Blog · Cumplimiento
Ley 21.719: qué debe tener tu sitio web antes del 1 de diciembre de 2026
Los siete elementos exigibles, qué pasa con Google Analytics y el píxel de Meta, y cuánto cuesta adecuar un sitio corporativo en Chile.
Desde el 1 de diciembre de 2026, todo sitio web que trate datos de personas en Chile debe tener política de tratamiento publicada, banner de cookies con rechazo por categoría, consentimiento explícito y separado por finalidad en cada formulario, un canal formal de ejercicio de derechos, registro de actividades de tratamiento y protocolo de respuesta ante brechas. Basta un formulario de contacto para que la ley aplique. La adecuación técnica de un sitio toma entre 5 y 15 días hábiles.
El 1 de diciembre de 2026 comienza la plena aplicación de la Ley 21.719 sobre protección y tratamiento de datos personales, junto con el inicio de operaciones de la Agencia de Protección de Datos Personales. Desde esa fecha, cualquier sitio web que trate datos de personas en Chile queda sujeto a obligaciones concretas y verificables.
Este artículo explica qué se exige, qué no basta, y cuánto toma resolverlo.
¿A qué empresas les aplica la Ley 21.719?
A todas las que traten datos personales, sin importar su tamaño ni su rubro. La ley no establece un umbral mínimo de facturación ni de volumen de datos.
En la práctica, si tu sitio tiene un formulario de contacto, una suscripción a newsletter, un chat, una tienda o cualquier herramienta de analítica, ya estás tratando datos personales. Con eso basta.
La confusión más habitual es asumir que la ley apunta solo a grandes bases de datos o a empresas que venden información. No es así: el criterio es el tratamiento, no la escala.
¿Qué debe tener tu sitio, exactamente?
Son siete elementos. La mayoría de los sitios corporativos chilenos hoy cumple uno o dos.
| Elemento | Qué significa en la práctica |
|---|---|
| Política de tratamiento de datos | Documento público y accesible que explica qué datos se recogen, con qué finalidad, por cuánto tiempo y con quién se comparten |
| Consentimiento de cookies por categoría | Banner con aceptación y rechazo diferenciado por tipo de cookie, revocable en cualquier momento |
| Bloqueo previo de etiquetas | Analítica, píxeles y herramientas de terceros no cargan hasta que el usuario acepta |
| Consentimiento en formularios | Explícito, separado por finalidad y desmarcado por defecto. Contactar no es lo mismo que suscribirse |
| Canal de ejercicio de derechos | Vía formal para solicitar acceso, rectificación, supresión, oposición, portabilidad y bloqueo |
| Registro de actividades de tratamiento | Documento interno que inventaría qué datos trata la empresa, dónde y quién accede |
| Protocolo de respuesta ante brechas | Procedimiento definido, con notificación dentro de 72 horas |
¿Sirve el banner de cookies que ya tengo?
Depende de cómo esté configurado, y la mayoría no sirve.
Los banners que solo informan —*“este sitio usa cookies, aceptar”*— corresponden a un modelo de consentimiento presunto que la ley ya no admite. Tampoco sirven las casillas premarcadas ni los avisos que solo permiten aceptar.
Un banner conforme debe cumplir cuatro condiciones:
- Ofrecer rechazar con la misma facilidad que aceptar
- Permitir elegir por categoría (necesarias, analítica, marketing)
- No cargar ninguna etiqueta de terceros antes de la aceptación
- Ser revocable desde un enlace permanente, normalmente en el pie de página
Ese último punto es el que más se olvida: el usuario debe poder cambiar de opinión después.
¿Qué pasa con Google Analytics y el píxel de Meta?
Pueden seguir usándose, pero deben quedar bloqueados hasta el consentimiento.
Técnicamente se resuelve con el modo de consentimiento del gestor de etiquetas: las herramientas quedan en estado denegado por defecto y solo se activan cuando el usuario acepta la categoría correspondiente. Si Analytics dispara en la primera visita, hay tratamiento de datos sin base legítima.
Esto tiene un efecto secundario que conviene anticipar: vas a ver caer los números de tráfico registrado. No porque baje el tráfico real, sino porque dejas de medir a quienes no consintieron. Es esperable y le pasa a todos.
¿Necesito un Delegado de Protección de Datos?
No todas las empresas están obligadas. La exigencia se activa según la escala del tratamiento y la naturaleza de los datos —especialmente si se manejan datos sensibles de forma habitual.
Es una definición jurídica, no técnica. Corresponde a la asesoría legal de cada empresa determinarlo, no al proveedor que implementa el sitio.
¿Cuánto cuesta adecuar un sitio web en Chile?
La adecuación de un sitio existente se cotiza entre $390.000 y $690.000 + IVA, según cuántos formularios, herramientas de medición y canales de contacto haya que revisar.
Es un trabajo sobre un sitio que ya existe, distinto de los planes de sitio nuevo.
Hay una diferencia que conviene mirar al comparar cotizaciones: algunos servicios del mercado se venden con vigencia limitada y costo de renovación anual. Otros, incluido el nuestro, quedan instalados de forma permanente y son propiedad de la empresa. En un horizonte de tres años la diferencia es significativa.
¿Cuánto demora?
Entre 5 y 15 días hábiles de trabajo efectivo, más el tiempo de revisión interna del cliente.
El componente que más se dilata no es el técnico: es la validación jurídica de los textos. La política de tratamiento y los textos de consentimiento deben ser revisados por la asesoría legal de la empresa, y eso rara vez toma menos de una semana.
Por eso conviene iniciar en septiembre u octubre, no en la última quincena de noviembre.
En resumen
La Ley 21.719 no exige nada exótico: exige que el sitio pida permiso antes de tratar datos, que explique qué hace con ellos y que ofrezca una vía para reclamarlos. Lo que sí exige es que eso esté implementado y funcionando, no solo declarado en un documento.
Si tu sitio hoy carga Analytics antes del banner, o tu banner no permite rechazar, ya sabes por dónde partir.
¿Quieres saber en qué estado está tu sitio? Revisamos y te decimos qué falta, sin compromiso: adecuación de sitios web a la Ley 21.719.
Preguntas frecuentes
Sí. La ley se activa por el tratamiento de datos personales, no por el tamaño de la empresa ni por el volumen. Un formulario que pide nombre, correo o teléfono ya constituye tratamiento de datos personales y obliga a cumplir los requisitos de información y consentimiento.
Solo si permite rechazar por categoría y no carga nada antes de la aceptación. Los banners de aviso, del tipo 'usamos cookies, aceptar', no cumplen: la ley exige consentimiento previo, informado y revocable, con opción real de rechazo.
Sí, pero debe quedar bloqueado hasta que el usuario acepte la categoría de analítica. Se implementa con el modo de consentimiento del gestor de etiquetas. Si Analytics carga antes del consentimiento, hay tratamiento sin base legítima.
No todas las empresas. La obligación depende de la escala del tratamiento y de si se manejan datos sensibles de forma habitual. Es una definición que corresponde a la asesoría legal de cada empresa, no al proveedor tecnológico.
La obligación rige igual desde esa fecha. La adecuación técnica de un sitio toma entre 5 y 15 días hábiles según su complejidad, así que conviene iniciarla con margen y no en la última semana de noviembre.
No. La política es uno de los siete elementos, pero la ley también exige consentimiento operativo en formularios y cookies, un canal de ejercicio de derechos, registro interno de tratamientos y un protocolo de brechas. Publicar un documento sin implementar lo demás no cumple.