Ley de protección de datos personales: guía de la Ley 21.719

La Ley 21.719 es la ley chilena de protección de datos personales: modifica a fondo la Ley 19.628 de 1999 (no la reemplaza), crea la Agencia de Protección de Datos Personales y fija multas de hasta 20.000 UTM. Aplica a toda empresa con datos de personas. Su fecha legal de vigencia es el 1 de diciembre de 2026, y desde septiembre de 2026 hay en el Senado un proyecto para postergarla.

Si tienes una empresa en Chile, guardas datos de personas. El correo de un cliente, el teléfono de alguien que llenó un formulario, la planilla con la cartera del vendedor que se fue el año pasado. Nada de eso es nuevo. Lo nuevo es que hay una ley que regula qué puedes hacer con esa información, un organismo con facultades para fiscalizarte y multas que llegan a montos que ninguna empresa quiere pagar. La mayoría de las empresas con las que conversamos se enteró de esto de refilón, asumió que era un tema de bancos y lo dejó ahí.

No es un tema de bancos. Esta guía explica, en castellano y sin rodeos, qué dice la Ley 21.719, a quién le aplica, en qué está la postergación y cómo hacer la adecuación en tu empresa.

Antes de partir: esto es una guía orientativa escrita desde la operación, no asesoría legal. Sirve para que entiendas el terreno y sepas qué preguntar. Las definiciones que dependen de tu caso concreto (si te conviene designar un delegado, qué base legal aplica a cada una de tus bases de datos, cómo redactar tus cláusulas) las tiene que resolver un abogado. Nosotros trabajamos estos proyectos junto a MM Abogados, que se hace cargo de esa parte.

La Ley 21.719 en 10 puntos

1. Modifica la Ley 19.628, vigente desde 1999, y le cambia el nombre a «ley sobre protección de los datos personales». No la deroga: la reescribe casi entera.
2. Se publicó el 13 de diciembre de 2024 y su fecha legal de vigencia es el 1 de diciembre de 2026.
3. Hay un proyecto para postergarla (boletín 18.623-07). Mientras no se apruebe y publique, la fecha que vale es la del punto anterior.
4. Le aplica a casi toda empresa: basta con tener clientes, prospectos, trabajadores o un formulario en la web. No hay un umbral de tamaño.
5. Crea la Agencia de Protección de Datos Personales, que recibe reclamos, fiscaliza y sanciona.
6. Todo tratamiento necesita una base legal: consentimiento, contrato, obligación legal, interés legítimo u otra que la ley reconozca.
7. El consentimiento tiene que ser libre, informado, específico e inequívoco, y la empresa tiene que poder demostrarlo.
8. Las personas pueden pedir acceso, rectificación, supresión, oposición y portabilidad de sus datos, y la empresa tiene 30 días corridos para responder.
9. Las filtraciones se reportan a la Agencia sin dilaciones indebidas cuando hay riesgo para las personas.
10. Las multas tienen topes de 5.000, 10.000 y 20.000 UTM por infracción según la gravedad, y durante el primer año la Agencia podrá aplicar a las empresas de menor tamaño una amonestación escrita en vez de multa.

Qué es la Ley 21.719 y de dónde viene

Chile tenía una ley de protección de datos desde 1999: la Ley 19.628. Decía cosas razonables, pero tenía un problema de diseño que la volvió decorativa. No creó ningún organismo encargado de hacerla cumplir, y la única vía que le quedaba a una persona afectada era iniciar un juicio por su cuenta. Costaba plata, tiempo y abogado. Casi nadie lo hacía, así que en la práctica incumplir no tenía consecuencias.

La Ley 21.719 corrige exactamente eso, y lo hace modificando la 19.628, no reemplazándola: el número de la ley vieja sigue vivo, con un texto casi nuevo. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y su cambio de fondo no está en las obligaciones (varias ya existían), sino en que ahora hay quién vigila y cuánto cuesta incumplir.

Los tres cambios estructurales:

1. Crea la Agencia de Protección de Datos Personales, con facultades para investigar, instruir procedimientos y sancionar.
2. Establece un procedimiento administrativo: la persona reclama ante la Agencia en vez de demandar en tribunales. Baja tanto el costo de reclamar que la cantidad de reclamos va a subir.
3. Fija multas concretas, con topes que llegan a 20.000 UTM.

A eso se suma que moderniza el marco completo: incorpora las bases de licitud, amplía los derechos de las personas, obliga a documentar los tratamientos y regula qué hacer cuando hay una filtración.

¿Cuándo entra en vigencia la Ley 21.719?

La fecha legal es el 1 de diciembre de 2026. La propia ley dice que sus cambios rigen «el día primero del mes vigésimo cuarto posterior a la publicación» en el Diario Oficial, y se publicó el 13 de diciembre de 2024. Ese plazo de casi dos años era para que empresas y organismos públicos se adecuaran.

Vale la pena entender qué significa esa fecha en la práctica. No es que ese día empiece una fiscalización masiva. Significa que desde entonces las obligaciones son exigibles: si alguien reclama por algo ocurrido después, hay dónde reclamarlo y hay con qué sancionarlo.

También significa que la evidencia que puedas mostrar tiene fecha. Un inventario de tus tratamientos armado antes de la vigencia vale más que uno improvisado después, porque demuestra que te preparaste y no que reaccionaste.

¿Se posterga la Ley 21.719?

Todavía no hay nada decidido. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (boletín 18.623-07) que propone mover la vigencia al 1 de diciembre de 2027. Al 15 de octubre de 2026 sigue en primer trámite, en la Comisión de Constitución del Senado, con urgencia «suma» y sin votaciones, según la ficha de tramitación del Senado. Según informó Pauta el 2 de octubre, algunos senadores proponen una prórroga más corta, de seis meses, o que unas disposiciones rijan antes que otras.

Cómo leerlo, sin alarmismo y sin promesas:

• Mientras el proyecto no se apruebe y se publique, la fecha que vale es el 1 de diciembre de 2026.
• Si se aprueba tal como está, todas las obligaciones nuevas pasarían a regir el 1 de diciembre de 2027, con el mismo contenido, y mientras tanto seguiría rigiendo la Ley 19.628 original, que ya exige autorización para tratar datos. Si se aprueba una prórroga más corta o por etapas, parte de ellas podría regir antes.
• En cualquier escenario, el trabajo de adecuación es el mismo: inventario, bases legales, consentimientos, contratos con proveedores y un canal para atender solicitudes. Lo único que cambia es cuánto margen tienes.

Antes de tomar una decisión que dependa de la fecha, revisa la ficha del Senado: el escenario puede haber cambiado desde que se escribió esto.

Qué cuenta como dato personal

Cualquier información que permita identificar a una persona natural, directa o indirectamente. La definición es más amplia de lo que la mayoría supone.

Lo evidente: nombre, RUT, correo, teléfono, dirección, fecha de nacimiento.

Lo que también entra y casi nadie considera:

• La patente de un vehículo asociada a su dueño.
• Una fotografía en la que se reconoce a alguien.
• La grabación de una llamada de servicio al cliente.
• El identificador que tu sitio web le asigna a un visitante para hacer remarketing.
• La dirección IP desde la que alguien navega.
• El historial de compras de un cliente en tu tienda.
• La ubicación que registra la aplicación de reparto de tu empresa.

Es decir: buena parte de lo que hoy tu empresa recolecta sin pensarlo dos veces.

Los datos sensibles y por qué importan más

Hay una segunda categoría con reglas bastante más estrictas: los datos sensibles. Son los que se refieren a características o situaciones de la esfera íntima de una persona, y su tratamiento indebido puede derivar en discriminación.

Entran acá el estado de salud, el perfil biológico o genético, los datos biométricos (huella, reconocimiento facial), el origen étnico, las creencias religiosas, la afiliación sindical o política, la vida sexual y la situación socioeconómica.

La regla general es que tratar datos sensibles requiere consentimiento expreso del titular, salvo excepciones acotadas que define la ley. Y las infracciones que los involucran caen en las categorías más graves.

Si trabajas en salud, educación, servicios financieros, seguros o recursos humanos, es muy probable que trates datos sensibles sin haberlo pensado en esos términos. Una ficha de postulante con una declaración de salud es un dato sensible. Un formulario de una clínica también.

A quién le aplica

A ti, con casi total seguridad. No hay un umbral de tamaño que te deje afuera. Si tu empresa hace alguna de estas cosas, está tratando datos personales:

• Tiene un formulario de contacto, cotización o suscripción en su sitio.
• Guarda una base de clientes o de prospectos, aunque sea una planilla.
• Envía correos comerciales o mensajes de WhatsApp a una lista.
• Usa píxeles de Meta o Google para hacer remarketing.
• Tiene un CRM.
• Registra a sus trabajadores, que también son personas con datos.
• Graba llamadas o tiene cámaras que registran personas identificables.

La ley sí considera el tamaño y la capacidad económica de la empresa al momento de determinar una sanción, y aplica un criterio de proporcionalidad: a una empresa de diez personas no se le va a exigir la misma estructura documental que a un banco. Pero las obligaciones de fondo (tener un fundamento legal para tratar los datos, informar con claridad y responder cuando alguien ejerce sus derechos) son las mismas para todos.

Los tres roles que define la ley

Esta parte parece burocrática y es la que más ordena la conversación interna. La ley distingue tres papeles:

El titular es la persona a quien pertenecen los datos. Tu cliente, tu prospecto, tu trabajador. Es quien tiene los derechos.

El responsable es quien decide para qué y cómo se tratan los datos. Es tu empresa. Aunque el dato lo procese físicamente otro, si tú decides qué se hace con él, la responsabilidad es tuya.

El encargado es quien trata datos por cuenta del responsable. Tu CRM, tu proveedor de hosting, la plataforma de correos, tu agencia de marketing, el estudio contable que procesa tus remuneraciones.

La consecuencia práctica es la que suele sorprender: tú respondes por lo que hagan tus encargados. Si tu proveedor de correos filtra tu base, el problema no es solo de él. Por eso la ley exige que la relación con cada encargado esté regulada por escrito, con instrucciones claras sobre qué puede y qué no puede hacer con los datos.

Haz el ejercicio de listar todos tus encargados. En una empresa mediana suelen ser entre ocho y quince, y en general no hay contrato con ninguno que diga algo sobre datos personales.

Por qué puedes tratar datos: las bases de licitud

Este es el concepto central de la ley y el que más cambia la forma de trabajar. Todo tratamiento de datos necesita una razón legal que lo justifique. No puedes guardar datos "por si acaso".

La ley reconoce varias bases. Las que más van a usar las empresas:

El consentimiento del titular. La persona autorizó ese tratamiento específico. Es la más conocida y la más frágil, porque se puede revocar y porque hay que poder demostrarla.

La ejecución de un contrato. Necesitas los datos para cumplir lo que acordaste con esa persona. Si alguien te compró, necesitas su dirección para despachar: no hace falta pedirle permiso aparte para eso.

El cumplimiento de una obligación legal. Debes conservar ciertos datos porque otra ley te lo exige, típicamente en materia tributaria o laboral. Esta base es la que te permite negarte, con fundamento, cuando alguien pide que borres todo.

El interés legítimo del responsable o de un tercero. Es la más flexible y la que exige más cuidado: hay que poder acreditar que ese interés no pasa por encima de los derechos de la persona. Requiere análisis caso a caso, no es un comodín.

La defensa de un derecho ante los tribunales o un órgano público, por ejemplo conservar los antecedentes de un cliente para un juicio o un reclamo.

Hay una base más, para datos de obligaciones económicas, financieras o comerciales (la información de deudas), con reglas propias. Y solo para datos sensibles, la ley permite tratarlos sin consentimiento cuando es indispensable para salvaguardar la vida o la integridad de una persona.

El ejercicio que hay que hacer no es elegir una base para toda la empresa, sino asignarle una base a cada tratamiento. Guardar los datos de un cliente para facturarle tiene una base; mandarle publicidad de otro producto tiene otra distinta. Mezclarlas es el error más común y el más caro de deshacer.

Qué hace válido a un consentimiento

Cuando la base que usas es el consentimiento, la ley exige que sea libre, informado, específico e inequívoco.

Libre significa que la persona no fue presionada para darlo. La ley presume que no fue libre si lo pides dentro de un contrato o servicio que no necesita esos datos, por ejemplo condicionar una compra a aceptar publicidad. Hay una excepción: si ofreces algo cuya única contraprestación es el consentimiento (una guía descargable a cambio de recibir tus correos), es válido, siempre que la persona sepa exactamente a qué dice que sí.

Informado significa que antes de aceptar supo qué datos entrega, para qué se usarán y quién los tratará. Un enlace a un documento de cuatro mil palabras cumple mal esta condición: el resumen tiene que estar a la vista.

Específico significa una finalidad, un consentimiento. Responder una cotización y recibir newsletter son cosas distintas y necesitan aceptaciones distintas.

Inequívoco significa que hubo una acción positiva. Marcar una casilla vacía es acción; que venga marcada de fábrica no lo es. El silencio no es un sí.

Y hay una quinta condición que no está en la lista pero define todo: tienes que poder demostrarlo. Acá se cae la enorme mayoría de las empresas. El formulario pidió el consentimiento, la persona lo dio, y esa información no quedó guardada en ninguna parte: al CRM entró el nombre, el correo y el teléfono, y el consentimiento se evaporó en el camino.

Un registro que sirve guarda, junto al contacto, la fecha y hora exacta, el texto específico que aceptó en la versión vigente ese día, el origen (qué formulario, en qué página) y, si después revocó, cuándo lo hizo.

Los cinco derechos de las personas

Se conocen por la sigla ARCOP y son ejercibles ante cualquier empresa que trate datos, de forma gratuita (acceso y portabilidad, al menos una vez por trimestre). La ley agrega además el bloqueo temporal del tratamiento mientras se resuelve una solicitud.

Acceso. Puede pedirte que le digas qué datos suyos tienes, de dónde salieron, para qué los usas y con quién los compartes.

Rectificación. Si un dato está equivocado o incompleto, puede exigir que lo corrijas.

Cancelación (la ley la llama supresión). Puede pedir que elimines sus datos. No es absoluto: si tienes una obligación legal de conservarlos, esa obligación prima. Pero tienes que poder explicar por qué conservas lo que conservas.

Oposición. Puede exigir que dejes de usar sus datos para ciertas finalidades, típicamente marketing, aunque siga siendo tu cliente.

Portabilidad. Puede pedirte sus datos en un formato estructurado para llevárselos a otro proveedor. Es el más nuevo y el que menos empresas tienen resuelto.

La prueba de fuego es simple. Imagina que mañana llega un correo que dice "solicito que eliminen todos mis datos personales de sus sistemas". ¿Quién lo recibe? ¿En cuántos lugares habría que buscar? ¿Quién confirma que se hizo? ¿En qué plazo?

En la mayoría de las empresas ese correo se queda sin dueño: alguien lo reenvía, alguien más dice que lo va a ver, y ahí muere. Con la ley vigente eso deja de ser un descuido y pasa a ser una infracción: el artículo 11 da 30 días corridos para responder por escrito, prorrogables una sola vez por otros 30, y obliga a guardar el respaldo de la respuesta.

Las obligaciones concretas de tu empresa

Más allá de los principios, esto es lo que hay que tener:

Un registro de actividades de tratamiento. El documento que describe qué datos tratas, con qué finalidad, bajo qué base legal, por cuánto tiempo los conservas y con quién los compartes. La ley no lo exige con ese nombre, pero sí te obliga a publicar esa información y a acreditar la licitud de cada tratamiento, y eso no se puede hacer sin un inventario así. En la práctica es un inventario, y al levantarlo aparecen siempre las mismas sorpresas: planillas con datos de clientes en el Drive de alguien que ya no trabaja ahí, respaldos de hace cinco años, bases de origen desconocido.

Información clara al titular. Tu política de privacidad tiene que describir lo que realmente haces, no lo que copiaste de otro sitio. Si el documento declara que pides consentimiento antes de instalar cookies y tu sitio dispara los píxeles al cargar, acabas de dejar por escrito tu propio incumplimiento.

Medidas de seguridad proporcionales al riesgo. Control de accesos por rol, cifrado donde corresponda, respaldos, registro de quién accede a qué. La ley no impone una tecnología: impone un resultado razonable según el riesgo.

Contratos con tus encargados. Cada tercero que trata datos por cuenta tuya necesita un acuerdo por escrito que regule qué puede hacer.

Un procedimiento para atender solicitudes. Con un canal visible, un responsable con nombre y un registro de lo que se pidió y cómo se resolvió.

Evaluación de impacto antes de empezar un tratamiento de alto riesgo, por ejemplo perfiles o decisiones automatizadas que produzcan efectos jurídicos significativos, o tratamiento masivo de datos. Omitirla cuando corresponde es una infracción gravísima. El delegado de protección de datos, en cambio, es voluntario: el artículo 50 dice que la empresa «podrá designar» uno, y en las micro, pequeñas y medianas empresas el dueño puede asumir esa tarea.

Qué pasa si se filtran tus datos

La ley obliga a reportar las brechas de seguridad a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» cuando hay un riesgo razonable para las personas (artículo 14 sexies). Si la filtración toca datos sensibles, datos de niños menores de 14 años o datos financieros o comerciales, también hay que avisar a los afectados. Bajo la ley anterior esto simplemente no estaba regulado, y la práctica habitual era guardar silencio y esperar que no se notara.

Cuando ocurre una filtración, el problema rara vez es técnico: es de reloj. Pasan días antes de que alguien decida que hay que informar, y para entonces el incumplimiento del plazo ya se sumó al incidente original.

Lo que hay que tener listo antes de que pase: cómo se detecta, quién lo evalúa, quién decide, a quién se notifica y en qué plazo. Escrito y probado, no improvisado.

La Agencia y las sanciones

La Agencia de Protección de Datos Personales es el organismo nuevo. Recibe reclamos, fiscaliza, instruye procedimientos y aplica sanciones. También dicta instrucciones generales, así que conviene seguir lo que publique.

Las infracciones se clasifican en tres niveles (artículos 34 bis a 35 de la ley):

Nivel	Tope	Equivale a (UTM de octubre 2026)	Ejemplos
Leves	amonestación escrita o hasta 5.000 UTM	hasta unos $361 millones	No cumplir el deber de información, no responder una solicitud o responderla fuera de plazo
Graves	hasta 10.000 UTM	hasta unos $722 millones	Tratar datos sin consentimiento ni otra base legal, impedir el ejercicio de los derechos, no cumplir las obligaciones de seguridad, no reportar una brecha
Gravísimas	hasta 20.000 UTM	hasta unos $1.443 millones	Tratamiento fraudulento, tratar datos sensibles a sabiendas fuera de la ley, ocultar deliberadamente una brecha

Los montos en pesos usan la UTM de octubre de 2026, $72.151 según el SII, y cambian cada mes.

Esos son los topes por infracción. Si no corriges lo que la Agencia ordena dentro de 60 días, la multa sube 50 %. Si reincides (dos o más sanciones en los últimos 30 meses), puede llegar al triple. Y una empresa que no es de menor tamaño y reincide en una infracción grave o gravísima puede recibir hasta el 2 % o el 4 % de sus ingresos anuales por ventas, respectivamente (artículo 35). Los montos exactos los determina la Agencia con los criterios del artículo 37: la gravedad de la conducta, el perjuicio causado, el beneficio obtenido, si había datos sensibles o de niños, la capacidad económica de la empresa y las atenuantes, como tener un modelo de prevención. Y durante los primeros doce meses de vigencia, a las empresas de menor tamaño la Agencia podrá aplicarles una amonestación escrita en vez de multa: es una facultad de la Agencia, no un derecho de la empresa. El proyecto de postergación propone además extender esa posibilidad a todas las empresas; mientras no se apruebe, rige solo para las de menor tamaño.

Pero la sanción que debería preocuparte no es la multa. Junto a ellas, la ley contempla una sanción accesoria: la suspensión de las operaciones de tratamiento. No procede ante cualquier infracción: solo cuando a la empresa se le imponen multas por infracciones gravísimas reiteradas en un período de 24 meses, y por hasta 30 días, prorrogables mientras no corrija. Traducido: en el peor caso, te pueden ordenar dejar de usar tus datos personales por un mes. La suspensión puede ser total o parcial y no afecta el almacenamiento: los datos se conservan, pero no se pueden usar.

Piensa qué significa eso para una empresa que vende. Sin base de datos no hay campañas de correo. Sin poder tratar datos no hay remarketing, no hay segmentación, no hay CRM operativo. Tu equipo comercial se queda mirando una pantalla que no puede usar. Para una empresa cuyo motor comercial es digital, un mes de suspensión cuesta bastante más que una multa leve.

Hay una contrapartida importante: la ley premia a quien se preparó. Contar con un modelo de prevención de infracciones certificado por la Agencia permite atenuar la responsabilidad. Y aunque no llegues a certificarlo, reparar el daño, colaborar con la investigación y autodenunciarte también son atenuantes (artículo 36). Si te equivocas pero puedes demostrar que tenías procedimientos, que capacitaste a tu gente y que reaccionaste rápido, tu situación es distinta a la de quien nunca hizo nada.

Plan de adecuación a la Ley 21.719, paso a paso

Este es el orden que funciona. El error de proceso más común es partir por el final: redactar la política de privacidad primero. Como el documento es lo barato y rápido, y el trabajo real es lo que viene después, "después" suele significar nunca.

Fase 1: Levantar el inventario (2 a 3 semanas). Antes de escribir nada, saber qué tienes. Todos los puntos donde tu empresa captura datos: formularios, WhatsApp, teléfono, presencial, ferias. Todos los lugares donde los guarda: CRM, planillas, correo, sistemas internos, respaldos. Todos los terceros que los tocan. Y de cada base, el origen y el volumen.

Fase 2: Clasificar y decidir (1 a 2 semanas). Con el mapa sobre la mesa, asignar a cada tratamiento su base legal y su plazo de conservación. Acá aparece la conversación incómoda sobre las bases de datos que no tienen respaldo, y hay que enfrentarla ahora y no cuando llegue el primer reclamo.

Fase 3: Documentación legal (en paralelo). Con el inventario listo, el abogado puede redactar los documentos: la política de privacidad real y los contratos de encargo con tus proveedores, que la ley sí exige; las cláusulas de consentimiento por finalidad, y el registro de tratamientos que te permite acreditar la licitud.

Fase 4: Implementación técnica (3 a 6 semanas). Es la parte que toma más tiempo y la que casi nadie presupuesta. Banner de consentimiento que efectivamente bloquee, propagación de la decisión a Google y Meta, formularios que registren evidencia, política de retención aplicada en el CRM, permisos por rol.

Fase 5: Procedimientos y personas. El canal para recibir solicitudes, el responsable a cargo, el protocolo de brechas y la capacitación del equipo que toca datos todos los días.

Sumadas, las fases toman entre dos y tres meses en una empresa mediana. Si el margen que te queda es menor, no saltes al documento: haz el inventario y prioriza lo que más expone (formularios, bases sin origen y el canal de solicitudes). Llegar con la documentación lista y la implementación a medias es exactamente la combinación que deja por escrito lo que no se cumple.

Los errores más comunes

Creer que basta con actualizar la política de privacidad. Es la declaración de lo que haces, no un escudo. Si el sitio hace otra cosa, el documento juega en tu contra.

Copiar la política de otra empresa. Describe una empresa que no eres tú, y deja documentadas prácticas que no aplicas.

Partir por el documento en vez del inventario. Sin saber qué datos tienes, cualquier texto que firmes es ficción.

Asumir que comprar una base te da derecho a usarla. La responsabilidad de tener un fundamento legal es de quien trata los datos, no de quien los vendió.

Dejar el consentimiento en el formulario y no llevarlo al CRM. Técnicamente es un problema de integración; legalmente es no poder probar nada.

Nombrar un responsable sin darle tiempo ni autoridad. Peor que no nombrar a nadie: crea un responsable formal sin capacidad real.

Pensar que como llevamos más de 25 años así, no va a pasar nada. Es cierto que no pasó nada, y es exactamente por eso que la ley cambió: durante más de 25 años no hubo quién revisara.

Preguntas frecuentes

¿La Ley 21.719 le aplica a una pyme?

Sí. No hay umbral de tamaño. Lo que cambia es la proporcionalidad de lo que se te exige y cómo se gradúa una eventual multa, no si estás obligado. Durante el primer año de vigencia, además, la Agencia podrá aplicar a las empresas de menor tamaño una amonestación escrita en vez de multa. El proyecto de postergación propone extender esa posibilidad a todas las empresas.

¿Qué hago con la base de contactos que ya tengo?

Segmentarla. Los que tienen origen documentado se quedan. Con los que tienen relación real pero sin respaldo, una campaña de re-consentimiento. Los comprados o extraídos sin ninguna interacción, lo más sano es depurarlos. Duele menos que sostener una base que no puedes usar.

¿Pedir consentimiento me va a arruinar la medición de las campañas?

Es la preocupación más frecuente y tiene solución técnica. El modo de consentimiento de Google y la medición del lado del servidor permiten conservar buena parte de la señal respetando la decisión del usuario. Bien implementado, la pérdida está lejos del desastre que la gente imagina. Y dejas de optimizar sobre datos que no deberías tener.

¿Necesito un Delegado de Protección de Datos?

No es obligatorio: el artículo 50 de la Ley 21.719 dice que la empresa «podrá designar» un delegado, y en las micro, pequeñas y medianas empresas el dueño puede asumir esa tarea. Aunque sea voluntario, conviene que alguien con nombre y apellido sea dueño del tema: si nadie lo es, no se hace.

¿La Ley 21.719 reemplaza a la Ley 19.628?

No. La 21.719 modifica la 19.628: no la deroga ni la reemplaza, pero reescribe casi todo el marco que regía desde 1999 y le cambia el nombre. Si tu empresa se guiaba por la 19.628, la ley sigue siendo la misma en número y el estándar que tienes que cumplir sube.

¿Hasta cuándo se podría postergar la Ley 21.719?

Hay un proyecto del Gobierno (boletín 18.623-07) que propone mover la vigencia al 1 de diciembre de 2027, y en el Senado se han planteado plazos más cortos. A mediados de octubre de 2026 seguía en primer trámite, sin votaciones. Mientras no se apruebe y publique, la fecha legal es el 1 de diciembre de 2026, y el trabajo de adecuación es el mismo con cualquier fecha.

¿Por dónde empiezo si tengo poco tiempo?

Por el inventario. Es lo que hace posible todo lo demás y lo único que no puede hacer nadie por ti sin entrar a tu operación.

Guías por tema

Cada parte de esta guía tiene un artículo corto aparte, para quien necesita resolver una sola cosa esta semana:

• Ley de datos personales diciembre 2026: qué hacer
• Qué son los datos personales: ejemplos según la ley chilena
• Agencia de Protección de Datos Personales: qué fiscaliza
• Ley 19.628 y Ley 21.719: qué cambia para tu empresa
• Multas de la Ley 21.719: cuánto te puede costar no cumplir
• Cómo hacer una política de privacidad que cumpla la ley
• Qué es un consentimiento válido según la nueva ley de datos
• Derechos ARCOP: qué te puede exigir un cliente sobre sus datos
• ¿Tu empresa necesita un Delegado de Protección de Datos?
• Cookies y píxeles: cómo dejar tu web en regla
• Compraste una base de datos: qué hacer con ella

En resumen

La Ley 21.719 no prohíbe hacer marketing, tener un CRM ni construir una base de clientes. Lo que exige es que sepas por qué tienes cada dato, que la persona lo sepa también y que puedas demostrarlo si te preguntan.

Buena parte de lo que hay que hacer para cumplir es lo que conviene hacer igual. Una empresa que sabe qué datos tiene, de dónde salieron y quién los toca, toma mejores decisiones comerciales que una que no. El desorden de datos ya te estaba costando plata antes de la ley; la ley solo le puso fecha de vencimiento.

Si quieres ver cómo abordamos esto en concreto, acá está el detalle del servicio de adecuación: primero el diagnóstico de exposición, después los documentos legales con MM Abogados y al final la implementación técnica en web, medición y CRM. Y si prefieres partir por una conversación, la revisión de 45 minutos es gratis.