Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
Contenido del Artículo: Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
- ¿A quiénes afecta la Ley 21.719 en el entorno web?.
- El nuevo ente fiscalizador: La Agencia de Protección de Datos Personales.
- Los pilares fundamentales del cumplimiento en un sitio web.
- El ecosistema técnico del sitio web: Cookies, Analítica y Proveedores.
- Régimen Sancionatorio: Infracciones, Multas y el Factor Gradualidad.
- Plan de Acción Inmediato para Implementar el Cumplimiento en su Sitio Web.
- La Ley N° 21.719 marca un antes y un después en la madurez del ecosistema digital chileno.
- ¿Tu sitio está listo para la Ley 21.719?.
- Autor del artículo.
La transformación digital en Chile ha alcanzado un punto de inflexión histórico y definitivo. Durante décadas, el ecosistema digital nacional —compuesto por miles de sitios web corporativos, tiendas de comercio electrónico (e-commerce), plataformas de servicios, blogs y portales institucionales— operó bajo el amparo de la antigua Ley N° 19.628 sobre Protección de la Vida Privada. Dicha normativa, promulgada a fines de la década de 1990, nació en un contexto tecnológico completamente distinto, caracterizado por una bajísima penetración de internet, la inexistencia de modelos de negocio basados en Big Data, la publicidad programática, las redes sociales y el procesamiento masivo de datos en la nube. La ley anterior adolecía de una falencia estructural crítica: carecía de un organismo público con facultades fiscalizadoras y sancionatorias reales, lo que la redujo, en la práctica, a una recomendación de buenas intenciones sin dientes.
Este escenario cambió de forma radical con la publicación en el Diario Oficial de la Ley N° 21.719, cuya entrada en vigencia quedó fijada para el 1 de diciembre de 2026. Esta nueva legislación moderniza por completo el estatus jurídico de la privacidad en el país, alineando los estándares de Chile con los modelos internacionales más exigentes, en particular con el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
Para cualquier empresa, pyme, emprendedor o desarrollador que administre un sitio web en Chile, la nueva ley no representa una actualización menor ni un trámite burocrático que se soluciona copiando y pegando un texto genérico en el pie de página (footer). Significa un cambio profundo en la arquitectura operativa, técnica y legal de los activos digitales. Desde el formulario de contacto más simple hasta las complejas integraciones con pasarelas de pago, herramientas de analítica web (como Google Analytics) y píxeles de publicidad, todo rincón de un sitio web que interactúe con usuarios y recolecte información queda bajo el escrutinio de la ley.
1.- ¿A quiénes afecta la Ley 21.719 en el entorno web?
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
Uno de los aspectos más relevantes de la normativa es su amplísimo espectro de cobertura. A diferencia de lo que muchos operadores de sitios web suponen, la ley no distingue exclusivamente entre grandes corporaciones tecnológicas o multinacionales de internet; su alcance es universal y descentralizado.
1.1. Alcance subjetivo y material
El artículo 1° de la Ley N° 21.719 establece que la normativa se aplica a cualquier persona natural o jurídica —pública o privada— que realice operaciones de tratamiento de datos personales. La definición legal de «tratamiento» es sumamente amplia y abarca prácticamente cualquier acción imaginable que se ejecute sobre la información de una persona identificada o identificable: recolectar, registrar, organizar, estructurar, conservar, adaptar, modificar, extraer, consultar, utilizar, comunicar por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
En el contexto de un sitio web, esto se traduce en que cualquier interacción digital constituye tratamiento de datos. Por ejemplo:
Un formulario de contacto que solicita nombre, correo electrónico y teléfono.
Una tienda online (e-commerce) que procesa datos de compra, direcciones de despacho y datos bancarios.
Una ventana de chat en línea (chatbot) que recopila consultas y datos de clientes.
Un sistema de suscripción a boletines informativos (newsletters o listas de correo).
El registro de usuarios para acceder a un área privada, cursos o descarga de contenidos.
2.2. El principio de extraterritorialidad
Un punto crítico que destaca la doctrina especializada es el alcance extraterritorial de la ley. La normativa no solo rige para servidores o empresas domiciliadas físicamente en territorio chileno. Cualquier sitio web extranjero o pasarela de comercio electrónico internacional que:
Ofrezca bienes o servicios a personas que se encuentren en Chile (independientemente de si la transacción comercial involucra o no pagos monetarios).
Monitoree, realice seguimiento o analice el comportamiento de usuarios ubicados en Chile (mediante cookies de rastreo, píxeles de conversión, herramientas de analítica o modelos de perfilamiento conductual).
queda plenamente sujeto a las obligaciones de la Ley 21.719 y a la jurisdicción de las autoridades chilenas.
2.- El nuevo ente fiscalizador: La Agencia de Protección de Datos Personales
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
El gran catalizador del cumplimiento normativo en esta nueva etapa es la creación de la Agencia de Protección de Datos Personales. Este organismo autónomo dotado de personalidad jurídica y patrimonio propio dota al sistema chileno de la capacidad de fiscalización activa de la que carecía el Consejo para la Transparencia o los tribunales civiles bajo el régimen anterior.
Facultades y atribuciones de la Agencia
La Agencia no operará únicamente a partir de denuncias, sino que poseerá atribuciones de fiscalización preventiva y correctiva. Entre sus potestades destacan:
Interpretar administrativamente la ley y dictar instrucciones, directrices y normas de carácter general obligatorias para los responsables del tratamiento de datos.
Fiscalizar de oficio o a petición de parte el cumplimiento de las obligaciones legales en bases de datos públicas y privadas.
Iniciar procedimientos sancionatorios e instruir investigaciones ante vulneraciones de privacidad o denuncias de los ciudadanos.
Aplicar sanciones pecuniarias e inhabilitaciones, además de mantener un Registro Nacional de Sanciones y Cumplimiento de acceso público.
3.- Los pilares fundamentales del cumplimiento en un sitio web
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
Para adaptar un sitio web a las exigencias de la Ley N° 17.719 (21.719), los administradores, agencias de desarrollo y equipos legales deben articular un conjunto de medidas técnicas y documentales que operen en tiempo real. Los componentes indispensables se detallan a continuación:
Tabla Resumen: Obligaciones Clave para Sitios Web bajo la Ley 21.719
| Pilar de Cumplimiento | Exigencia Legal | Impacto Práctico en el Sitio Web |
| 1. Consentimiento | Previo, libre, informado, específico e inequívoco. | Eliminación de casillas premarcadas; uso de checkboxes activos; prohibición de aceptar por inercia o simple navegación. |
| 2. Política de Privacidad | Clara, accesible, gratuita y permanentemente disponible. | Inclusión de un enlace visible en el pie de página con detalles de finalidades, destinatarios, plazos y transferencias. |
| 3. Derechos ARSOL | Canales expeditos, gratuitos y operativos para ejercer derechos. | Creación de un formulario web, correo electrónico dedicado o panel de usuario para gestionar Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo. |
| 4. Seguridad desde el Diseño | Privacidad integrada desde la concepción tecnológica y minimización de datos. | Recopilar exclusivamente los campos estrictamente necesarios; cifrado SSL/TLS robusto; control estricto de accesos a bases de datos. |
| 5. Protección de Menores | Resguardo reforzado para niños, niñas y adolescentes. | Verificación de edad y exigencia de consentimiento parental comprobable para menores de 14 años. |
El consentimiento: Fin de las casillas premarcadas y la aceptación pasiva
Uno de los cambios más disruptivos introducidos por la ley se relaciona con la forma en que las plataformas digitales obtienen la autorización de los usuarios. Bajo la Ley 21.719, el consentimiento debe cumplir con estrictos estándares de validez:
Libre e Informado: El usuario no puede ser coaccionado a entregar datos ajenos al servicio principal (por ejemplo, condicionar la descarga de un documento técnico a la aceptación obligatoria de recibir publicidad comercial de terceros).
Específico e Inequívoco: Se prohíben categóricamente las casillas premarcadas (pre-ticked boxes) y las cláusulas ómnibus donde se acepta todo de manera general. La ley establece que el consentimiento se manifiesta mediante una declaración o una acción afirmativa clara (un opt-in explícito).
No vale la navegación pasiva: El simple hecho de continuar navegando por el sitio web, cerrar un aviso flotante o dejar transcurrir el tiempo no constituye una forma válida de consentimiento.
Desde una perspectiva técnica, los formularios de contacto, registros de cuentas y carritos de compra deben rediseñarse para incorporar casillas desmarcadas por defecto, asociadas a textos claros que detallen de manera específica cada finalidad del tratamiento (por ejemplo, una casilla separada para el envío de boletines comerciales y otra distinta para aceptar las condiciones generales del servicio). Asimismo, la empresa tiene la carga de la prueba: debe ser capaz de demostrar tecnológicamente que el usuario otorgó dicho consentimiento, registrando marcas de tiempo (timestamps), versiones de los textos legales aceptados y la dirección IP o identificador asociado.
Política de tratamiento de datos (Aviso de Privacidad)
El deber de información y transparencia consagrado en la ley exige que todo sitio web disponga de una Política de Tratamiento de Datos Personales redactada en un lenguaje claro, accesible y de fácil comprensión. Este documento ya no puede ser un machote genérico copiado de legislaciones extranjeras; debe reflejar fielmente la realidad operativa de la organización e incluir al menos los siguientes elementos:
Identificación completa del responsable del tratamiento de los datos (nombre o razón social, RUT y domicilio).
Las finalidades específicas para las cuales se recopilan y procesan los datos.
La base de licitud que justifica el tratamiento (consentimiento, ejecución de un contrato, obligación legal, etc.).
Los destinatarios o categorías de destinatarios de la información (incluyendo proveedores externos, pasarelas de pago, empresas de logística y servidores en la nube).
La existencia de transferencias internacionales de datos y si los países de destino ofrecen niveles adecuados de protección o garantías contractuales.
El período de conservación durante el cual se almacenarán los datos o los criterios utilizados para determinar dicho plazo.
Los mecanismos y canales habilitados para que los titulares ejerzan sus derechos de manera gratuita y expedita.
Canales para el ejercicio de los derechos ARSOL
La normativa reconoce y amplía los derechos de los ciudadanos sobre su información personal, conocidos comúnmente bajo el acrónimo ARSOL (con la incorporación de nuevas figuras respecto a la ley anterior):
Acceso: Derecho a saber si la empresa está tratando sus datos, qué información específica posee, con qué finalidad y a qué terceros se ha comunicado.
Rectificación: Derecho a modificar datos inexactos, desactualizados o incompletos.
Supresión (o Cancelación): Derecho a solicitar la eliminación de los datos cuando ya no sean necesarios para los fines que motivaron su recolección o cuando se revoque el consentimiento.
Oposición: Derecho a oponerse al tratamiento de los datos con fines de marketing directo, publicidad personalizada o elaboración de perfiles comerciales.
Portabilidad: Derecho a recibir una copia de los datos en un formato electrónico estructurado, de uso común y lectura mecánica, para poder transmitirlos a otro proveedor.
Bloqueo: Derecho a suspender temporalmente el tratamiento de los datos mientras se resuelve una solicitud de rectificación, supresión u oposición.
Implementar esto en un sitio web significa que los administradores deben habilitar un canal digital visible y operativo —como un formulario específico de solicitudes de privacidad, una dirección de correo electrónico dedicada (ej. privacidad@tuempresa.cl) o un centro de preferencias en el perfil de usuario—, estableciendo flujos internos para responder a los requerimientos dentro de los plazos legales que fije la normativa y los dictámenes de la Agencia.
Privacidad desde el diseño y por defecto (Privacy by Design & Default)
Inspirada en los estándares europeos, la Ley 21.719 consagra la obligación de incorporar la protección de datos desde la fase inicial de diseño de cualquier proyecto, plataforma o funcionalidad web (Privacy by Design), así como asegurar que por defecto se implementen las medidas más estrictas de protección (Privacy by Default).
En la práctica, esto implica aplicar el principio de minimización de datos: un sitio web solo debe recolectar y almacenar la información que sea estricta, directa y proporcionalmente necesaria para cumplir con el objetivo específico de cada formulario o transacción. Cuestionarios excesivos que solicitan el RUT, la fecha de nacimiento, el estado civil o la dirección completa de un usuario únicamente para permitirle la descarga de un folleto informativo o el registro en un blog pasan a constituir una infracción a los principios de proporcionalidad y finalidad de la ley.
Protección reforzada de menores de edad
Tratar datos personales de niños, niñas y adolescentes requiere un celo normativo especial. Conforme a la Ley 21.719, el tratamiento de datos de menores de 14 años exige obligatoriamente el consentimiento de sus padres, madres o representantes legales. En el caso de los adolescentes mayores de 14 años y menores de 18, estos pueden otorgar su consentimiento de forma autónoma, con la salvedad de que para el tratamiento de datos sensibles vinculados a su persona se requiere nuevamente la venia de sus representantes legales si son menores de 16 años. Los sitios web comerciales, plataformas educativas o portales de entretenimiento dirigidos a públicos jóvenes deben implementar mecanismos tecnológicos de verificación de edad y flujos de autorización parental plenamente auditables.
4.- El ecosistema técnico del sitio web: Cookies, Analítica y Proveedores
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
Más allá de los textos legales estáticos, el cumplimiento de la Ley 21.719 exige una revisión técnica exhaustiva del código fuente y de las herramientas de terceros integradas en el sitio web.
Gestión avanzada de Cookies y Consent Mode V2
Las cookies y tecnologías de seguimiento (píxeles de redes sociales, herramientas de remarketing y analítica avanzada) recopilan datos de navegación y perfilamiento que identifican de manera inequívoca a los usuarios. Por ello, un sitio web adaptado a la nueva normativa debe contar con un banner de consentimiento de cookies (Cookie Consent Banner) que cumpla con los siguientes requisitos técnicos:
Bloqueo preventivo de scripts: Ninguna cookie de carácter analítico, publicitario o de seguimiento puede instalarse en el navegador del usuario antes de que este haya otorgado un consentimiento explícito y afirmativo.
Equivalencia de opciones: Los botones de «Aceptar» y «Rechazar» deben poseer idéntica visibilidad, jerarquía y facilidad de uso (se prohíben los diseños engañosos o dark patterns que dificultan rechazar las cookies).
Categorización granular: El usuario debe poder configurar sus preferencias seleccionando qué categorías de cookies desea autorizar (técnicas, analíticas, funcionales, publicitarias).
Integración con estándares globales: Herramientas modernas como Google Consent Mode V2 permiten ajustar dinámicamente el comportamiento de las etiquetas de Google (Analytics, Ads) en función de las elecciones de privacidad del usuario en el banner.
Contratos con proveedores de servicios (Data Processors)
Una empresa que opera un sitio web suele delegar la infraestructura tecnológica en terceros: empresas de hosting y servidores en la nube, plataformas de envío masivo de correos (email marketing), pasarelas de pago y agencias de marketing digital. La Ley 21.719 establece que cuando un tercero trata datos por cuenta del responsable del sitio web, debe existir un contrato formal o acuerdo de procesamiento de datos que establezca obligaciones estrictas de confidencialidad, medidas de seguridad técnicas y la prohibición de utilizar la información para fines distintos a los instruidos contractualmente. Asimismo, si dichos proveedores almacenan servidores fuera de Chile, se deben verificar las condiciones de transferencias internacionales de datos, asegurando que los países de destino ofrezcan un nivel adecuado de protección jurídica o existan cláusulas contractuales tipo aprobadas.
5.- Régimen Sancionatorio: Infracciones, Multas y el Factor Gradualidad
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
El incumplimiento de la Ley 21.719 expone a las organizaciones a un régimen de sanciones económicas y administrativas severas, diseñadas para disuadir cualquier intento de elusión normativa.
Clasificación de las infracciones y multas asociadas
1. Infracciones Leves
Sancionadas con amonestación por escrito o multas de hasta 5.000 UTM. Corresponden a faltas de carácter formal o incumplimientos menores en los procedimientos de información al titular.
2. Infracciones Graves
Sancionadas con multas de hasta 10.000 UTM. Incluyen tratar datos sin la debida base de licitud o consentimiento, obstaculizar de manera injustificada el ejercicio de los derechos ARSOL, implementar medidas de seguridad insuficientes frente al riesgo, realizar transferencias internacionales ilícitas o vulnerar las normativas sobre tratamiento de datos de menores.
3. Infracciones Gravísimas
Sancionadas con multas de hasta 20.000 UTM. En supuestos de reincidencia reiterada dentro de un período de 24 meses, las multas pueden ascender hasta el 4% de los ingresos anuales por ventas de la empresa, además de contemplar la facultad de suspender las operaciones de tratamiento de datos hasta por 30 días y la inscripción pública de la sanción en el Registro Nacional de Sanciones por un plazo de cinco años. Se consideran gravísimas conductas como el tratamiento fraudulento, el desvío malicioso de los datos a finalidades no autorizadas y la omisión deliberada en la notificación de brechas de seguridad a la Agencia y a los afectados.
El mito de la gradualidad: ¿Un año más de plazo o un año con menor riesgo?
Ante la entrada en vigencia de la ley el 1 de diciembre de 2026, se ha generado un debate en torno a los regímenes transitorios y las disposiciones aplicables a las empresas de menor tamaño (PYMEs). La normativa contempla que, durante los primeros doce meses de vigencia, la Agencia de Protección de Datos Personales podrá aplicar amonestaciones por escrito en lugar de multas pecuniarias directas a las empresas que califiquen como de menor tamaño según la Ley N° 20.416.
Sin embargo, los expertos en cumplimiento normativo advierten que esta gradualidad no constituye una prórroga general del plazo de cumplimiento ni un cheque en blanco por tres razones fundamentales:
Es una facultad discrecional de la Agencia, no un derecho automático del infractor (la autoridad puede optar por sancionar directamente si la gravedad lo amerita).
La amonestación queda registrada como un antecedente formal, comprometiendo la reputación y el historial de cumplimiento de la empresa.
No protege frente a los reclamos directos de los clientes y socios comerciales: Si un usuario exige el ejercicio de sus derechos o denuncia una brecha y la PYME carece de respuestas o canales habilitados, los conflictos civiles, comerciales y reputacionales escalarán de inmediato. Además, en el ámbito B2B (Business to Business), la certificación y el cumplimiento normativo se están convirtiendo rápidamente en un filtro comercial indispensable para participar en licitaciones y cadenas de suministro corporativas.
6.- Plan de Acción Inmediato para Implementar el Cumplimiento en su Sitio Web
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
Ante la proximidad de la exigibilidad legal, los administradores de sitios web en Chile deben ejecutar un plan estructurado en fases para mitigar riesgos y blindar sus operaciones digitales:
Auditoría de Datos y Formularios: Mapear exhaustivamente cada punto del sitio web donde se recolecten datos personales (formularios, carritos de compra, chats, registros). Eliminar campos innecesarios aplicando el principio de minimización.
Rediseño del Consentimiento: Actualizar los formularios para eliminar casillas premarcadas y asegurar que el usuario otorgue un consentimiento libre, previo, específico e inequívoco mediante acciones afirmativas.
Actualización de Textos Legales: Redactar y publicar una Política de Privacidad robusta, transparente y accesible desde el pie de página de todas las secciones del sitio web, detallando finalidades, plazos de conservación y transferencias de datos.
Implementación del Banner de Cookies: Instalar una solución tecnológica de gestión de consentimiento (Consent Management Platform) que bloquee preventivamente los scripts de rastreo y analítica hasta que el usuario exprese su aceptación explícita.
Habilitación de Canales ARSOL: Establecer un procedimiento interno y un canal digital visible (correo o formulario dedicado) para gestionar de manera oportuna y gratuita las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de datos.
Revisión de Proveedores y Seguridad: Suscribir acuerdos de procesamiento de datos con los proveedores tecnológicos externos y reforzar las medidas de seguridad técnicas en servidores, bases de datos y protocolos de transferencia cifrada.
7.- La Ley N° 21.719 marca un antes y un después en la madurez del ecosistema digital chileno
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
La Ley N° 21.719 marca un antes y un después en la madurez del ecosistema digital chileno. Lejos de ser un mero obstáculo administrativo, la adecuación de un sitio web a la nueva normativa de protección de datos personales representa una oportunidad estratégica para consolidar la confianza de los consumidores, diferenciarse de la competencia y elevar los estándares de ciberseguridad y gobernanza de la información.
En un mercado digital cada vez más regulado, donde la Agencia de Protección de Datos Personales cuenta con facultades fiscalizadoras y sancionatorias de gran envergadura, la improvisación legal ya no es una opción viable. Anticiparse a las exigencias normativas, auditar los procesos tecnológicos y garantizar el respeto irrestricto de los derechos de los usuarios constituye el único camino seguro para la sostenibilidad y el éxito de cualquier proyecto web en el Chile actual.
8.- ¿Tu sitio está listo para la Ley 21.719?
Nueva Ley de Protección de Datos en Chile: ¿Cumple tu página web con las exigencias para 2026?
Evaluamos tu web y la adaptamos a la nueva normativa, sin afectar la experiencia de tus usuarios.
Solicita sin preocupaciones.
Nosotros preparamos todo.
Tú solo disfruta de tu sitio web.
Solicitar tu sitio web es fácil y rápido. Déjanos el resto a nosotros.
Entrega a tiempo
Compromiso con los plazos.
Servicio 100%
Clientes felices y resultados reales.
Confidencialidad
Tu información siempre segura.
Creamos sitios web que trabajan 24/7 para tu negocio mientras tú te enfocas en crecer.
Paga Online
Reunámonos por Google Meet
- CONTACTO:
- contacto@2motivos.com
- +56 9 7318 5993
- Todo de Chile
- L. a V. 9 a 18 Hrs
© 2026 – 2Motivos Spa, Rut: 78.202.355-1 | Agencia Web. Todos los derechos reservados. | Políticas de privacidad | Ejercer ARCOP+ | Ley 21.719 · Protección de datos personales
