica, documenta por qué la base elegida corresponde y cómo se resguardan los derechos de las personas.
- Cuando uses consentimiento, explica la finalidad antes de recogerlo y exige una acción afirmativa.
- Separa finalidades adicionales; evita casillas premarcadas y fórmulas generales como «acepto todo».
- Guarda fecha, canal, finalidad y versión del aviso aceptado, con acceso restringido.
- Permite retirar el consentimiento por un medio sencillo, gratuito y disponible. Sincroniza el retiro con los sistemas que dependen de él.
Aceptar una política de privacidad no convierte por sí solo cualquier tratamiento en lícito. Y comprar una base de contactos no demuestra que puedas usarla para tu finalidad.
4. Actualiza los avisos y la política de privacidad
La información pública debe coincidir con lo que hace la empresa: responsable y contacto, datos, finalidades, bases, destinatarios, conservación, derechos, transferencias y decisiones automatizadas cuando existan. Incluye fecha y versión. Artículo 14 ter.
- Añade un aviso breve junto a cada formulario y un enlace visible a la información completa.
- Explica si un campo es necesario para atender la solicitud o corresponde a un uso opcional.
- Revisa checkout, formularios de eventos, postulaciones, chatbot y suscripción.
- Describe las prácticas de seguridad sin revelar detalles que faciliten ataques.
Evita copiar una política que mencione herramientas que no usas o prometa borrar información que tus sistemas siguen reteniendo. La revisión debe involucrar a quienes operan esos sistemas.
5. Comprueba cookies, medición y publicidad
Haz una auditoría del comportamiento de la web: qué se carga al entrar, qué información se transmite y qué cambia al elegir preferencias. La evaluación debe incluir píxeles, analítica, mapas de calor, videos embebidos, conversiones del servidor y audiencias de remarketing.
- Clasifica cada tecnología por finalidad y determina su base de licitud.
- Para tratamientos apoyados en consentimiento, impide su ejecución antes de obtenerlo y respeta su retiro.
- Ofrece decisiones claras y prueba que las opciones se cumplan en una sesión nueva.
- No envíes correos, teléfonos, RUT o datos sensibles en direcciones web, nombres de eventos o parámetros de analítica.
- Revisa la carga de listas de clientes y conversiones mejoradas antes de activarlas. Un identificador transformado mediante hash puede seguir siendo dato personal si permite asociarlo a alguien.
Un banner de cookies o una plataforma de gestión de consentimiento son herramientas. Su instalación no acredita por sí sola que todas las etiquetas respeten las preferencias ni que las finalidades estén justificadas.
6. Ordena email, WhatsApp y las bases comerciales
Mantén separados los mensajes necesarios para una relación comercial de las comunicaciones promocionales. Que alguien pregunte por un servicio no justifica cualquier uso posterior de sus datos.
- Registra el origen y la finalidad de cada contacto.
- Revisa bases antiguas, importaciones, listas compradas y contactos obtenidos de fuentes públicas.
- Sincroniza bajas y oposiciones entre email, WhatsApp, CRM y automatizaciones.
- Evita que una nueva importación reactive a una persona que pidió dejar de recibir publicidad.
La protección de datos convive con la Ley del Consumidor. El artículo 28 B regula la suspensión de comunicaciones promocionales o publicitarias; SERNAC dispone de No Molestar. Incluye esas solicitudes en el procedimiento comercial y prueba la baja de extremo a extremo.
7. Prepara el ejercicio de derechos
La ley reconoce acceso, rectificación, supresión, oposición, portabilidad y bloqueo. El plazo general para pronunciarse es 30 días corridos, prorrogable una sola vez hasta por otros 30. La solicitud fundada de bloqueo temporal, vinculada a rectificación, supresión u oposición, requiere respuesta en dos días hábiles; mientras se resuelve, no pueden tratarse los datos incluidos en ese requerimiento. Artículos 4 a 11.
- Habilita un canal atendido y acusa recibo de las solicitudes.
- Verifica identidad de forma proporcionada, sin pedir documentos excesivos por defecto.
- Registra ingreso, plazo, responsable, búsqueda en sistemas, decisión y respuesta.
- Prueba una solicitud simulada que recorra web, correo, CRM y proveedores.
La supresión y la portabilidad tienen condiciones y excepciones. Si debes conservar determinados antecedentes por una obligación legal, explica el fundamento y limita su uso; no prometas una eliminación total automática.
8. Define cuánto conservas y cómo eliminas
Construye una matriz de retención por categoría y sistema. Cada fila debería tener una finalidad, fundamento, plazo, evento que inicia el cómputo, responsable y método de eliminación o anonimización.
- Separa prospectos, contratos, documentos tributarios, datos laborales, registros técnicos y respaldos.
- Define qué sucede con los adjuntos de correo, descargas y planillas que duplican el CRM.
- Documenta las excepciones de conservación y revísalas periódicamente.
- En respaldos, fija acceso restringido y ciclos de expiración; al restaurar, reaplica las eliminaciones para no reactivar datos indebidamente.
No existe un único plazo de conservación válido para todos los datos de una empresa. Determínalo según la finalidad y las obligaciones aplicables. Cambiar nombres por códigos tampoco produce anonimización si aún puedes recuperar la identidad.
9. Revisa contratos y proveedores
Un tercero que trata datos por tu cuenta necesita un encargo regulado por contrato. Debe incluir objeto, duración, finalidad, datos, titulares y obligaciones. La delegación a otro encargado requiere autorización específica y escrita; al terminar el servicio corresponde suprimir o devolver los datos, según proceda. Artículo 15 bis.
- Revisa hosting, CRM, email, agencias, soporte, pagos, almacenamiento, automatización e IA.
- Acuerda instrucciones, confidencialidad, seguridad, aviso de incidentes y asistencia para solicitudes.
- Identifica subcontratistas, accesos de soporte y condiciones de salida.
- Comprueba exportación, devolución y eliminación antes de depender de una herramienta.
Aceptar que un proveedor es conocido o que exhibe una certificación no reemplaza revisar el servicio contratado y sus configuraciones. Una integración puede copiar más datos de los que necesita.
10. Identifica transferencias fuera de Chile
Conoce dónde se almacenan y desde dónde se accede a los datos, incluidos soporte y subencargados. Las transferencias deben encuadrarse en los mecanismos permitidos, como un nivel adecuado de protección, garantías admisibles u otras hipótesis legales. Artículos 27 y 28.
No presupongas que alojar la web en Chile resuelve todas las transferencias. Un formulario puede enviar datos a servicios de otros países. Pide información al proveedor y valida el mecanismo jurídico aplicable; no presentes listas de países o modelos de cláusulas de otra jurisdicción como si fueran automáticamente válidos en Chile.
11. Refuerza seguridad, diseño y configuración
La protección desde el diseño y por defecto y la seguridad proporcional al riesgo forman parte del régimen. Artículos 14 quáter y 14 quinquies. Tradúcelas en controles que puedas comprobar:
- Usa cuentas individuales, doble factor cuando corresponda y permisos mínimos.
- Retira accesos de personas que dejan la organización y revisa enlaces compartidos.
- Actualiza sistemas, plugins e integraciones y gestiona vulnerabilidades.
- Protege comunicaciones, almacenamiento y secretos según el riesgo.
- Prueba restauraciones y limita acceso a respaldos.
- Usa datos sintéticos en desarrollo cuando sea posible; evita copias completas de producción.
- Revisa que un usuario no pueda acceder a registros de otro cliente o empresa.
Para una web con formularios, la prueba útil incluye enviar un registro, revisar quién lo ve, dónde llega, qué se registra y cómo se elimina. El candado HTTPS del navegador sólo cubre una parte de ese recorrido.
12. Ten un procedimiento para incidentes
Si una vulneración genera un riesgo razonable para los derechos y libertades, corresponde reportarla a la Agencia sin dilaciones indebidas. En ciertos casos, como datos sensibles, de menores de catorce años o relativos a obligaciones económicas, financieras, bancarias o comerciales, también debe comunicarse a los titulares. Artículo 14 sexies.
La ley chilena no fija en ese artículo una regla general de 72 horas. Verifica además los plazos y canales que correspondan por otras normas aplicables y por las instrucciones de la autoridad.
- Define cómo escalar un incidente y quién puede contenerlo.
- Registra hechos, sistemas, categorías de datos, personas afectadas y medidas adoptadas.
- Coordina evaluación de riesgo, comunicaciones, proveedores y recuperación.
- Conserva evidencia y realiza un ejercicio simulado con dirección, tecnología y asesoría jurídica.
13. Trata con especial cuidado datos sensibles y de menores
Salud, biometría y otras categorías sensibles tienen reglas especiales. Para menores de catorce años, la regla de consentimiento involucra a padres o representantes, salvo autorización legal; los datos sensibles de adolescentes menores de dieciséis años también tienen una exigencia especial. Artículos 16 a 16 quáter.
En inscripciones, campañas, educación o atención de salud, revisa edad, información entregada, legitimación y acceso. Evita recoger antecedentes sensibles en un campo libre «por si acaso». Si se necesita esa información, diseña un flujo específico y consulta las normas sectoriales.
14. Evalúa IA, perfiles y tratamientos de alto riesgo
Las operaciones que probablemente generen alto riesgo requieren una evaluación de impacto previa. La ley incluye casos obligatorios como tratamiento masivo, monitoreo sistemático de zonas públicas, ciertos perfiles automatizados y determinadas excepciones al consentimiento para datos especialmente protegidos. Artículo 15 ter.
- Antes de activar un chatbot o asistente, revisa qué datos recibe y conserva.
- Comprueba si el proveedor usa las entradas para entrenar modelos, cuánto retiene y quién accede.
- Evita incluir datos reales innecesarios en prompts, pruebas y registros de conversaciones.
- Cuando existan decisiones automatizadas con efectos jurídicos o impacto significativo, revisa las reglas y garantías del artículo 8 bis: información, explicación, intervención humana y revisión, según corresponda.
No todos los usos de IA exigen lo mismo. Un apoyo de redacción con datos sintéticos presenta un escenario diferente de un sistema que perfila personas o decide sobre ellas. La evaluación debe describir necesidad, riesgos y medidas concretas.
Cómo organizar el trabajo antes del 1 de diciembre
Plan propuesto para octubre y noviembre de 2026: adapta el alcance a tu operación y atiende primero cualquier incidente activo o tratamiento de alto riesgo.
- Primera semana: asigna responsables, inventaría sistemas y detecta usos sin base clara o accesos excesivos.
- Octubre: corrige formularios, preferencias, permisos y proveedores prioritarios; define retención y canal de derechos.
- Primera mitad de noviembre: completa revisión jurídica, contratos, avisos y evaluaciones de impacto que correspondan.
- Segunda mitad de noviembre: prueba retiros, solicitudes, eliminación, restauración y respuesta a incidentes; cierra brechas con evidencia.
- Desde diciembre: mantén revisiones, formación del equipo y seguimiento de cambios e instrucciones de la Agencia.
Qué evidencia conviene tener preparada
- Inventario de tratamientos con responsables y bases documentadas.
- Avisos y políticas versionados, junto con registros de consentimiento cuando se use.
- Contratos y revisión de proveedores y transferencias.
- Matriz de conservación y constancias de eliminación.
- Solicitudes de derechos, decisiones y respuestas.
- Revisiones de accesos, capacitación, restauraciones y gestión de incidentes.
- Evaluaciones de impacto y correcciones de riesgo cuando procedan.
Una carpeta de documentos sin controles operativos deja brechas. Pide a cada área una prueba concreta: una baja respetada, un acceso retirado, una restauración verificada o una solicitud resuelta.
¿Qué pasa si una empresa incumple?
El régimen contempla infracciones leves, graves y gravísimas. Los máximos ordinarios son 5.000, 10.000 y 20.000 UTM, respectivamente; en las leves también cabe amonestación. La reincidencia puede agravar las sanciones y, bajo las condiciones legales, ciertas empresas pueden enfrentar multas vinculadas a sus ingresos. Artículo 35.
La preparación también protege la continuidad del negocio: reduce exposición, facilita responder a clientes y evita depender de accesos, bases o procesos que nadie puede explicar.
La privacidad debe funcionar en cada punto de contacto
El objetivo es poder seguir el recorrido de los datos y responder con evidencia: para qué se usan, quién accede, qué proveedor interviene, cómo se atiende una solicitud y cuándo termina su conservación.
En Gema Digital podemos ayudarte con la parte técnica y operativa: formularios, sitios web, permisos, integraciones, CRM y automatizaciones. La definición jurídica debe coordinarse con asesoría especializada. Conversemos sobre los puntos que necesita revisar tu operación digital.
Contenido informativo. No constituye asesoría legal ni una certificación de cumplimiento. Revisión de fuentes: 8 de octubre de 2026. Antes de implementar o publicar, considera las reglas sectoriales y las instrucciones de la Agencia que resulten aplicables.