Actualizado el 1 de octubre de 2026. Faltan 61 días.
El 1 de diciembre de 2026 entra en vigencia plena la Ley 21.719, la nueva ley de protección de datos personales de Chile. Si tienes un sitio web, un formulario de contacto, una tienda o simplemente mides tus visitas, esta fecha te toca. Aquí está lo que dice la ley, lo que cambia ese día y lo que conviene tener listo antes.
La fecha, según la ley
La Ley 21.719 se publicó el 13 de diciembre de 2024. Sus reglas principales no rigen desde ese día: la propia ley dispuso que las modificaciones entran en vigencia «el día primero del mes vigésimo cuarto posterior a la publicación» (artículo 1° transitorio). Contando 24 meses desde diciembre de 2024, el resultado es el 1 de diciembre de 2026. La Biblioteca del Congreso Nacional lo registra así: «Entra en vigencia el 01-DIC-2026».
Es una fecha fijada por ley, no un plazo estimado.
Qué cambia ese día
Desde el 1 de diciembre de 2026 rige la versión reformada de la ley de protección de la vida privada (la antigua Ley 19.628), con tres consecuencias que importan a cualquier dueño de un sitio:
- Obligaciones concretas para quien trata datos personales (el «responsable de datos»): informar con transparencia, tener una base legal para tratar cada dato, atender los derechos de las personas y proteger la información.
- Una autoridad que fiscaliza: la Agencia de Protección de Datos Personales, creada por esta misma ley.
- Sanciones reales: multas, un registro público de sancionados y, en casos graves y repetidos, hasta la suspensión de las operaciones de tratamiento de datos.
Cuánto pueden costar los incumplimientos
La ley clasifica las infracciones en tres niveles y fija un tope de multa para cada uno (artículo 35):
| Nivel | Sanción |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Multa de hasta 10.000 UTM |
| Gravísima | Multa de hasta 20.000 UTM |
Algunos ejemplos que la propia ley cataloga (artículos 34 bis, 34 ter y 34 quáter):
- Leve: no cumplir el deber de información y transparencia, no tener un correo u otro medio de contacto operativo para que las personas ejerzan sus derechos, o no responder sus solicitudes a tiempo.
- Grave: tratar datos sin consentimiento ni otro fundamento legal, o impedir u obstaculizar que una persona ejerza sus derechos.
Además:
- Si el infractor reincide (dos o más sanciones en 30 meses), la multa puede subir hasta tres veces el monto.
- Las sanciones quedan en el Registro Nacional de Sanciones y Cumplimiento, que es público y gratuito. Cada anotación se mantiene visible durante cinco años (artículo 39).
- Si la Agencia ordena corregir el problema y no lo haces en 60 días, la multa se recarga en un 50%.
Una buena noticia para las empresas pequeñas
La ley incluye una norma transitoria pensada para ellas (artículo 6° transitorio): durante los primeros doce meses de vigencia, cuando corresponda sancionar a una empresa de menor tamaño (según la Ley 20.416), la Agencia podrá aplicar una amonestación por escrito en vez de una multa.
Dos precisiones importantes: es una facultad de la Agencia, no una garantía, y la amonestación igual queda anotada en el Registro Nacional de Sanciones y Cumplimiento. Que exista un período de gracia no es motivo para esperar.
Qué debe tener listo tu sitio web
La ley no trae una «lista para sitios web», pero varias obligaciones se traducen directamente en tareas para un sitio. Esta lista sale de los artículos 10, 11, 12 y 14 ter:
- Política de tratamiento de datos personales publicada, con su fecha y versión.
- Quién eres: identificación del responsable de los datos y un medio de contacto (correo, formulario o similar) que funcione de verdad.
- Qué datos tratas y para qué: categorías de datos, finalidades, a quién se los comunicas, cuánto tiempo los conservas y de dónde provienen.
- Medidas de seguridad que usas para protegerlos.
- Los derechos de las personas: acceso, rectificación, supresión, oposición y portabilidad, y su derecho a reclamar ante la Agencia.
- Un canal para que ejerzan esos derechos, y la capacidad de responder dentro de 30 días corridos (prorrogables una vez por otros 30).
- Consentimiento previo, libre, informado y específico cuando el tratamiento se basa en el consentimiento (artículo 12).
Un detalle que conviene saber: la ley no menciona las cookies por su nombre. Lo que exige es que todo tratamiento de datos personales tenga una base que lo haga lícito. En la práctica, para herramientas como analítica o publicidad, eso se resuelve pidiendo el consentimiento antes de activarlas. Lo explicamos en detalle en nuestra guía del banner de cookies en Chile.
Un plan para los próximos 61 días
- Esta semana: revisa qué datos personales recoge tu sitio (formularios, pedidos, analítica, publicidad) y con qué herramientas.
- Antes de fin de octubre: publica tu política de tratamiento de datos y tu política de cookies, con fecha y versión.
- Noviembre: deja funcionando el canal para solicitudes de derechos y practica una respuesta de prueba.
- Última semana de noviembre: verifica que las herramientas de analítica y marketing no se activen antes del consentimiento.
¿Usas WordPress?
cookieAz es un plugin gratuito, hecho para esta ley, que ayuda con varias de estas tareas: bloquea scripts y cookies de analítica y marketing hasta que el visitante acepta, guarda un registro de cada consentimiento con firma verificable, y te guía en 6 pasos para generar tu Política de Cookies y tu Política de Tratamiento de Datos para Chile. Sin cuentas externas y con los datos en tu propio WordPress.
Descargar cookieAz gratis desde WordPress.org →
El plugin te ayuda a cumplir, pero no certifica cumplimiento: la responsabilidad ante la Agencia sigue siendo del dueño del sitio.
Novedades de esta semana
(Sección que se actualiza cada semana. Primera edición: sin novedades. Mantener la última actualización arriba y registrar aquí cualquier cambio verificable: modificación de la ley, instrucciones de la Agencia, reglamentos. Citar la fuente y la fecha.)
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026. La ley fija que sus modificaciones rigen el primer día del mes 24 posterior a su publicación (13 de diciembre de 2024).
¿Me aplica la ley si tengo un sitio web pequeño?
Si tu sitio recoge o usa datos personales de personas (por ejemplo, un formulario de contacto, pedidos o analítica que identifique a visitantes), eres «responsable de datos» y la ley te aplica. Para empresas de menor tamaño existe un período transitorio de 12 meses en que la Agencia puede optar por una amonestación en lugar de multa, pero las obligaciones rigen igual desde el 1 de diciembre.
¿Cuál es la multa máxima?
Hasta 20.000 UTM para infracciones gravísimas. Las graves llegan a 10.000 UTM y las leves a 5.000 UTM, o amonestación escrita. En caso de reincidencia la multa puede aumentar hasta tres veces.
¿Cuánto tiempo queda una sanción en el registro público?
Cinco años desde la fecha en que se anotó, en el Registro Nacional de Sanciones y Cumplimiento, que es de acceso público y gratuito.
