Lei 21.719LGPDPrivacidade
Lei 21.719 do Chile: guia de proteção de dados para empresas brasileiras com clientes no Chile
// Em resumo
A Lei 21.719 é a lei de proteção de dados do Chile e entra em vigor em 1º de dezembro de 2026, salvo se o adiamento em tramitação for aprovado. Vale também para empresas sem sede no Chile que oferecem produtos ou serviços a pessoas no país ou monitoram seu comportamento, como uma empresa brasileira que vende para o Chile.
Se a sua empresa vende para clientes no Chile, faz campanhas segmentadas para o público chileno ou mede visitantes chilenos no site, a nova lei de proteção de dados do Chile pode valer para você, mesmo sem CNPJ nem escritório lá. Este guia não resume a lei: mostra o que ajustar no site, item por item, compara com a LGPD que você já conhece e termina com um checklist de 12 pontos.
A Lei 21.719 vale para empresas brasileiras?
A lei inclui um artigo 1º bis na lei chilena de dados pessoais (Lei 19.628) que define seu alcance territorial. Ela se aplica quando:
- O controlador ou o operador está estabelecido no Chile.
- Um operador em qualquer país trata dados em nome de um controlador estabelecido no Chile. Se a sua empresa presta serviço de hospedagem, CRM ou automação para uma empresa chilena, é o seu caso.
- O controlador ou o operador não está no Chile, mas o tratamento tem como objetivo oferecer bens ou serviços a pessoas que estão no Chile (pagos ou não) ou monitorar o comportamento delas no país, incluindo análise, rastreamento, criação de perfil ou previsão de comportamento.
O terceiro ponto é o que interessa a quem exporta. Uma landing page em espanhol voltada ao Chile, preços em pesos chilenos, entrega para o Chile ou anúncios segmentados para o país indicam oferta de serviços. Rastrear visitantes chilenos com analytics ou pixels de anúncio é monitorar comportamento. Se você conhece o artigo 3º da LGPD, a lógica é parecida.
E há um dever específico para quem é de fora. Pelo artigo 14, o controlador sem domicílio no Chile que trata dados de pessoas residentes no país deve indicar, e manter atualizado e funcionando, um e-mail ou outro meio de contato para receber comunicações dos titulares e da Agência.
A Lei 21.719 em cinco pontos
| Ponto | Detalhe |
|---|---|
| O que é | Altera a Lei 19.628, sobre proteção da vida privada, e cria a Agencia de Protección de Datos Personales. |
| Publicação | Diário Oficial do Chile, 13 de dezembro de 2024 (promulgada em 25 de novembro de 2024). |
| Vigência | 1º de dezembro de 2026. |
| Quem fiscaliza | A Agencia de Protección de Datos Personales, que pode investigar e aplicar sanções. |
| Multas | Até 5.000 UTM (leves), 10.000 UTM (graves) e 20.000 UTM (gravíssimas). |
O texto consolidado (em espanhol) está publicado pela Biblioteca do Congresso Nacional do Chile.
Sobre o adiamento. Em setembro de 2026 o governo chileno enviou ao Senado um projeto (Boletín 18.623-07) que, segundo análises publicadas por escritórios de advocacia chilenos, leva a vigência para 1º de dezembro de 2027. Em 12 de outubro de 2026, o registro do Senado mostra o projeto no primeiro trâmite, aguardando o parecer da Comissão de Constituição: em tramitação, não aprovado. Até isso mudar, a data que vale é 1º de dezembro de 2026. E mesmo que seja aprovado, o trabalho no site é o mesmo; só muda o prazo.
Lei 21.719 x LGPD: o que é parecido e o que muda
Quem já adequou o site à LGPD (Lei 13.709/2018) sai na frente. A estrutura é próxima, mas os detalhes não são idênticos:
| Tema | LGPD (Brasil) | Lei 21.719 (Chile) |
|---|---|---|
| Alcance territorial | Art. 3º: tratamento no Brasil, oferta de bens ou serviços a pessoas no Brasil ou dados coletados no país. | Art. 1º bis: controlador no Chile, ou oferta de bens ou serviços a pessoas no Chile, ou monitoramento do seu comportamento. |
| Bases legais | Dez hipóteses no art. 7º, entre elas consentimento, contrato e legítimo interesse. | Consentimento como regra geral (art. 12) e outras fontes de licitude no art. 13, como obrigação legal, contrato e interesse legítimo. |
| Consentimento | Livre, informado e inequívoco, para finalidade determinada (art. 5º, XII). | Livre, informado, específico, prévio e inequívoco (art. 12). |
| Direitos do titular | Art. 18: confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, entre outros. | Art. 4º: acesso, retificação, supressão, oposição, portabilidade e bloqueio. |
| Prazo de resposta | Acesso: imediato em formato simplificado ou até 15 dias para declaração completa (art. 19). | 30 dias corridos, prorrogáveis uma vez por mais 30. |
| Autoridade | ANPD. | Agencia de Protección de Datos Personales. |
| Encarregado (DPO) | Obrigatório pelo art. 41, com flexibilização para agentes de pequeno porte (Resolução CD/ANPD nº 2/2022). | O delegado de proteção de dados aparece no modelo voluntário de prevenção de infrações (art. 49). |
| Incidentes | Comunicar à ANPD e ao titular quando houver risco ou dano relevante (art. 48). | Reportar à Agência quando houver risco razoável (art. 14 sexies) e, em alguns casos, aos titulares. |
| Multas | Até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). | Até 20.000 UTM; na reincidência, até 2% ou 4% da receita anual para empresas que não são de menor porte. |
Em resumo: consentimento bem coletado, política de privacidade clara e canal de atendimento ao titular servem para as duas leis. O que você precisa revisar é a política em espanhol para o público chileno, o canal de contato exigido de quem não tem domicílio no Chile e os prazos chilenos de resposta.
O seu site trata dados pessoais?
Quase com certeza. Dado pessoal é qualquer informação que identifica uma pessoa ou permite identificá-la. Num site institucional, os dados entram por:
- Formulário de contato ou orçamento: nome, e-mail, telefone, empresa.
- Botão de WhatsApp e chat: número de telefone e histórico da conversa.
- Newsletter ou materiais para download: e-mail e, às vezes, cargo ou segmento.
- Analytics: o Google Analytics atribui um identificador a cada navegador e registra as páginas visitadas.
- Pixels de anúncio: o pixel da Meta e a tag do Google Ads enviam eventos de visita para essas plataformas.
- Gravação de sessões: ferramentas como Microsoft Clarity ou Hotjar registram cliques e rolagem.
- Logs do servidor: o endereço IP de cada visita.
Cada uma dessas entradas precisa responder a três perguntas: para que você usa o dado, com qual base legal e com quem compartilha.
O que a lei chilena exige publicar no site
O artigo 14 ter obriga a manter no site, de forma permanente, as informações sobre como você trata os dados. Não publicar é infração leve (art. 34 bis), e leve não quer dizer barata: pode chegar a 5.000 UTM.
Política com data e versão
A política deve indicar data e versão. Se você alterar o texto, precisa provar qual versão estava vigente quando a pessoa entregou os dados. Guarde as versões anteriores.
Quem é o responsável e como falar com ele
A empresa responsável, seu representante legal e um canal concreto para solicitações: endereço, e-mail, formulário ou meio equivalente. Um e-mail dedicado a privacidade funciona; o formulário genérico de "fale conosco" misturado com vendas, nem tanto.
Quais dados, para quê e com quem são compartilhados
As categorias de dados, as finalidades, a base legal e os destinatários. A lista de destinatários costuma ser maior do que parece: hospedagem, e-mail, CRM, Google, Meta, WhatsApp, a automação que distribui os leads. Se um fornecedor recebe dados, ele entra na lista.
Formulários: o que mudar campo por campo
Minimização: o campo que ninguém usa é risco à toa
Se o formulário pede RUT (o documento de identidade chileno), data de nascimento ou endereço e ninguém usa esse dado, apague o campo. Cada dado guardado é um dado a proteger, declarar e entregar se pedirem.
Caixa de consentimento: separada, desmarcada e por finalidade
O artigo 12 exige consentimento livre, informado, específico, prévio e inequívoco. No formulário, isso significa:
- A caixa começa desmarcada. Caixa pré-marcada não é ato afirmativo.
- Uma finalidade por caixa. Responder ao contato e enviar promoções são coisas diferentes.
- O texto leva à política de privacidade, perto da caixa e antes do botão de envio.
Responder a uma consulta pode se apoiar em outra base do artigo 13 (como medidas pré-contratuais a pedido da pessoa), mas e-mail marketing precisa de autorização própria.
Para onde vai o dado e por quanto tempo fica
Siga um lead: chega por e-mail, vai para o CRM, uma automação joga numa planilha, alguém encaminha pelo WhatsApp. Cada parada é um ponto de vazamento. Defina por quanto tempo guarda contatos que não viraram clientes e registre quando cada pessoa aceitou a política.
Analytics, pixels e cookies: onde quase todo mundo erra
O que as suas tags carregam hoje
Abra o site numa janela anônima e veja a aba Rede das ferramentas do desenvolvedor antes de clicar em qualquer coisa. Em muitos sites, Google Analytics 4, tag do Google Ads, pixel da Meta e um gravador de sessões carregam na hora: instalam identificadores e enviam dados a terceiros antes de a pessoa decidir qualquer coisa.
A lei chilena não fala de cookies
A Lei 21.719 não usa a palavra "cookies", e o Chile não tem uma regra específica de cookies como a europeia. Então, por que pedir consentimento?
Porque essas ferramentas tratam dados pessoais, e todo tratamento precisa de base legal (arts. 12 e 13). Medição e publicidade não são indispensáveis para o site funcionar, então é difícil justificá-las com outra base que não o consentimento. É uma interpretação prudente, não uma regra expressa, e a Agência poderá detalhá-la em suas instruções.
Banner que bloqueia, não só avisa
Um banner que diz "este site usa cookies" enquanto o pixel já disparou não resolve. Um banner sério:
- Não carrega tags de analytics e publicidade até a pessoa aceitar.
- Dá o mesmo peso visual a "Aceitar" e "Rejeitar", já na primeira camada.
- Permite configurar por categoria (medição, publicidade).
- Guarda a escolha e deixa mudar depois, por exemplo por um link no rodapé.
Google Consent Mode v2: medir sem pular o consentimento
O Consent Mode é o mecanismo do Google para que as tags respeitem a escolha do visitante. Usa sinais como analytics_storage, ad_storage, ad_user_data e ad_personalization, que começam negados e só passam a concedidos quando a pessoa aceita. Há duas modalidades:
- Básica: as tags do Google só carregam depois do consentimento. É a opção mais rígida.
- Avançada: as tags carregam com tudo negado e enviam sinais sem cookies, que o Google usa para modelar conversões. Se escolher essa, explique na política de cookies.
Para ferramentas que não são do Google, como o pixel da Meta ou o Clarity, a regra é mais simples: não carregam sem consentimento.
Como fizemos no emignia.com. Criamos um banner próprio com três opções (aceitar, rejeitar e configurar), Consent Mode v2 na modalidade avançada com tudo negado por padrão, e o pixel da Meta e o Microsoft Clarity só carregam se a pessoa aceitar. O formulário de contato tem uma caixa de privacidade obrigatória e desmarcada, e o chat mostra um aviso visível antes de você escrever. Dá para mudar a escolha em "Configurar cookies", no rodapé, e o detalhe está na nossa Política de Cookies.
WhatsApp, chatbots e assistentes com IA
- Aviso no início da conversa. Quem responde, se é um assistente com IA e onde está a política de privacidade. Uma linha basta.
- O que o assistente guarda. Histórico, telefone e o que a pessoa contar. Defina por quanto tempo fica e quem pode ler.
- Fornecedores. A plataforma de WhatsApp, o modelo de IA e o servidor de automação recebem dados em seu nome. Liste-os na política como destinatários e tenha contrato que limite o uso.
- Dados sensíveis. Em saúde ou em qualquer área em que a pessoa possa contar informação sensível, o cuidado é maior. Desenhe o fluxo para pedir só o necessário para agendar ou encaminhar, não para diagnosticar pelo chat.
Direitos do titular: o canal que o site precisa ter
O artigo 4º garante os direitos de acesso, retificação, supressão, oposição, portabilidade e bloqueio. Na prática, o site precisa de um canal claro para receber esses pedidos, uma forma de confirmar a identidade de quem pede e um registro do que foi respondido.
O prazo chileno é de 30 dias corridos, prorrogável por mais 30. Se hoje um pedido assim cairia na mesma caixa dos orçamentos, separe antes de dezembro.
Segurança mínima e o que fazer em caso de vazamento
O básico não exige auditoria de segurança:
- HTTPS em todo o site, sem exceção.
- Verificação em duas etapas na hospedagem, no CMS, no e-mail e no CRM.
- Acessos mínimos necessários e contas pessoais, nunca compartilhadas.
- Plugins e dependências atualizados, e backups que alguém já testou restaurar.
Além disso, o artigo 14 sexies obriga a reportar à Agência os incidentes de segurança com dados pessoais quando houver risco razoável aos titulares. Deixe por escrito quem decide, quem é avisado e onde os registros são revisados.
Multas: o que está em jogo
As multas chilenas são fixadas em UTM (unidad tributaria mensual), uma unidade tributária mensal corrigida pela inflação e publicada pela receita federal chilena. Segundo o SII, 1 UTM vale 72.151 pesos chilenos em outubro de 2026; os tetos abaixo equivalem a cerca de 361 milhões, 722 milhões e 1,44 bilhão de pesos chilenos.
| Tipo de infração | Multa máxima | Exemplo |
|---|---|---|
| Leve | 5.000 UTM (ou advertência) | Não publicar no site as informações exigidas sobre o tratamento (art. 34 bis). |
| Grave | 10.000 UTM | Tratar dados sem consentimento nem outra base legal (art. 34 ter). |
| Gravíssima | 20.000 UTM | As condutas mais sérias definidas pela lei. |
Em caso de reincidência em infração grave ou gravíssima, empresas que não são de menor porte pela Lei 20.416 chilena podem receber multa de até 2% (graves) ou 4% (gravíssimas) da receita anual. A lei também cria um registro nacional de sanções e cumprimento, então o custo não é só a multa.
Checklist: 12 pontos para o seu site
Conteúdo legal
- Política de privacidade em espanhol publicada, com data, versão e dados do responsável.
- Canal claro para o exercício de direitos e, sem domicílio no Chile, um e-mail ativo para titulares e para a Agência.
- Lista de fornecedores que recebem dados: hospedagem, e-mail, CRM, Google, Meta, WhatsApp, automações.
Formulários
- Só os campos que você realmente usa.
- Caixas separadas por finalidade e desmarcadas.
- Registro de quando e como cada pessoa aceitou.
- Prazo de guarda definido para os contatos.
Medição e publicidade
- Inventário de todos os scripts que o site carrega.
- Banner que bloqueia analytics, pixels e gravação de sessões até a pessoa aceitar.
- Consent Mode v2 configurado nas tags do Google.
Canais e segurança
- Aviso de privacidade no início do WhatsApp e do chat.
- HTTPS, verificação em duas etapas e um protocolo escrito para incidentes.
Se quiser começar pela parte técnica, passe o seu site pela nossa auditoria gratuita. Se preferir implementar isso com a gente, fale conosco.
Perguntas frequentes
Uma empresa brasileira sem filial no Chile precisa cumprir a Lei 21.719?
Pode precisar. O artigo 1º bis aplica a lei a quem, mesmo sem estar no Chile, trata dados para oferecer bens ou serviços a pessoas no país, pagos ou gratuitos, ou para monitorar seu comportamento. Sem domicílio no Chile, a empresa ainda deve manter um e-mail ou canal de contato ativo para titulares e para a Agência.
Se eu já cumpro a LGPD, estou coberto no Chile?
Em boa parte, mas não automaticamente. As duas leis têm lógica parecida: bases legais, consentimento, direitos do titular e uma autoridade fiscalizadora. Mudam prazos, a autoridade, o valor das multas e alguns deveres, como o canal de contato exigido de quem não tem domicílio no Chile.
A lei chilena foi adiada para 2027?
Ainda não. Um projeto de lei (Boletín 18.623-07) propõe mudar a vigência para 1º de dezembro de 2027, mas em 12 de outubro de 2026 ele segue no primeiro trâmite no Senado chileno, sem aprovação. Enquanto não for publicada outra lei, vale 1º de dezembro de 2026.
O que é UTM e quanto valem as multas?
UTM (unidad tributaria mensual) é uma unidade tributária chilena corrigida pela inflação e publicada pela receita do Chile, o SII. Em outubro de 2026, 1 UTM vale 72.151 pesos chilenos. As multas chegam a 5.000 UTM nas infrações leves, 10.000 nas graves e 20.000 nas gravíssimas.
Preciso de banner de cookies para usar Google Analytics com visitantes chilenos?
A lei chilena não menciona cookies, mas o Google Analytics trata identificadores do navegador e dados de navegação, e isso exige uma base legal. Como medir não é indispensável para o site funcionar, a leitura prudente é pedir consentimento antes, com um banner e o Consent Mode v2.
Quem fiscaliza a lei no Chile?
A Agencia de Protección de Datos Personales, criada pela própria Lei 21.719, com poderes para investigar e sancionar. É o equivalente chileno da ANPD. As obrigações passam a ser exigíveis na entrada em vigor: 1º de dezembro de 2026, pelo texto vigente hoje.
Fontes
- Lei 21.719, texto consolidado (espanhol): Biblioteca do Congresso Nacional do Chile (LeyChile).
- Projeto que adia a vigência, Boletín 18.623-07: tramitação no Senado do Chile.
- LGPD, Lei 13.709/2018: Planalto.
- Regulamento para agentes de pequeno porte, Resolução CD/ANPD nº 2/2022: gov.br.
- Valores da UTM em 2026: Servicio de Impuestos Internos (SII).
Este artigo é informativo e não constitui assessoria jurídica. Para decisões sobre o seu caso, consulte um advogado com atuação em direito chileno. Informação revisada em 12 de outubro de 2026.
