No somos abogados y esto no es asesoría legal. Es la otra mitad del problema: los ocho puntos de la nueva ley de datos personales que se resuelven dentro de tu web, cómo se ve cada uno bien hecho y qué podés hacer esta semana aunque no nos contrates.
La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Reemplaza a la vieja Ley 19.628 —que casi no se fiscalizaba— y crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar. Aplica a cualquier organización que trate datos personales en Chile, sin importar el tamaño. Un formulario de contacto es tratamiento de datos personales. Una lista de correo también. Un chat también.
Casi todo lo que vas a encontrar escrito sobre esta ley lo escribieron estudios de abogados y consultoras de compliance, y está bien: es su tema. Pero explican qué exige la ley y casi nunca qué hay que tocar en el sitio. Y buena parte de las obligaciones —el consentimiento, las cookies, la política de privacidad, el canal para ejercer derechos— vive exactamente ahí: en una página que alguien tiene que poder editar.
Somos un estudio de diseño digital, no un estudio jurídico. Nada de lo que sigue es asesoría legal y los plazos y el alcance exacto los tenés que confirmar con quien te asesora. Lo que sí es nuestro trabajo es que la parte que vive en la web esté resuelta y, sobre todo, que la puedas operar sin depender de un programador — porque esto no se cumple una vez el 1 de diciembre: se cumple cada vez que alguien te escribe pidiendo que borres sus datos.
Abajo están los ocho puntos, en el orden en que conviene resolverlos. Cada uno con qué pide la ley en criollo, cómo se ve cuando está bien hecho y algo concreto para hacer esta semana.
Qué pide la ley: que sepas qué datos tratás, para qué y con quién los compartís. Suena a papeleo, pero es el punto del que dependen los otros siete: no podés declarar, borrar ni proteger lo que no sabés que tenés.
Cómo se ve bien hecho: una lista corta —cabe en una planilla— con cada lugar del sitio donde entra un dato: formulario de contacto, cotizador, suscripción al newsletter, chat, comentarios, cuenta de cliente y checkout si vendés online, el botón de WhatsApp, los formularios de postulación si publicás empleos. Al lado de cada uno: qué campos pide, para qué se usan, dónde caen y cuánto tiempo se guardan.
Qué hacer esta semana: abrí tu sitio como si fueras un visitante y anotá cada campo que te pide algo. Vas a encontrar por lo menos uno que no sabías que existía —un formulario viejo de una campaña, una landing que quedó publicada— y probablemente alguno que hoy no lee nadie. Lo que no usás, se saca. Guardar datos "por si acaso" dejó de ser gratis.
Qué pide la ley: un consentimiento libre, informado, específico e inequívoco. Traducido: se terminó el consentimiento por omisión. Nada de casillas premarcadas, nada de "al enviar este formulario aceptás todo", y el permiso para mandarte publicidad no puede venir escondido dentro del permiso para contestarte una consulta.
Cómo se ve bien hecho: el formulario dice para qué vas a usar los datos antes de que la persona escriba. La casilla de suscripción al newsletter está separada de la de "acepto la política de privacidad" y ninguna de las dos viene marcada. Y —esto es lo que casi nadie hace— queda registrado cuándo se dio el consentimiento y a qué texto: si dentro de un año cambiás la política, tenés que poder mostrar qué versión aceptó cada persona.
Qué hacer esta semana: mandate a vos mismo el formulario de contacto y mirá qué te llega. Si el mail que recibís no incluye la fecha y el texto que la persona aceptó, tu consentimiento existe en la pantalla pero no existe como evidencia. Es el arreglo más barato de toda la lista y el que más se olvida.
Qué pide la ley: información clara, accesible de forma permanente y gratuita sobre quién trata los datos, con qué finalidad, por cuánto tiempo, a quién se comunican y cómo se ejercen los derechos.
Cómo se ve bien hecho: nombra tu razón social y tu RUT, enumera tus formularios y tus herramientas —la analítica que usás, la plataforma de mailing, el CRM, la pasarela de pago—, dice cuánto tiempo guardás cada cosa y da una dirección concreta para reclamar. Está enlazada desde el pie de todas las páginas y desde cada formulario, y se puede leer sin descargar un PDF.
Qué hacer esta semana: leé la que tenés publicada hoy. Si menciona herramientas que ya no usás, servicios que nunca prestaste o —clásico— una empresa que no es la tuya porque salió de una plantilla, tenés un problema peor que no tener ninguna: tenés un documento firmado por vos que describe mal lo que hacés. Una política de privacidad que dejó de ser cierta es evidencia en contra.
Qué pide la ley: lo mismo que el punto 02, aplicado a lo que se instala en el navegador del visitante. Las cookies que no son necesarias para que el sitio funcione requieren una manifestación activa y previa: por defecto, apagadas.
Cómo se ve bien hecho: el banner ofrece "aceptar" y "rechazar" con el mismo peso visual —no un botón grande de colores y un link gris chiquito—, permite elegir por categoría, y los scripts de analítica y publicidad no se cargan antes de que la persona decida. Y hay una forma de cambiar de opinión después, permanentemente disponible, sin tener que borrar el historial del navegador.
Qué hacer esta semana: abrí tu sitio en una ventana nueva, no toques el banner y mirá en las herramientas de desarrollador qué se cargó igual. Si el píxel de Meta o la analítica ya están corriendo antes de que aceptes, el banner que tenés es decorativo. Es el error más frecuente y el más fácil de verificar sin saber programar.
Qué pide la ley: que las personas puedan ejercer sus derechos sobre sus datos —acceder, rectificar, eliminar, oponerse, bloquear y llevárselos a otro proveedor (portabilidad)— por un medio claro y gratuito.
Cómo se ve bien hecho: una dirección o un formulario dedicado, visible desde la política de privacidad y desde el pie del sitio, que llega a una casilla que alguien mira. Del lado de adentro: una persona con nombre a cargo, un procedimiento escrito de dos carillas y un lugar donde queda anotado cada pedido, qué se hizo y cuándo. Sin eso, el canal es un buzón.
Qué hacer esta semana: hacé la prueba incómoda. Pedí, desde un correo personal, que borren tus datos de tu propia empresa, y cronometrá. Si nadie sabe quién contesta eso, o si la respuesta es "habría que ver en qué sistemas está", ese es tu verdadero estado de cumplimiento — y lo vas a descubrir mucho más barato así que con un reclamo real.
Qué pide la ley: que sepas y declares con quién compartís los datos, incluidos los proveedores que los procesan por vos. Cada herramienta que recibe un dato de tu formulario es un tercero que tenés que poder nombrar.
Cómo se ve bien hecho: el formulario tiene un destino oficial —el CRM, la planilla, la casilla compartida— y todos los demás son copias declaradas, no rutas paralelas que nadie recuerda haber conectado. Sabés qué usuarios de tu equipo tienen acceso y podés sacárselo cuando alguien se va. Los proveedores están listados en la política, con la mención de que algunos están fuera de Chile.
Qué hacer esta semana: seguí un envío de punta a punta. Llenás el formulario y mirás dónde aparece: ¿en un correo?, ¿en el CRM?, ¿en una hoja de cálculo que se sincroniza sola?, ¿en la herramienta de mailing?, ¿en el chat? Si cae en tres lados distintos y ninguno es el oficial, no hay forma honesta de borrar nada cuando te lo pidan. Elegí uno, declarálo y cortá los otros.
Qué pide la ley: el artículo 14 quinquies obliga al responsable a reportar a la Agencia las vulneraciones de las medidas de seguridad —destrucción, filtración, pérdida, alteración o acceso no autorizado— por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista un riesgo razonable para los derechos de los titulares. Omitir esa comunicación está tipificado como infracción grave.
Cómo se ve bien hecho: una página de dos carillas que dice quién detecta, quién decide si hay que notificar, quién escribe la comunicación y a quién se le avisa. Escrita antes, no durante. Y del lado técnico, lo que hace que puedas enterarte: registros de acceso al panel, alertas de cambios, backups fuera del mismo servidor y contraseñas que no se comparten por WhatsApp.
Qué hacer esta semana: respondete una sola pregunta: si hoy alguien entra a tu panel de administración a las 3 de la mañana y se lleva la base de clientes, ¿cuánto tardarías en darte cuenta? Si la respuesta honesta es "cuando un cliente me avise", el problema no es la notificación: es que no tenés cómo verla. Ahí es donde empieza el trabajo.
Qué pide la ley: nada, explícitamente. Este punto no sale del texto legal: sale de doce meses de ver qué pasa después. La ley se cumple en el tiempo, y lo que no se puede editar, no se puede mantener al día.
Cómo se ve bien hecho: alguien de tu equipo puede cambiar el texto de la política de privacidad, agregar una finalidad nueva en un formulario o quitar una herramienta del listado un martes cualquiera, sin presupuesto y sin esperar a un programador. Suena menor. Es la diferencia entre cumplir el 1 de diciembre y seguir cumpliendo el 1 de junio siguiente.
Qué hacer esta semana: pedile a alguien de tu equipo que cambie una coma en la política de privacidad. Si la respuesta es "hay que pedírselo a la agencia" o "hay que ver quién tiene el acceso", ya sabés cuál va a ser el punto más caro de esta lista — y no es el de las cookies. Si además nadie sabe a nombre de quién está el dominio, empezá por ahí: lo explicamos en detalle en la página de mantenimiento para Chile.
Hay un detalle que conviene conocer antes de entrar en pánico y también antes de relajarse: la ley previó una gradualidad para las empresas más chicas. Durante los primeros doce meses de vigencia, la Agencia puede aplicar amonestación por escrito en lugar de multa a las empresas de menor tamaño según la Ley 20.416.
Es una buena noticia, y es más chica de lo que parece. Tres razones. Primero: es una facultad de la Agencia, no un derecho tuyo — puede aplicarla, no está obligada. Segundo: la amonestación queda registrada, así que no es un borrón y cuenta nueva, es un antecedente que después pesa. Y tercero, la más importante: no te protege del cliente. La multa es una de las consecuencias posibles; la otra es la persona que te reclama sus datos y no tenés cómo responderle, y esa no espera a diciembre de 2027.
Dicho de otra forma: no es un año más de plazo, es un año con menos multa. Y para una PYME chilena el riesgo real probablemente nunca haya sido el tramo alto de las sanciones —que existe, y escala fuerte según la gravedad— sino algo mucho más cotidiano: un correo de alguien pidiendo que lo borres de tu base, un competidor que denuncia, un cliente corporativo grande que en su proceso de compra te pide por escrito cómo tratás los datos de sus usuarios. Ese último caso, además, es el que más rápido se está volviendo un filtro comercial: si vendés B2B, esto va a aparecer en una licitación antes que en una fiscalización.
Confirmá con tu asesor legal el alcance exacto de la gradualidad y si tu empresa califica como empresa de menor tamaño: es una ley nueva y la implementación se sigue precisando.
Vas a ver ese número repetido en todas partes. El texto del artículo 14 quinquies no dice 72 horas: dice «por los medios más expeditos posibles y sin dilaciones indebidas». El plazo fijo viene del reglamento europeo, no de la ley chilena. Confirmalo con tu asesor legal — y a efectos prácticos da igual, porque el problema de casi todas las PYMEs no es reportar tarde: es no enterarse nunca.
Una política genérica describe una empresa que no es la tuya. Si dice que no compartís datos con terceros y tenés el píxel de Meta corriendo, escribiste tu propia contradicción y la publicaste. El documento es la última parte del trabajo, no la primera: primero el inventario del punto 01, después el texto que lo describe.
La mitad lo ve el abogado, sí. La otra mitad son casillas, banners, formularios y accesos, y ningún estudio jurídico va a entrar a editarte el sitio. El resultado típico es un informe impecable que queda esperando a que alguien lo implemente. Si contratás la parte legal, contratá al mismo tiempo a quien va a ejecutar la parte técnica — o el informe se vence solo.
Hay un caso donde los ocho puntos dejan de ser una tarde de trabajo y se vuelven un proyecto: los sitios en WordPress y WooCommerce armados sumando plugins a lo largo de los años. No es un problema de calidad del software — es un problema de arquitectura, y se ve clarísimo cuando lo mirás desde la ley.
En un armado así, los datos de tus visitantes no están en un lugar: están en cinco. El plugin de formularios guarda su propia tabla. El de newsletter tiene la suya y además sincroniza con un servicio externo. El chat vive en un tercero y almacena las conversaciones afuera. WooCommerce tiene sus clientes y sus pedidos. El de analítica manda todo a otro lado. Cada uno lo decidió su autor, no vos, y ninguno sabe que los otros existen.
Ahora leé de nuevo el punto 01 —hacer el inventario— y el punto 05 —eliminar los datos de alguien cuando lo pide, y poder demostrarlo. En un sitio autogestionado eso significa borrar en cinco lugares distintos, tres de ellos fuera de tu control, cada vez. Y el punto 06, el destino único, directamente no existe: el modelo mismo es "cada plugin se lleva una copia". El inventario que la ley te obliga a hacer es exactamente el inventario que este tipo de sitio nunca tuvo.
Y acá está el chiste amargo: la salida que casi todo el mundo elige es instalar un plugin de cookies y otro de consentimiento. O sea, resolver un problema causado por acumular plugins acumulando dos más, del mismo modelo, con las mismas actualizaciones que rompen cosas y el mismo autor que puede abandonarlo el año que viene. Funciona hasta que deja de funcionar, y esta vez lo que se rompe no es el checkout: es tu declaración de cómo tratás los datos de la gente. Si querés el diagnóstico completo de por qué pasa esto, lo escribimos acá: por qué mi WooCommerce se rompe.
En una plataforma operable el panorama cambia porque hay un solo dueño de la infraestructura. Shopify y Tiendanube traen la gestión de clientes, los pedidos, las cookies y las solicitudes de privacidad integradas en el mismo panel, se actualizan solas y no dependen de que quince autores distintos sigan manteniendo su parte. No te hacen cumplir la ley automáticamente —eso no lo hace ninguna plataforma, y quien te lo prometa te está vendiendo humo—, pero te dejan un solo lugar donde mirar en vez de cinco. Para una PYME, esa es la diferencia entre poder sostenerlo y no.
Si estás en ese caso, hay dos caminos honestos y los dos son válidos: migrar a una plataforma operable —lo hacemos para todo LATAM, con redirecciones 301 para no perder posicionamiento— o dejarlo donde está y ponerle un responsable con un plan de mantenimiento que se haga cargo de sostener esto todos los meses. Lo que no funciona es la tercera opción, que es la que elige casi todo el mundo: instalar el plugin y suponer que ya está.
Lo decimos de entrada para que nadie pierda tiempo: no redactamos tu política de privacidad como documento legal ni te decimos si cumplís. Eso es trabajo de tu abogado. Lo que hacemos es la parte que vive en el sitio, y la dejamos de forma que la puedas mantener vos. Somos un estudio de diseño digital con base en Montevideo que trabaja con empresas chilenas de Santiago, Valparaíso, Viña del Mar, Concepción y el norte.
Un tercer caso, que esta guía no cubre porque es otro trabajo: si lo tuyo no es un sitio sino un producto con usuarios que inician sesión —una app, un SaaS, una plataforma—, varios de estos puntos dejan de ser textos y pasan a ser funciones que hay que diseñar y construir: la pantalla de permisos, el bloqueo temporal de un usuario, la exportación de sus datos. Lo contamos en diseño UX/UI en Chile.
Para empresas chilenas que además necesitaban renovar la web.
desde USD 600
Si la web está bien y lo que falta es quién se haga cargo.
desde USD 150/mes
Sí. La Ley 21.719 aplica a cualquier organización que trate datos personales, sin umbral de tamaño ni de cantidad de registros. Un formulario que pide nombre, correo y teléfono es tratamiento de datos personales. Lo que sí cambia con el tamaño es la proporción del esfuerzo: para una empresa de cinco personas con un formulario, los ocho puntos de esta guía son una tarde de trabajo y una conversación con tu asesor, no un proyecto de compliance. Y durante los primeros doce meses de vigencia la Agencia puede aplicar amonestación escrita en lugar de multa a las empresas de menor tamaño según la Ley 20.416.
Depende de qué cookies uses. Las estrictamente necesarias para que el sitio funcione —sesión, carrito, seguridad— no requieren consentimiento previo. Las de analítica, publicidad y remarketing sí: son las que no pueden cargarse antes de que la persona diga que sí. Si tu sitio es puramente institucional y no tiene analítica ni píxeles de publicidad, puede que no necesites banner y te alcance con declarar las cookies técnicas en la política. Si tenés Google Analytics o el píxel de Meta —que es el caso de casi todos—, necesitás un mecanismo de consentimiento real, con rechazo tan accesible como la aceptación.
Como punto de partida para no arrancar de una hoja en blanco, sí. Como documento publicado, no: la política tiene que describir lo que vos hacés —tus formularios, tus finalidades, tus plazos de conservación, tus proveedores— y una plantilla describe a otra empresa. El riesgo no es teórico: si tu política dice que no compartís datos con terceros y tenés herramientas de analítica y publicidad corriendo, publicaste una declaración que se contradice con tu propio sitio. Lo correcto es hacer primero el inventario, y después redactar —o hacer redactar a tu asesor— el texto que lo describe.
Ese número aparece en muchísimo contenido sobre la ley, pero el texto del artículo 14 quinquies no fija un plazo en horas: obliga a reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» las vulneraciones que ocasionen destrucción, filtración, pérdida, alteración o acceso no autorizado, cuando exista un riesgo razonable para los derechos de los titulares. El plazo de 72 horas es el del reglamento europeo y se importó en la divulgación. Confirmá el punto con tu asesor legal. En la práctica, para una PYME el problema rara vez es reportar tarde: es no tener cómo enterarse de que pasó algo.
No, y desconfiá de quien te diga que sí. Ninguna plataforma te hace cumplir una ley: lo que te da son herramientas —gestión de clientes en un solo lugar, banner de cookies, exportación y eliminación de datos de un cliente, registro de consentimiento— que hacen que cumplir sea sostenible. Las decisiones siguen siendo tuyas: qué datos pedís, para qué, cuánto tiempo los guardás, qué apps de terceros instalaste y qué se llevan. La ventaja concreta frente a un sitio autogestionado es que tenés un solo panel donde mirar y borrar, en vez de cinco plugins que guardan cada uno su copia.
Es la situación normal de cualquier PYME y no es en sí un impedimento, pero sí tiene consecuencias concretas: esos proveedores son terceros que reciben datos de tus visitantes, así que tenés que poder nombrarlos, declararlos en tu política de privacidad e informar que hay transferencia internacional. Además, las cookies de analítica y publicidad quedan detrás del consentimiento del punto 04. La parte contractual con cada proveedor —los acuerdos de tratamiento de datos— es tema de tu asesor legal; la parte de la web —que no carguen antes de tiempo, que estén listados y que se puedan desactivar— es la que resolvemos nosotros.
No en todos los casos. La designación de un delegado de protección de datos se asocia a tratamientos a gran escala o sistemáticos de datos sensibles, y también a las organizaciones que adoptan voluntariamente un modelo de prevención de infracciones. Una PYME con un formulario de contacto y una lista de correo normalmente no está en ese supuesto — pero sí necesita algo más simple y no negociable: una persona identificada dentro del equipo que reciba y responda los pedidos sobre datos. Verificá tu caso concreto con tu asesor legal; lo que no puede pasar es que la respuesta a «¿quién ve esto acá?» sea nadie.
Buena parte, sí, y por eso escribimos esta guía con el «qué hacer esta semana» de cada punto. El inventario, revisar qué carga tu sitio antes del banner, probar tu propio canal de derechos y ordenar dónde caen los datos no requieren contratar a nadie: requieren un par de horas y decidir quién se hace cargo. Donde suele hacer falta ayuda es en dos lugares: el texto legal, que lo ve un abogado, y los cambios sobre el sitio cuando la web no la podés editar. Si después de leer esto te queda claro qué te falta y lo resolvés solo, para nosotros el artículo cumplió su función.
El texto de la ley está publicado en la Biblioteca del Congreso Nacional. Para escribir esta guía contrastamos además material de divulgación de fuentes independientes que coinciden en la fecha de vigencia, el alcance y el organismo fiscalizador, entre ellas Prey y Asentic. Para el sector público existe además una guía práctica de la Secretaría de Gobierno Digital que sirve como referencia de criterio aunque no te aplique directamente.
Bioma es un estudio de diseño digital, no un estudio jurídico. Esta página es material informativo sobre la parte técnica y operativa de un sitio web; no constituye asesoría legal y no reemplaza la opinión de un abogado. Los plazos, el alcance y la calificación de tu empresa confirmalos con quien te asesora. Última actualización: 3 de agosto de 2026 — si aparece reglamentación nueva o cambia el plazo, actualizamos esta página.
Mandanos la dirección de tu sitio y te devolvemos la revisión de los ocho puntos: qué está, qué falta y qué se resuelve sin contratar a nadie. Si te alcanza con hacerlo vos, te lo decimos igual.
Pedir la revisión