Guías

Ley 21.719 y tu página web: qué cambia el 1 de diciembre y qué revisar en tu pyme

Por Diego Valderrama17 de octubre de 20267 min de lectura

Si tu página web tiene un formulario de contacto, un botón para agendar o el píxel de Meta instalado, tu pyme ya trata datos personales. Desde el 1 de diciembre de 2026 eso pasa a estar regulado por la Ley 21.719, la primera ley chilena de protección de datos con una autoridad que fiscaliza y sanciona: la nueva Agencia de Protección de Datos Personales.

En las últimas semanas circula mucha información cruzada: que la ley ya se postergó, que hay 72 horas para avisar una filtración, que solo aplica a empresas grandes. Revisamos medios, estudios jurídicos y la tramitación en el Senado para separar lo que es cierto de lo que no, y lo aterrizamos a lo que importa en tu página web.

Formulario de contacto de una página web con aviso de privacidad y calendario marcando el 1 de diciembre — Un formulario de contacto ya es un punto de captura de datos personales.

Lo esencial en 30 segundos

La ley entra en vigencia el 1 de diciembre de 2026. Existe un proyecto para postergarla un año, pero mientras no se apruebe y se publique, la fecha no cambia.
Aplica a toda empresa o persona que trate datos personales de personas en Chile, sin importar su tamaño.
Durante el primer año, a las empresas de menor tamaño la Agencia puede sancionarlas con una amonestación por escrito en lugar de una multa.
En tu web, lo mínimo es: política de privacidad clara, aviso en cada formulario, banner si usas cookies de seguimiento y un canal para que las personas ejerzan sus derechos.

Lo que circula vs. lo que dice la ley

Lo que circula	Lo que dice la ley hoy
"La ley ya se postergó para 2027"	Falso por ahora. El 1 de septiembre de 2026 el Gobierno ingresó al Senado el proyecto (boletín 18.623-07) que movería la vigencia al 1 de diciembre de 2027. Al 11 de octubre seguía en primer trámite en la Comisión de Constitución, sin votaciones. Si no se publica como ley antes del 30 de noviembre, la 21.719 rige el 1 de diciembre de 2026.
"Hay 72 horas para avisar una filtración"	La ley no fija horas. El artículo 14 sexies exige avisar a la Agencia por el medio más rápido posible y sin demoras injustificadas cuando la vulneración genera un riesgo razonable para las personas. Las 72 horas vienen del reglamento europeo (RGPD) y se usan como referencia práctica.
"Es solo para empresas grandes"	Aplica a cualquiera que trate datos personales en Chile, sea una corporación, una pyme, un ecommerce o un profesional independiente.
"A las pymes las van a multar desde el primer día"	Durante los primeros 12 meses, las empresas de menor tamaño pueden recibir una amonestación por escrito en vez de una multa. El proyecto de postergación propone, además, extender esa amonestación del primer año a todas las empresas.
"La multa es de 20.000 UTM"	Ese es el tope para las infracciones gravísimas. Las leves llegan hasta 5.000 UTM (o amonestación) y las graves hasta 10.000 UTM. El monto final se calcula caso a caso con criterios del artículo 37, como la gravedad y la conducta de la empresa.
"Si un cliente pide sus datos, tengo 2 días hábiles"	Ese era el plazo de la ley antigua. Con la 21.719 son 30 días corridos, prorrogables por otros 30 en casos justificados.

Qué dato recoge cada parte de tu página web

La mayoría de las guías sobre la Ley 21.719 están pensadas para empresas con área legal. Esta tabla está pensada para una pyme con un sitio web común.

Elemento de tu web	Qué datos personales toca	Qué deberías tener
Formulario de contacto o cotización	Nombre, correo, teléfono y lo que la persona escriba	Un aviso breve junto al botón Enviar con enlace a tu política. Pide solo los campos que realmente usas. Si quieres usar ese correo para promociones, pide un consentimiento aparte y no lo marques por defecto.
Botón de WhatsApp	El número y la conversación quedan en tu celular y en WhatsApp	Menciónalo en tu política: que atiendes por WhatsApp, para qué usas esos datos y cuánto tiempo guardas las conversaciones.
Agenda online (Cal.com u otra)	Nombre, correo, horario y, a veces, el motivo de la consulta	Política de privacidad visible antes de reservar. Si eres del área de salud, el motivo de consulta puede ser un dato sensible: pide solo lo indispensable.
Google Analytics, píxel de Meta o etiquetas de publicidad	Identificadores del navegador y comportamiento en tu sitio	Banner de cookies que no active nada de esto antes de que la persona acepte, con "Aceptar" y "Rechazar" igual de visibles, y opción de cambiar de opinión.
Analítica sin cookies (por ejemplo, Cloudflare Web Analytics)	Métricas agregadas, sin perfilar a cada visitante	Es la opción con menos fricción. Igual conviene mencionarla en tu política.
Pagos en línea (Mercado Pago, Flow u otro)	Los datos de la tarjeta los procesa la pasarela, no tu sitio	Indica en tu política qué proveedor procesa los pagos y qué datos guardas tú (nombre, correo, pedido).
Lista de correos o newsletter	Correo y, a veces, nombre	Consentimiento específico para recibir correos y una forma de darse de baja tan fácil como fue suscribirse.

Checklist por prioridad: lo mínimo antes del 1 de diciembre

Ordenado de lo más urgente y barato a lo que toma más tiempo.

1Publica o actualiza tu política de privacidad. Debe decir quién es el responsable de los datos (razón social, RUT y contacto), qué datos recoges, para qué, cuánto tiempo los guardas, con quién los compartes (por ejemplo, tu proveedor de correo o de agenda) y cómo pedir acceso, corrección o eliminación.
2Agrega un aviso en cada formulario. Una línea junto al botón con el enlace a la política es suficiente para la mayoría de los casos.
3Revisa qué cookies carga tu sitio. Si usas píxeles de publicidad o Google Analytics, necesitas un banner de consentimiento real, que bloquee esas cookies hasta que la persona acepte.
4Define un canal para solicitudes. Un correo con tu dominio como privacidad@tuempresa.cl o el mismo contacto@ sirve. Lo importante es que alguien lo revise y responda dentro de 30 días corridos.
5Borra lo que no necesitas. Bases antiguas, planillas de clientes inactivos, CV de postulantes de hace años. Guardar datos "por si acaso" sin una finalidad vigente pasa a ser un riesgo.
6Asegura lo básico. Sitio con HTTPS, protección antispam en los formularios, verificación en dos pasos en el correo y en el panel de tu web, y accesos solo para quien los necesita.
7Ten claro qué harías ante una filtración. Quién decide, a quién se avisa y cómo se documenta. No necesitas un manual de 40 páginas: basta una hoja con los pasos y los contactos.
8Revisa dónde quedan tus datos. Si tus formularios, correo o agenda guardan datos en servidores fuera de Chile, la ley exige condiciones para esa transferencia internacional. En la práctica, revisa que tus proveedores tengan cláusulas de protección de datos.

Cuánto puede costar no hacerlo

Tipo de infracción	Ejemplos	Sanción máxima
Leve	No responder a una solicitud de una persona, responder incompleto o fuera de plazo	Amonestación escrita o multa de hasta 5.000 UTM
Grave	Tratar datos sin consentimiento ni otra base legal, impedir el acceso o la corrección, incumplir el deber de seguridad	Multa de hasta 10.000 UTM
Gravísima	Las conductas más serias del catálogo de la ley	Multa de hasta 20.000 UTM

En caso de reincidencia, las multas pueden triplicarse, y las empresas que no son de menor tamaño arriesgan, además, multas calculadas como porcentaje de sus ingresos anuales.

Para una pyme, el mayor riesgo del primer año no es la multa: es el reclamo de un cliente que pide sus datos y no recibe respuesta, o un formulario que sigue enviando correos a quien nunca aceptó recibirlos.

Las fechas que importan

Fecha	Hito	Estado
13 de diciembre de 2024	Publicación de la Ley 21.719 en el Diario Oficial	Hecho
1 de septiembre de 2026	Ingreso al Senado del proyecto de postergación (boletín 18.623-07)	En primer trámite
30 de noviembre de 2026	Último día para que una postergación se publique como ley	Pendiente
1 de diciembre de 2026	Entrada en vigencia y comienzo de la fiscalización, si no hay postergación	Fecha vigente
Diciembre 2026 a diciembre 2027	Primer año: amonestación escrita para empresas de menor tamaño	Según la ley vigente
1 de diciembre de 2027	Nueva fecha de vigencia que propone el proyecto	Solo si se aprueba

Lo que esto significa para tu página web

La Ley 21.719 no obliga a rehacer tu sitio. Para la mayoría de las pymes, el trabajo en la web se resuelve con una política de privacidad bien escrita, un aviso en los formularios y, si usas publicidad en Meta o Google, un banner de cookies que funcione de verdad. Lo que toma más tiempo está fuera de la web: ordenar qué datos guardas y quién responde cuando alguien los pide.

Si tu web la hicimos nosotros o la estás pensando con nosotros, escríbenos por WhatsApp y revisamos contigo qué datos recoge tu sitio y qué le falta.

Este artículo es informativo y no reemplaza la asesoría de un abogado. Para redactar tu política de privacidad y revisar tus procesos internos, te recomendamos validar con un profesional.

Preguntas frecuentes

¿La Ley 21.719 se postergó para 2027?

No, por ahora. Existe un proyecto del Gobierno (boletín 18.623-07) que propone mover la vigencia al 1 de diciembre de 2027, pero sigue en tramitación. Mientras no se apruebe y se publique como ley, la fecha vigente es el 1 de diciembre de 2026.

¿Mi pyme tiene que cumplir aunque sea pequeña?

Sí. La ley aplica a quien trate datos personales en Chile, sin importar el tamaño. La diferencia es que, durante el primer año, a las empresas de menor tamaño la Agencia puede sancionarlas con una amonestación por escrito en lugar de una multa.

¿Necesito un banner de cookies?

Solo si tu sitio usa cookies que no son estrictamente necesarias, como las de Google Analytics, el píxel de Meta u otras herramientas de publicidad. Esas deben quedar bloqueadas hasta que la persona acepte. Si tu sitio no usa cookies de seguimiento, no necesitas banner, pero igual debes tener una política de privacidad.

¿Cuánto plazo tengo para responder si un cliente pide sus datos?

Treinta días corridos, prorrogables por otros treinta en casos justificados. La persona puede pedir acceder, corregir, eliminar u oponerse al uso de sus datos, entre otros derechos.

¿Qué hago si se filtran datos de mis clientes?

Contener el problema, documentar qué pasó y, si la filtración genera un riesgo razonable para las personas, avisar a la Agencia de Protección de Datos Personales por el medio más rápido posible y sin demoras injustificadas. La ley no fija un plazo en horas.

¿Esto afecta cómo aparece mi web en Google o en ChatGPT?

No directamente. Pero una política de privacidad clara y datos de contacto completos son señales de confianza que suman tanto para tus clientes como para los buscadores y las herramientas de IA. Lo explicamos en nuestra guía de GEO.