1. Qué es la Ley 21.719
La Ley 21.719 es la ley chilena que regula la protección y el tratamiento de los datos personales. Fue publicada en el Diario Oficial el 13 de diciembre de 2024, reemplaza el régimen de la Ley 19.628 vigente desde 1999, crea la Agencia de Protección de Datos Personales como autoridad fiscalizadora y entra en plena vigencia el 1 de diciembre de 2026.
Durante veinticinco años, Chile tuvo una ley de datos personales sin autoridad que la hiciera cumplir. La Ley 19.628 reconocía derechos, pero el único camino para ejercerlos era un juicio civil: caro, lento y desproporcionado frente al daño. En la práctica, tratar datos personales de forma irregular no tenía consecuencias.
La Ley 21.719 cambia exactamente eso. No solo moderniza las reglas sustantivas —las alinea con el estándar del Reglamento General de Protección de Datos europeo— sino que crea el órgano que las aplica y le entrega potestad sancionatoria directa. Ese es el verdadero punto de inflexión: por primera vez existe un regulador que puede fiscalizar de oficio, recibir denuncias ciudadanas y multar sin pasar por tribunales.
La ley se estructura sobre una idea central: tratar datos personales no es un derecho del que los recolecta, sino una actividad autorizada bajo condiciones. Toda organización que trate datos debe poder responder tres preguntas en cualquier momento: qué datos tiene, para qué los usa y bajo qué fundamento jurídico los trata. Si no puede responderlas, está incumpliendo.
2. Fechas clave y entrada en vigencia
La ley contempló un periodo de veinticuatro meses entre su publicación y su entrada en vigencia, precisamente para dar tiempo de adecuación tanto a las organizaciones como al Estado, que debía constituir la Agencia.
- 13 de diciembre de 2024 Publicación de la Ley 21.719 en el Diario Oficial. Comienza a correr el plazo de adecuación.
- 2025 – 2026 Periodo de implementación: constitución de la Agencia de Protección de Datos Personales y adecuación interna de responsables y encargados.
- 1 de diciembre de 2026 Entrada en plena vigencia. La Agencia puede fiscalizar, instruir procedimientos y sancionar. Cualquier titular puede denunciar.
No hay marcha blanca posterior. El periodo de adecuación es el que va desde la publicación hasta la entrada en vigencia. A partir del 1 de diciembre de 2026 el incumplimiento es exigible desde el primer día, sin plazos de gracia adicionales.
3. A quién aplica la Ley 21.719
El ámbito de aplicación es deliberadamente amplio. La ley alcanza a toda persona natural o jurídica, pública o privada, que trate datos personales de personas que se encuentran en Chile, con independencia de su tamaño, giro o lugar de domicilio.
Esto tiene tres consecuencias que suelen sorprender:
- No hay umbral mínimo. No existe una excepción por facturación, número de trabajadores o volumen de datos. Una consultora unipersonal con un formulario de contacto queda cubierta igual que un retailer.
- Aplica extraterritorialmente. Una empresa extranjera que ofrece bienes o servicios a personas en Chile, o que monitorea su comportamiento, queda sujeta a la ley aunque no tenga presencia física en el país.
- Alcanza a los organismos públicos. El sector público está sometido a la ley, con reglas específicas y con la obligación de designar un Delegado de Protección de Datos.
Quedan fuera del ámbito los tratamientos que una persona natural realiza en el marco de su vida personal o doméstica, sin proyección comercial ni difusión a terceros. La agenda de contactos del teléfono personal no está regulada; la base de clientes de un emprendimiento sí.
Responsable y encargado: dos roles distintos
La ley distingue entre el responsable del tratamiento, que decide los fines y medios, y el encargado, que trata datos por cuenta del responsable. Tu empresa es responsable de la base de datos de sus clientes; el proveedor de hosting, el CRM y la plataforma de email marketing son encargados.
Esta distinción importa porque la responsabilidad frente al titular no se delega. Si tu proveedor de email marketing filtra tu base, el titular reclama contra ti. Por eso la ley exige un contrato de encargo que fije las instrucciones, las medidas de seguridad y el destino de los datos al terminar la relación.
4. Qué es un dato personal y qué es un dato sensible
Dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable. La clave es la identificabilidad: no importa si el dato por sí solo revela la identidad, sino si permite llegar a ella combinándolo con otros.
Son datos personales, entre muchos otros:
- Nombre, RUT, domicilio, teléfono y correo electrónico.
- Dirección IP, identificadores de cookies y de dispositivos móviles.
- Datos de geolocalización y patrones de navegación.
- Historial de compras, de pagos y de comportamiento en una plataforma.
- Grabaciones de voz, imágenes de videovigilancia y fotografías.
La inclusión de identificadores digitales es especialmente relevante para cualquier sitio web: la analítica y los píxeles publicitarios tratan datos personales aunque nunca pidan un nombre.
Datos sensibles: la categoría reforzada
Los datos sensibles son una subcategoría cuyo tratamiento indebido expone al titular a discriminación o daño grave. La ley les exige una base de licitud reforzada —por regla general, consentimiento explícito— y medidas de seguridad más estrictas.
La Ley 21.719 considera sensibles los datos que revelan:
- Origen étnico o racial.
- Afiliación política, sindical o gremial.
- Convicciones religiosas, filosóficas o morales.
- Datos relativos a la salud, al perfil biológico humano y a la vida sexual u orientación sexual.
- Datos biométricos que permitan identificar unívocamente a una persona.
- La situación socioeconómica de la persona.
La situación socioeconómica como dato sensible es una particularidad chilena que no tiene equivalente directo en el GDPR europeo. Su inclusión responde al contexto local de discriminación por nivel de ingreso, comuna de residencia o historial crediticio, y afecta de lleno a la banca, el retail financiero, los seguros y cualquier modelo de scoring.
Datos de niños, niñas y adolescentes
El tratamiento de datos de menores de edad recibe protección especial. Como regla general se requiere la autorización de quien ejerce el cuidado personal, y todo tratamiento debe atender al interés superior del niño. Esto impacta directamente a plataformas educativas, aplicaciones de entretenimiento y cualquier servicio con registro de usuarios menores de 18 años.
5. Los principios rectores
Los principios no son declaraciones de buenas intenciones: son criterios exigibles que la Agencia usa para evaluar si un tratamiento es lícito. Un tratamiento puede tener consentimiento y aun así infringir la ley por vulnerar el principio de proporcionalidad.
| Principio | Qué exige en la práctica |
|---|---|
| Licitud y lealtad | Todo tratamiento necesita una base jurídica y no puede obtenerse mediante engaño o medios encubiertos. |
| Finalidad | Los datos se recogen para fines específicos, explícitos y lícitos, y no pueden reutilizarse para fines incompatibles con el original. |
| Proporcionalidad | Solo se pueden tratar los datos adecuados, pertinentes y limitados a lo necesario. Pedir el RUT para suscribir a un newsletter es desproporcionado. |
| Calidad | Los datos deben ser exactos y estar actualizados. El responsable debe corregir o suprimir los inexactos. |
| Responsabilidad | El responsable debe adoptar medidas para cumplir la ley y poder demostrarlo. La carga de la prueba es suya. |
| Seguridad | Deben adoptarse medidas técnicas y organizativas apropiadas al riesgo para proteger los datos. |
| Transparencia e información | El titular debe poder saber, en lenguaje claro, quién trata sus datos, para qué y cómo ejercer sus derechos. |
| Confidencialidad | Quien trata datos debe guardar secreto, obligación que subsiste incluso después de terminado el tratamiento. |
El principio de responsabilidad merece atención especial porque invierte la lógica tradicional. No basta con cumplir: hay que poder acreditar que se cumple. Registros de consentimiento, políticas documentadas, contratos con encargados y evidencia de las medidas de seguridad dejan de ser buenas prácticas y pasan a ser el material probatorio con el que te defiendes ante la Agencia.
6. Bases de licitud: cuándo puedes tratar datos
Ningún tratamiento de datos personales es lícito sin una base que lo autorice. Un error frecuente es asumir que el consentimiento es la única vía; en realidad es una entre varias, y no siempre la más adecuada.
Las bases de licitud que contempla la ley son, en síntesis:
- Consentimiento del titular. Debe ser libre, informado, específico e inequívoco, y manifestarse mediante una acción positiva. Es revocable en cualquier momento, con la misma facilidad con que se otorgó.
- Ejecución o cumplimiento de un contrato en el que el titular es parte, o de medidas precontractuales solicitadas por él. Procesar la dirección de despacho de una compra no requiere consentimiento adicional.
- Cumplimiento de una obligación legal del responsable, como la emisión de documentos tributarios o la conservación de antecedentes laborales.
- Interés legítimo del responsable o de un tercero, siempre que no prevalezcan los derechos del titular. Exige una ponderación documentada.
- Protección de intereses vitales del titular o de otra persona natural, típicamente en situaciones de emergencia sanitaria.
- Ejercicio de funciones públicas por parte de organismos del Estado dentro de su competencia legal.
El fin del consentimiento tácito
Este es probablemente el cambio con mayor impacto práctico sobre el marketing digital chileno. Bajo la Ley 19.628 se admitía interpretar la conducta del usuario como aceptación. La Ley 21.719 cierra esa puerta.
Dejan de ser válidos:
- Las casillas de aceptación premarcadas.
- Las fórmulas del tipo «si continúas navegando, aceptas nuestras políticas».
- El silencio o la inacción del usuario.
- El consentimiento agrupado que mezcla finalidades distintas en una sola casilla.
El consentimiento debe además ser granular: si tratas datos para prestar el servicio y también para enviar publicidad de terceros, necesitas consentimientos separados. Y debe ser demostrable: tienes que poder acreditar cuándo, cómo y sobre qué texto consintió cada titular.
Sobre las bases de datos compradas: una lista de correos adquirida a un tercero no trae consigo consentimiento válido para tu organización. El consentimiento es específico respecto del responsable ante quien se otorga y no se transfiere con la venta de la base. Analizamos este escenario en detalle aquí.
7. Los derechos ARSOP del titular
ARSOP es el acrónimo de los cinco derechos que la ley reconoce a toda persona sobre sus propios datos. Son gratuitos, personalísimos e irrenunciables: ninguna cláusula contractual puede limitarlos.
| Derecho | En qué consiste |
|---|---|
| Acceso | Obtener confirmación de si se tratan sus datos y, en tal caso, acceder a ellos, conocer su origen, la finalidad y los destinatarios. |
| Rectificación | Exigir la corrección de datos inexactos, desactualizados o incompletos. |
| Supresión | Solicitar la eliminación de los datos cuando ya no son necesarios, se revocó el consentimiento o el tratamiento es ilícito. |
| Oposición | Oponerse a tratamientos determinados, en particular a la publicidad directa y a las decisiones automatizadas con efectos jurídicos relevantes. |
| Portabilidad | Recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transferirlos a otro responsable. |
El responsable debe habilitar un canal de ejercicio gratuito y fácilmente accesible, informarlo en su política de privacidad y responder dentro de los plazos legales. La ausencia de canal, o su ocultamiento, es en sí misma una infracción de transparencia.
Existe además un derecho de bloqueo, que permite suspender temporalmente el tratamiento mientras se resuelve una controversia sobre la exactitud o la licitud de los datos, sin llegar a suprimirlos.
8. La Agencia de Protección de Datos Personales
La Agencia es la novedad institucional más importante de la ley. Se trata de una corporación autónoma de derecho público, con personalidad jurídica y patrimonio propio, que se relaciona con el Presidente de la República a través del Ministerio de Economía.
Sus atribuciones principales son:
- Fiscalizar el cumplimiento de la ley, de oficio o por denuncia.
- Instruir procedimientos sancionatorios y aplicar multas.
- Dictar instrucciones y normativa de carácter general que precisan cómo cumplir la ley.
- Resolver reclamaciones de titulares cuyos derechos ARSOP fueron desatendidos.
- Llevar registros públicos, incluido un registro de sanciones aplicadas.
- Certificar modelos de prevención de infracciones y promover mecanismos de autorregulación.
El registro público de sanciones es el riesgo subestimado. Más allá del monto de la multa, la publicación de una sanción es información permanente, indexable y consultable por clientes, licitaciones públicas, inversionistas y contrapartes comerciales. El daño reputacional puede superar largamente el costo económico directo.
9. Multas y sanciones de la Ley 21.719
La ley clasifica las infracciones en tres niveles y asocia a cada uno un rango de multa expresado en Unidades Tributarias Mensuales.
| Gravedad | Multa máxima | Conductas típicas |
|---|---|---|
| Leve | Hasta 5.000 UTM | Incumplir el deber de información y transparencia; no responder o responder fuera de plazo las solicitudes ARSOP; omitir datos obligatorios en la política de privacidad. |
| Grave | Hasta 10.000 UTM | Tratar datos sin base de licitud; usarlos para fines incompatibles con los informados; no adoptar medidas de seguridad; omitir la notificación de una brecha. |
| Gravísima | Hasta 20.000 UTM | Tratar datos sensibles sin habilitación; transferir datos internacionalmente sin garantías; vulneraciones de seguridad reiteradas; entregar información maliciosamente falsa a la Agencia. |
Para infractores reincidentes, la ley habilita un cálculo alternativo sobre los ingresos: hasta el 2% de los ingresos anuales del ejercicio anterior en infracciones graves, y hasta el 4% en gravísimas. Este mecanismo existe para que las sanciones conserven efecto disuasivo frente a organizaciones de gran tamaño, para las que un tope en UTM podría resultar irrelevante.
Junto a la multa, la Agencia puede ordenar medidas correctivas: suspender el tratamiento, eliminar datos obtenidos ilícitamente o modificar procedimientos. En la práctica, estas medidas suelen tener más impacto operacional que la sanción económica, porque pueden detener un proceso de negocio completo.
La UTM se reajusta mensualmente. Para dimensionar el riesgo conviene calcular el monto con el valor vigente al momento del análisis, no con cifras de años anteriores. Nuestro escáner estima la exposición en pesos usando el valor actualizado.
10. Notificación de brechas de seguridad
La ley introduce en Chile una obligación que no existía: cuando ocurre una vulneración de seguridad que afecta datos personales, el responsable debe notificarla a la Agencia por el medio más expedito y sin dilaciones indebidas.
Cuando la brecha entraña un riesgo relevante para los derechos de los titulares —por ejemplo, filtración de datos sensibles o de credenciales—, además debe comunicarse a los propios afectados, informando la naturaleza del incidente, sus posibles consecuencias y las medidas adoptadas.
Esto obliga a tener preparado un procedimiento de respuesta a incidentes antes de necesitarlo: quién detecta, quién evalúa la gravedad, quién redacta la notificación y quién la firma. Improvisar ese proceso durante una crisis es la vía más rápida a una infracción adicional por notificación tardía.
11. Transferencias internacionales de datos
Casi ninguna empresa chilena guarda sus datos exclusivamente en Chile. Si usas servicios en la nube, un CRM extranjero o herramientas de email marketing internacionales, estás realizando transferencias internacionales de datos y la ley te exige garantizarlas.
Las vías de habilitación son, en general:
- Nivel adecuado de protección. El destino cuenta con legislación equiparable, según determinación de la Agencia.
- Cláusulas contractuales tipo o contratos que incorporen garantías suficientes entre exportador e importador.
- Normas corporativas vinculantes para transferencias dentro de un mismo grupo empresarial.
- Modelos o certificaciones aprobados por la Agencia.
- Excepciones tasadas, como el consentimiento explícito del titular informado de los riesgos, o la necesidad de ejecutar un contrato.
El punto operativo es simple: aceptar los términos y condiciones de un proveedor no equivale a documentar la transferencia. Necesitas identificar qué datos salen del país, hacia dónde, con qué proveedor y bajo qué instrumento.
12. Delegado de Protección de Datos y modelo de prevención
El Delegado de Protección de Datos es la persona encargada de supervisar el cumplimiento y servir de punto de contacto con la Agencia y con los titulares. Su designación es obligatoria para los organismos públicos y para responsables cuyo tratamiento sea masivo, habitual o involucre datos sensibles a gran escala. Para el resto es voluntaria.
El modelo de prevención de infracciones es un programa interno de cumplimiento que puede certificarse ante la Agencia. Su valor es doble: reduce la probabilidad real de infringir, y su existencia y correcta implementación se consideran al graduar una eventual sanción. Un modelo bien documentado puede ser la diferencia entre una infracción calificada como grave y una calificada como leve.
Un modelo mínimamente serio incluye:
- Registro de actividades de tratamiento, con finalidad y base de licitud de cada una.
- Políticas internas y procedimientos documentados de atención de derechos ARSOP.
- Evaluaciones de impacto para tratamientos de alto riesgo.
- Procedimiento de gestión y notificación de brechas.
- Contratos de encargo vigentes con todos los proveedores.
- Capacitación periódica y evidencia de la misma.
13. Qué exige la Ley 21.719 en tu sitio web
El sitio web es la superficie más expuesta de cualquier organización: es pública, verificable desde fuera y no requiere ninguna facultad especial para auditarla. Cualquier persona —incluida la Agencia y cualquier denunciante— puede comprobar en minutos si tu web cumple.
Los puntos de fricción más habituales son:
- Política de privacidad ausente, oculta o genérica. Debe existir, ser accesible desde todas las páginas y describir tratamientos reales, no una plantilla copiada que menciona jurisdicciones que no aplican.
- Rastreadores que se cargan antes del consentimiento. Google Analytics, Meta Pixel, TikTok Pixel y similares deben permanecer bloqueados hasta que el usuario acepte de forma activa.
- Banner de cookies sin opción real de rechazo. Un banner que solo ofrece «Aceptar» no recoge consentimiento libre. Rechazar debe ser tan fácil como aceptar.
- Formularios sin casilla de consentimiento o con la casilla premarcada.
- Formularios servidos sobre HTTP o sin redirección forzada a HTTPS, lo que compromete el principio de seguridad.
- Ausencia de canal ARSOP visible en la política de privacidad.
- Campos desproporcionados, como pedir RUT o fecha de nacimiento para un formulario de contacto.
Comprueba tu sitio en 30 segundos
Nuestro escáner gratuito revisa 13 controles de la superficie pública de tu web —política de privacidad, cookies, formularios, rastreadores y seguridad— y te entrega los hallazgos con evidencia y severidad. Sin registro ni instalación.
Escanear mi sitio gratis14. Checklist de cumplimiento
Una ruta de adecuación razonable para una organización mediana sigue este orden. Los primeros pasos son de diagnóstico y no requieren inversión; los últimos sí.
- Inventaria tus tratamientos. Lista todos los puntos donde tu organización captura datos personales: formularios web, newsletter, chat, punto de venta, postulaciones laborales, cámaras, cookies y píxeles.
- Asigna finalidad y base de licitud a cada uno. Si no puedes nombrar la base, el tratamiento no debería existir.
- Elimina lo desproporcionado. Deja de pedir datos que no usas y borra los que ya no son necesarios para la finalidad original.
- Reescribe tu política de privacidad en lenguaje claro, con responsable identificado, finalidades reales, plazos de conservación, destinatarios y canal ARSOP.
- Implementa consentimiento previo y granular para cookies y rastreadores, con rechazo tan accesible como la aceptación.
- Corrige tus formularios: casilla desmarcada, enlace a la política, HTTPS forzado.
- Habilita y publica el canal ARSOP, con un procedimiento interno y plazos de respuesta definidos.
- Firma contratos de encargo con todos tus proveedores que traten datos por ti.
- Documenta tus transferencias internacionales y el instrumento que las habilita.
- Define el procedimiento de brechas y designa responsables.
- Registra la evidencia de todo lo anterior. El principio de responsabilidad exige poder demostrarlo, no solo haberlo hecho.
15. Ley 21.719 frente al GDPR europeo
La Ley 21.719 se inspira de forma evidente en el Reglamento General de Protección de Datos europeo. Para organizaciones que ya cumplen GDPR, la brecha es manejable; para el resto, el GDPR es una buena guía de referencia sobre cómo se interpretan estos conceptos en la práctica.
| Aspecto | Ley 21.719 (Chile) | GDPR (UE) |
|---|---|---|
| Autoridad de control | Agencia de Protección de Datos Personales | Autoridades nacionales + Comité Europeo |
| Sanción máxima | 20.000 UTM, o 2%–4% de ingresos en reincidencia | 20 millones de euros o 4% de facturación global |
| Situación socioeconómica | Expresamente dato sensible | No figura como categoría especial |
| Derechos del titular | ARSOP + bloqueo | Acceso, rectificación, supresión, oposición, portabilidad, limitación |
| Notificación de brechas | Obligatoria a la Agencia y, si hay riesgo, a los titulares | Obligatoria, con plazo de 72 horas |
| Modelo de prevención certificable | Sí, con efecto atenuante expreso | Códigos de conducta y certificaciones |
16. Glosario de la Ley 21.719
- Dato personal
- Cualquier información vinculada o referida a una persona natural identificada o identificable.
- Dato sensible
- Categoría especial de datos cuyo tratamiento indebido expone a discriminación: origen étnico, afiliación política o sindical, convicciones, salud, biometría, vida sexual y situación socioeconómica.
- Titular
- Persona natural a quien se refieren los datos personales.
- Responsable del tratamiento
- Quien decide sobre los fines y medios del tratamiento de datos personales.
- Encargado del tratamiento
- Tercero que trata datos por cuenta del responsable, siguiendo sus instrucciones.
- Tratamiento
- Cualquier operación sobre datos personales: recolección, almacenamiento, uso, comunicación, transferencia o supresión.
- Base de licitud
- Fundamento jurídico que autoriza un tratamiento. Sin ella, el tratamiento es ilícito.
- Consentimiento
- Manifestación de voluntad libre, específica, informada e inequívoca mediante una acción positiva del titular.
- Derechos ARSOP
- Acceso, Rectificación, Supresión, Oposición y Portabilidad.
- Brecha de seguridad
- Incidente que provoca destrucción, pérdida, alteración o acceso no autorizado a datos personales.
- EIPD
- Evaluación de Impacto en Protección de Datos: análisis previo obligatorio para tratamientos de alto riesgo.
- Delegado de Protección de Datos
- Persona encargada de supervisar el cumplimiento y actuar como contacto con la Agencia.
- UTM
- Unidad Tributaria Mensual, unidad reajustable en que se expresan las multas de la ley.
- Anonimización
- Proceso irreversible que impide identificar al titular. Los datos anonimizados quedan fuera del ámbito de la ley.
- Seudonimización
- Sustitución de identificadores por claves. Es una medida de seguridad, pero los datos siguen siendo personales.
17. Preguntas frecuentes sobre la Ley 21.719
¿Qué es la Ley 21.719?
Es la ley chilena que regula la protección y el tratamiento de los datos personales. Publicada el 13 de diciembre de 2024, sustituye el régimen de la Ley 19.628, crea la Agencia de Protección de Datos Personales y entra en plena vigencia el 1 de diciembre de 2026.
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026, veinticuatro meses después de su publicación en el Diario Oficial. Desde esa fecha la Agencia puede fiscalizar y sancionar, y cualquier persona puede denunciar. No hay marcha blanca posterior.
¿A quién aplica la Ley 21.719?
A toda persona natural o jurídica, pública o privada, que trate datos personales de personas que se encuentran en Chile, sin importar su tamaño ni su domicilio. No existe umbral mínimo: una PYME con un formulario de contacto queda cubierta igual que un banco.
¿Cuáles son las multas de la Ley 21.719?
Hasta 5.000 UTM para infracciones leves, hasta 10.000 UTM para graves y hasta 20.000 UTM para gravísimas. En caso de reincidencia, la multa puede alcanzar el 2% o hasta el 4% de los ingresos anuales del ejercicio anterior.
¿Qué son los derechos ARSOP?
Son los cinco derechos que la ley reconoce a los titulares: Acceso, Rectificación, Supresión, Oposición y Portabilidad. Su ejercicio es gratuito y el responsable debe habilitar un canal accesible para atenderlos.
¿La Ley 21.719 obliga a poner un banner de cookies?
La ley no menciona la palabra «cookies», pero exige consentimiento previo, libre e informado para tratar datos personales sin otra base de licitud. Como las cookies de analítica y publicidad tratan datos de navegación asociables a una persona, en la práctica se requiere un mecanismo que bloquee esos rastreadores hasta que el usuario acepte activamente.
¿Es obligatorio tener un Delegado de Protección de Datos en Chile?
No para todas las organizaciones. Es obligatorio para los organismos públicos y para responsables cuyo tratamiento sea masivo, habitual o involucre datos sensibles a gran escala. Para el resto es voluntario, aunque cuenta como elemento favorable dentro de un modelo de prevención.
¿La dirección IP es un dato personal en Chile?
Sí. La dirección IP permite, sola o combinada con otros datos, identificar indirectamente a una persona natural, por lo que queda comprendida en la definición de dato personal. Lo mismo aplica a los identificadores de cookies y a los identificadores publicitarios de dispositivos móviles.
¿Puedo seguir usando Google Analytics?
Sí, siempre que se cargue únicamente después del consentimiento del usuario, que informes su uso en tu política de privacidad y que documentes la transferencia internacional de datos hacia el proveedor. Lo que deja de ser viable es instalarlo por defecto en todas las visitas.
¿Qué pasa con las bases de datos que ya tengo?
Deben regularizarse antes de la entrada en vigencia. Para cada base necesitas identificar su origen, la finalidad para la que se recolectó y la base de licitud que ampara su tratamiento actual. Los datos sin base identificable deben depurarse o volver a recabarse con consentimiento válido.
¿En qué se diferencia de la Ley 19.628?
La Ley 19.628 reconocía derechos pero carecía de autoridad fiscalizadora y de régimen sancionatorio efectivo, admitía el consentimiento tácito y no regulaba brechas de seguridad ni transferencias internacionales. La Ley 21.719 corrige los cuatro puntos.
¿Cuánto cuesta adecuarse a la Ley 21.719?
Depende del volumen y sensibilidad de los datos. Para una PYME con un sitio web y un CRM, la adecuación es principalmente documental y de configuración técnica. Para organizaciones con tratamientos masivos o datos sensibles, requiere evaluaciones de impacto y, con frecuencia, un delegado dedicado. En todos los casos, el costo de adecuarse es órdenes de magnitud menor al de una sanción.
Sigue leyendo
Nota metodológica y aviso legal. Este documento es material informativo de divulgación elaborado por AIntelligence SpA con fines de orientación general, y su contenido fue revisado por el abogado Antonio Barra. No constituye asesoría legal ni certificación de cumplimiento, y no sustituye la revisión del texto oficial de la Ley 21.719 ni la asesoría de un abogado especialista para tu caso concreto. El texto oficial y actualizado está disponible en la Biblioteca del Congreso Nacional de Chile. Última revisión: 28 de julio de 2026.