Ley 21.719PrivacidadAnalítica
Ley 21.719 de datos personales: guía técnica para adaptar tu sitio web
// En resumen
La Ley 21.719 moderniza la Ley 19.628 de protección de datos personales y rige desde el 1 de diciembre de 2026, salvo que se apruebe la postergación que hoy se tramita en el Congreso. Para un sitio web significa publicar una política de datos completa, pedir consentimiento antes de activar analítica y píxeles, pedir solo los datos necesarios y habilitar un canal para que las personas ejerzan sus derechos.
Esta guía no resume la ley: explica qué tocar en tu sitio web, pieza por pieza. Política, formularios, analítica, píxeles, WhatsApp y chat, con una checklist de 12 puntos al final.
La Ley 21.719 en cinco datos
| Dato | Detalle |
|---|---|
| Qué es | Modifica la Ley 19.628 sobre protección de la vida privada y crea la Agencia de Protección de Datos Personales. |
| Publicación | Diario Oficial, 13 de diciembre de 2024 (promulgada el 25 de noviembre de 2024). |
| Vigencia | 1 de diciembre de 2026. |
| Quién fiscaliza | La Agencia de Protección de Datos Personales, que puede investigar y sancionar. |
| Multas | Hasta 5.000 UTM (leves), 10.000 UTM (graves) y 20.000 UTM (gravísimas). |
El texto consolidado está publicado en la Biblioteca del Congreso Nacional.
Sobre la postergación. En septiembre de 2026 ingresó al Senado un proyecto (Boletín 18.623-07) que, según análisis publicados por estudios jurídicos, mueve la entrada en vigencia al 1 de diciembre de 2027. Al 11 de octubre de 2026 está en primer trámite: en tramitación, no aprobado. Hasta que eso cambie, la fecha que vale es el 1 de diciembre de 2026. Y aunque se apruebe, el trabajo en tu sitio es el mismo; solo cambia el plazo.
¿Tu sitio web trata datos personales?
Casi seguro que sí, aunque no vendas nada en línea. Un dato personal es cualquier información que identifica a una persona o permite identificarla. En un sitio corporativo típico, los datos entran por estas vías:
- Formulario de contacto o cotización: nombre, correo, teléfono, empresa.
- Botón de WhatsApp y chat: número de teléfono e historial de la conversación.
- Newsletter o descargas: correo y, a veces, cargo o rubro.
- Analítica: Google Analytics asigna un identificador a cada navegador y registra qué páginas visita.
- Píxeles publicitarios: el píxel de Meta y la etiqueta de Google Ads envían eventos de visita a esas plataformas.
- Grabación de sesiones: herramientas como Microsoft Clarity o Hotjar registran clics y movimientos.
- Registros del servidor: direcciones IP de cada visita.
Cada una de estas vías necesita una respuesta a tres preguntas: para qué usas el dato, con qué base legal y con quién lo compartes.
Lo que la ley exige publicar en tu web
El artículo 14 ter obliga a mantener publicada en el sitio web la información sobre cómo tratas los datos. No publicarla es una infracción leve (art. 34 bis), y leve no significa gratis: puede llegar a 5.000 UTM.
Política de tratamiento con fecha y versión
La política debe indicar su fecha y su versión. La razón es práctica: si la cambias, tienes que poder demostrar qué texto estaba vigente cuando alguien te entregó sus datos. Guarda las versiones anteriores.
Quién es el responsable y cómo contactarlo
La persona o empresa responsable de los datos, con un canal concreto para recibir solicitudes. Un correo dedicado funciona; un formulario genérico de "contáctanos" mezclado con ventas, no tanto.
Qué datos tratas, para qué y con quién los compartes
Las categorías de datos que recolectas y sus destinatarios. En una pyme la lista suele ser más larga de lo que parece: hosting, correo, CRM, Google, Meta, WhatsApp, la automatización que mueve los leads. Si un proveedor recibe datos, va en la lista.
Formularios: qué cambiar campo por campo
Minimización: el campo que no usas es un riesgo gratis
Si pides RUT, fecha de nacimiento o dirección en un formulario de contacto y nadie usa ese dato, borra el campo. Cada dato guardado es un dato que tienes que proteger, declarar y entregar si te lo piden.
Casilla de consentimiento: separada, sin premarcar y por finalidad
El artículo 12 exige que el consentimiento sea libre, informado, específico, previo e inequívoco. En un formulario eso se traduce así:
- La casilla aparece desmarcada. Una casilla premarcada no es un acto afirmativo.
- Una finalidad por casilla. Responder tu consulta y enviarte promociones son dos cosas distintas.
- El texto enlaza a la política de datos, cerca de la casilla y antes del botón de envío.
Responder una consulta puede apoyarse en otra base de licitud del artículo 13 (como las gestiones previas a un contrato), pero enviar marketing necesita su propia autorización.
Dónde termina el dato y cuánto tiempo se guarda
Sigue el recorrido de un lead: llega por correo, se copia al CRM, una automatización lo pasa a una planilla, alguien lo reenvía por WhatsApp. Cada parada es un lugar donde el dato puede filtrarse. Define cuánto tiempo guardas los contactos que no se convierten y registra cuándo aceptó cada persona la política.
Analítica, píxeles y cookies: el punto que casi todos tienen mal
Qué cargan hoy tus etiquetas
Abre tu sitio en una ventana privada y revisa la pestaña de red de las herramientas de desarrollador antes de hacer clic en nada. En muchos sitios cargan de inmediato Google Analytics 4, la etiqueta de Google Ads, el píxel de Meta y alguna grabación de sesiones: todas instalan identificadores y envían datos a terceros sin que la persona haya decidido nada.
La ley no menciona las cookies
La Ley 21.719 no usa la palabra "cookies", y en Chile no hay una regla específica de cookies como la europea. Entonces, ¿por qué pedir consentimiento?
Porque estas herramientas tratan datos personales y todo tratamiento necesita una base de licitud (arts. 12 y 13). La medición y la publicidad no son indispensables para que el sitio funcione, así que es difícil justificarlas con una base distinta del consentimiento. Es una interpretación prudente, no una regla expresa, y la Agencia podrá precisarla con sus instrucciones.
Un banner que bloquea, no uno que solo informa
Un banner que dice "este sitio usa cookies" mientras el píxel ya cargó no sirve. Lo que se espera de uno serio:
- Las etiquetas de analítica y publicidad no se cargan hasta que la persona acepta.
- "Aceptar" y "Rechazar" tienen el mismo peso visual y están en la primera capa.
- Hay una opción para configurar por categoría (medición, publicidad).
- La elección se guarda y se puede cambiar después, por ejemplo desde un enlace en el pie de página.
Google Consent Mode v2: medir sin saltarse el consentimiento
Consent Mode es el mecanismo de Google para que sus etiquetas respeten la decisión del usuario. Funciona con señales como analytics_storage, ad_storage, ad_user_data y ad_personalization: se declaran denegadas por defecto y pasan a concedidas solo cuando la persona acepta. Tiene dos modalidades:
- Básica: las etiquetas de Google no se cargan hasta que hay consentimiento. Es la opción más estricta.
- Avanzada: las etiquetas se cargan con todo denegado y envían señales sin cookies, que Google usa para estimar conversiones. Si la eliges, explícalo en tu política de cookies.
Para herramientas que no son de Google, como el píxel de Meta o Clarity, la regla es más simple: no se cargan hasta que hay consentimiento.
Así lo hicimos en emignia.com. Implementamos un banner propio con tres opciones (aceptar, rechazar y configurar), Consent Mode v2 en modalidad avanzada con todo denegado por defecto, y el píxel de Meta y Microsoft Clarity solo se cargan si la persona los acepta. El formulario de contacto tiene una casilla de privacidad obligatoria y sin premarcar, y el chat muestra un aviso visible antes de escribir. Puedes cambiar tu elección desde "Configurar cookies", en el pie de página, y el detalle está en nuestra Política de Cookies.
WhatsApp, chatbots y asistentes con IA
- Aviso al inicio de la conversación. Quién responde, si es un asistente con IA y dónde está la política de datos. Una línea basta.
- Qué guarda el asistente. El historial, el número de teléfono y lo que la persona cuenta. Define cuánto tiempo se conserva y quién puede leerlo.
- Proveedores. La plataforma de WhatsApp, el modelo de IA y el servidor de automatización reciben datos por tu cuenta. Van en tu política como destinatarios y conviene tener un contrato que regule qué pueden hacer con ellos.
- Datos sensibles. Si atiendes salud u otro rubro donde la persona puede contar información sensible, el estándar es más alto. Diseña el flujo para pedir solo lo necesario para agendar o derivar, no para diagnosticar por chat.
Derechos de las personas: el canal que tu web debe tener
El artículo 4 reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. En la práctica, tu sitio necesita un canal claro para recibir estas solicitudes, un proceso para verificar la identidad de quien pide y un registro de lo que respondiste.
El plazo para responder es de 30 días corridos, prorrogable por otros 30. Si hoy una solicitud de este tipo llegaría al mismo correo que las cotizaciones, sepáralo antes de diciembre.
Seguridad mínima y qué hacer si hay una filtración
No hace falta una auditoría de seguridad para cubrir lo básico:
- HTTPS en todo el sitio, sin excepciones.
- Verificación en dos pasos en el hosting, el CMS, el correo y el CRM.
- Accesos con el mínimo necesario y cuentas personales, no compartidas.
- Plugins y dependencias actualizados, y respaldos que alguien haya probado restaurar.
Además, el artículo 14 sexies obliga a reportar a la Agencia las vulneraciones de seguridad que afecten datos personales. Deja escrito quién decide, a quién se avisa y dónde se revisan los registros.
Multas: lo que está en juego
| Tipo de infracción | Multa máxima | Ejemplo |
|---|---|---|
| Leve | 5.000 UTM (o amonestación) | No publicar la política de tratamiento en el sitio (art. 34 bis). |
| Grave | 10.000 UTM | Tratar datos sin consentimiento ni otra base legal (art. 34 ter). |
| Gravísima | 20.000 UTM | Las conductas más serias que define la ley. |
En caso de reincidencia, para empresas que no son de menor tamaño las multas pueden llegar al 2% (graves) o 4% (gravísimas) de sus ingresos anuales. La ley también crea un registro nacional de sanciones y cumplimiento, de modo que el costo no es solo la multa.
Checklist: 12 puntos para tu sitio
Contenido legal
- Política de datos publicada, con fecha, versión y datos del responsable.
- Canal claro para ejercer derechos (correo dedicado o formulario).
- Lista de proveedores que reciben datos: hosting, correo, CRM, Google, Meta, WhatsApp, automatizaciones.
Formularios
- Solo los campos que realmente usas.
- Casillas separadas por finalidad y sin premarcar.
- Registro de cuándo y cómo aceptó cada persona.
- Plazo de conservación definido para los contactos.
Medición y publicidad
- Inventario de todos los scripts que carga tu sitio.
- Banner que bloquea analítica, píxeles y grabación de sesiones hasta que la persona acepta.
- Consent Mode v2 configurado en las etiquetas de Google.
Canales y seguridad
- Aviso de privacidad al inicio de WhatsApp y del chat.
- HTTPS, verificación en dos pasos y un protocolo escrito ante incidentes.
Si quieres partir por lo técnico, revisa tu sitio con la auditoría gratis. Si prefieres que lo implementemos contigo, escríbenos.
Preguntas frecuentes
¿La Ley 21.719 aplica a pymes y profesionales independientes?
Sí. La ley no exime a nadie por tamaño: si tu sitio recibe nombres, correos o teléfonos, tratas datos personales. Lo que sí prevé es que la Agencia de Protección de Datos Personales fije exigencias diferenciadas para empresas de menor tamaño, según la Ley 20.416.
¿Se posterga la ley a 2027?
Existe un proyecto de ley (Boletín 18.623-07) que propone mover la entrada en vigencia al 1 de diciembre de 2027. Al 11 de octubre de 2026 sigue en tramitación en el Senado y no está aprobado. Mientras no se publique una ley que cambie la fecha, rige el 1 de diciembre de 2026.
¿Necesito un banner de cookies si solo uso Google Analytics?
La ley no menciona las cookies. Pero Google Analytics trata identificadores del navegador y datos de navegación, y para eso necesitas una base legal. Como la medición no es indispensable para que el sitio funcione, la interpretación prudente es pedir consentimiento antes de activarla, por ejemplo con un banner y Consent Mode v2.
¿Puedo seguir usando el píxel de Meta?
Sí, siempre que se cargue recién cuando la persona acepta las cookies de publicidad, y que tu política de datos declare a Meta como destinatario de esa información. Si alguien rechaza, el píxel no debe cargarse.
¿Qué hago con los contactos que ya tengo en mi base?
Revisa cómo los obtuviste. Si no puedes demostrar que aceptaron recibir comunicaciones comerciales, lo prudente es pedir esa confirmación antes de seguir enviándoles promociones, y eliminar los registros que ya no usas.
¿Quién fiscaliza y desde cuándo se puede multar?
La Agencia de Protección de Datos Personales, creada por esta misma ley, con facultades para investigar y sancionar. Las obligaciones son exigibles desde la entrada en vigencia: el 1 de diciembre de 2026, según el texto vigente al día de hoy.
Fuentes
- Ley 21.719, texto consolidado: Biblioteca del Congreso Nacional (LeyChile).
- Proyecto que posterga la vigencia, Boletín 18.623-07: tramitación en el Senado.
Este artículo es informativo y no constituye asesoría legal. Para decisiones sobre tu caso, consulta con un abogado. Información revisada al 11 de octubre de 2026.
