Ley 21.719 de Protección de Datos Personales: qué es, en qué estado está y por qué deberías actuar hoy
¿Qué es la Ley 21.719 de Protección de Datos Personales y a quién afecta?
Si tu negocio o tu sitio guarda nombres, correos, RUT o teléfonos de tus clientes —y casi cualquier sitio lo hace— hay una ley que ya te involucra. Se llama Ley 21.719, moderniza por completo la protección de datos personales en Chile, y tiene una fecha clave que conviene tener marcada: 1 de diciembre de 2026.
En este artículo te explicamos, sin tecnicismos innecesarios pero sin dejar nada importante afuera, en qué consiste esta ley, en qué punto exacto está hoy, qué te exige y por qué el momento de prepararse es ahora y no a fines de 2026.
En qué estado está la ley hoy
Esta es la parte que más confusión genera, así que vamos directo al grano.
La Ley 21.719 de Protección de Datos Personales ya está promulgada y publicada. Se publicó en el Diario Oficial el 13 de diciembre de 2024. Es decir: no es un proyecto, no es una propuesta en discusión. Es ley vigente del ordenamiento chileno.
Lo que aún no ocurre es su entrada en vigencia plena, fijada para el 1 de diciembre de 2026. Entre la publicación y esa fecha hay un período de transición de 24 meses, pensado para que las organizaciones tengan tiempo de adecuar sus procesos, sistemas y políticas antes de que la fiscalización y las multas entren en juego.
Conviene no confundir estos dos conceptos:
- Promulgada (ya ocurrió): la ley existe y es derecho vigente.
- Entrada en vigencia plena (1 de diciembre de 2026): desde esa fecha la autoridad puede fiscalizar y sancionar con todo el peso de la norma.
Y un dato importante que mucha gente pasa por alto: la Agencia de Protección de Datos Personales ya está operativa con funcionamiento adelantado. Aunque su potestad sancionatoria plena se ejerce desde diciembre de 2026, la institución ya existe, ya está dictando criterios y construyendo capacidades. No es un organismo del futuro: es una realidad presente.
Una nota honesta sobre los detalles
Hay que decirlo con transparencia: de aquí a diciembre de 2026 todavía pueden publicarse reglamentos y ajustes que precisen el detalle de varias obligaciones. La ley fija el marco; los reglamentos afinan el «cómo». Por eso, cualquier preparación seria debe contemplar que algunos detalles operativos pueden refinarse en el camino. Lo que no cambiará es el fondo: la dirección está tomada y la fecha está fijada.
Qué cambia respecto a la ley anterior
La Ley 21.719 reforma la antigua Ley 19.628, que regía desde 1999 y que, en la práctica, tenía sanciones tan bajas y una fiscalización tan limitada que casi nadie la tomaba en serio. La diferencia de fondo es esa: se pasa de una ley declarativa a una ley con dientes.
Los cambios más relevantes para tu sitio web son tres:
1. Hay una autoridad que fiscaliza. Nace la Agencia de Protección de Datos Personales, con facultades reales para investigar de oficio, exigir información, ordenar medidas correctivas, suspender tratamientos y sancionar.
2. Las multas son altas. El tramo más severo llega a 20.000 UTM —del orden de 1.400 millones de pesos a valores de 2026— y en casos de reincidencia puede escalar hasta un porcentaje de los ingresos anuales de la empresa. Ya no es una cifra que se ignora.
3. Las personas tienen nuevos derechos. Tus clientes y/o visitantes del sitio podrán exigirte que les muestres qué datos tienes de ellos, que los corrijas, que los elimines, que dejes de usarlos para ciertos fines, o que se los entregues en un formato portable. Y tú estarás obligado a responder en plazos acotados.
Los derechos de las personas: lo que tendrás que poder responder
La ley sistematiza los llamados derechos ARCO, más algunos adicionales. En la práctica, significa que cualquier persona podrá pedirte:
- Acceso: saber qué datos suyos tienes y cómo los usas.
- Rectificación: que corrijas información equivocada o desactualizada.
- Supresión: que elimines sus datos cuando ya no exista una razón legítima para conservarlos.
- Oposición: negarse a que sus datos se usen para ciertos fines, como publicidad.
- Portabilidad: recibir sus datos en un formato estándar para llevarlos a otra organización.
- Bloqueo: solicitar la suspensión temporal del tratamiento mientras se resuelve alguna de las solicitudes anteriores.
Lo importante aquí no es solo reconocer estos derechos, sino tener un proceso real y documentado para atenderlos dentro de los plazos legales. Una solicitud que llega por correo y nadie sabe cómo procesar es exactamente el tipo de situación que la nueva Agencia mirará con lupa.
A quién le aplica (probablemente, a ti)
Una idea que conviene desterrar: «esto es para las grandes empresas» o «esto solo afecta a tiendas o e-commerce». No es así. La Ley 21.719 de Protección de Datos Personales aplica a toda organización que trate datos personales en Chile, sin importar su tamaño: tiendas online, pymes, fundaciones, profesionales independientes con cartera de clientes, cualquiera con una base de datos.
Existe una consideración para las empresas más pequeñas: durante el primer año de vigencia (diciembre 2026 a diciembre 2027), las que califican como pequeñas empresas bajo la Ley 20.416 recibirían, en una primera infracción, una amonestación escrita en lugar de una multa. Es un respiro para adaptarse, no una exención. La obligación de cumplir existe igual.
Lo que la ley realmente fiscaliza: evidencia, no buenas intenciones
Este es quizás el punto más subestimado, y vale la pena detenerse en él.
La nueva normativa no se conforma con que tengas una política de privacidad bonita colgada en tu sitio. Lo que la Agencia evaluará es evidencia operativa: registros de tratamiento, trazabilidad de qué se hizo con cada dato, logs de quién accedió o eliminó información, constancia de cómo y cuándo atendiste cada solicitud de un titular.
Dicho de otro modo: el cumplimiento se demuestra con hechos registrados, no con declaraciones de buena voluntad. Esto cambia por completo la forma de prepararse, porque obliga a pensar en sistemas, registros y procesos, no solo en documentos legales.
Qué estamos haciendo en NaturalWeb
En NaturalWeb llevamos meses trabajando de forma seria y anticipada en torno a esta ley, porque entendimos temprano que no se trata de un trámite de último minuto, sino de una transformación que afecta la manera en que nuestros clientes gestionan la información de sus usuarios.
Nuestro trabajo ha incluido:
Investigación a fondo de la ley. Hemos estudiado el texto oficial completo de la Ley 21.719 —no resúmenes de terceros— para entender con precisión qué exige, qué plazos establece y cómo se traduce cada obligación en acciones concretas dentro de un sitio web y su ecosistema de datos.
Preparación técnica. Hemos desarrollado y probado soluciones que permiten a un sitio responder a los derechos de los titulares de forma ordenada y documentada: recibir solicitudes, verificar identidad, dejar registro de cada gestión y generar la evidencia que la Agencia podría requerir.
Levantamiento y soporte de nuestra cartera. Estamos acompañando proactivamente a los clientes de nuestra cartera para diagnosticar el estado de cada sitio y su entorno, identificar brechas y priorizar lo que cada uno necesita para llegar preparado a diciembre de 2026. Cada negocio es distinto, y por eso el enfoque es caso a caso.
Si recibiste nuestro correo de consulta sobre el estado actual de tu sitio, esta es justamente la razón: estamos haciendo el levantamiento para acompañarte de manera informada y a tiempo.
Por qué la asesoría legal es parte esencial (y no un lujo)
Aquí queremos ser absolutamente honestos, porque es parte de cómo trabajamos.
El cumplimiento de la Ley 21.719 tiene una dimensión técnica y una dimensión jurídica, y ambas son igual de importantes. Nosotros somos especialistas en la parte técnica: en cómo un sitio web debe estar configurado, qué procesos deben existir, qué evidencia debe generarse y cómo automatizarla. Pero la interpretación fina de la ley —qué plazo exacto aplica a cada caso, cómo redactar correctamente una política de privacidad, cómo responder ante una fiscalización, qué bases de licitud invocar en cada tratamiento— es territorio de abogados especialistas en protección de datos.
Por eso, en NaturalWeb estamos estrechando vínculos con estudios jurídicos especializados, con un doble propósito:
- Para nosotros: validar que nuestras soluciones técnicas estén correctamente alineadas con la interpretación legal vigente.
- Para nuestros clientes: poder ofrecer un acompañamiento completo, donde la solución técnica vaya de la mano con el respaldo jurídico que cada negocio necesita.
Nuestra recomendación de fondo es clara: desconfía de quien te prometa «cumplimiento total» solo con una herramienta o solo con un documento legal. El cumplimiento real es la suma de buena técnica y buena asesoría jurídica trabajando juntas. Cualquiera que te diga lo contrario te está vendiendo media solución.
En resumen: la fecha está fijada, el momento de actuar es ahora
La Ley 21.719 ya es ley. Entra en plena vigencia el 1 de diciembre de 2026. La Agencia que la fiscalizará ya está funcionando. Y lo que se fiscalizará no son intenciones, sino evidencia concreta de cumplimiento.
El plazo puede parecer holgado, pero no lo es si se parte desde cero: levantar un inventario de datos, ordenar los procesos, ajustar formularios y políticas, y montar la capacidad técnica para responder a los titulares toma meses de trabajo real.
En NaturalWeb ya estamos en ese camino, junto a nuestra cartera, y con el respaldo jurídico que esta materia exige. Si tienes dudas sobre cómo está tu sitio frente a la Ley 21.719, conversemos. Prepararse a tiempo no solo evita sanciones: construye la confianza de tus clientes, que al final es lo que sostiene cualquier negocio.
Este artículo tiene fines informativos y refleja el estado de la Ley 21.719 a la fecha de su publicación. No constituye asesoría legal. Para la aplicación de la ley a tu caso particular, recomendamos consultar con un abogado especialista en protección de datos.
