La Ley 21.719 es la nueva ley de protección de datos personales de Chile. Fue publicada en el Diario Oficial el 13 de diciembre de 2024, modifica en profundidad la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales. Según su texto, entra en vigencia el 1 de diciembre de 2026.

Esa fecha puede moverse. El 28 de octubre de 2026 el Senado aprobó un proyecto que la posterga, y todavía falta el trámite en la Cámara de Diputados. Mientras ese proyecto no se publique en el Diario Oficial, la fecha vigente sigue siendo la de la ley. Abajo explico qué dice el texto, qué se sabe de la postergación y qué conviene hacer con el consentimiento y las cookies de tu sitio.

El artículo primero transitorio de la ley dice que las modificaciones a la Ley 19.628 entran en vigencia "el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial". Con la publicación del 13 de diciembre de 2024, el primer mes posterior es enero de 2025 y el vigésimo cuarto es diciembre de 2026: el 1 de diciembre de 2026.

La Biblioteca del Congreso Nacional (BCN) publica el texto con esa regla. La versión que consulté el 30 de octubre de 2026 es la del 5 de febrero de 2026, anterior al proyecto de postergación.

Según la ficha oficial del Senado, que consulté el 2 de noviembre de 2026, el Gobierno ingresó el 1 de septiembre de 2026 un mensaje (boletín 18.623-07) para postergar la entrada en vigencia. El mensaje proponía el 1 de diciembre de 2027. El informe de la Comisión de Constitución del Senado fija el 15 de octubre de 2027 como nueva fecha de vigencia.

El 28 de octubre de 2026 el Senado lo despachó como "Aprobado en general y particular a la vez" y el 29 de octubre lo envió a la Cámara de Diputados. Hoy está en segundo trámite constitucional, con urgencia "discusión inmediata", sin número de ley ni publicación en el Diario Oficial.

El resultado de la votación, 33 votos a favor y 6 en contra, lo informó el Diario Financiero; la ficha del Senado no lo muestra. Lo seguro es la regla: una ley solo cambia cuando la modificación se publica. Mientras eso no ocurra, la fecha de la ley es el 1 de diciembre de 2026. Antes de decidir un calendario, revisa el estado del boletín en la ficha del Senado.

La postergación, tal como la presenta el proyecto, no cambia las obligaciones de fondo. Por eso conviene preparar el sitio ahora: la ley no desaparece, se mueve su fecha.

La ley modifica la Ley 19.628, que pasa a llamarse "sobre protección de los datos personales". El art. 1 define su objeto: regular la forma y las condiciones del tratamiento y la protección de los datos personales de las personas naturales. A diferencia de la ley argentina, solo protege datos de personas naturales.

Todo tratamiento de datos que haga una persona natural o jurídica, incluidos los órganos públicos, queda sujeto a ella. No se aplica al tratamiento que hacen las personas naturales en sus actividades personales ni, con matices, al ejercicio de las libertades de opinión e información.

El art. 1 bis fija el alcance territorial. La ley se aplica, entre otros casos, cuando el responsable o el encargado están establecidos en Chile, y también cuando no lo están pero su tratamiento está destinado a ofrecer bienes o servicios a titulares que se encuentran en Chile, se cobre o no, o a monitorear el comportamiento de titulares en Chile, "incluyendo su análisis, rastreo, perfilamiento o predicción de comportamiento".

Para un sitio o una tienda online esto es lo más relevante. Si vendes a Chile o rastreas a visitantes chilenos desde otro país, la ley te alcanza aunque no tengas oficina allí. El art. 14 añade que el responsable sin domicilio en Chile debe mantener un correo u otro medio de contacto operativo para recibir comunicaciones de los titulares y de la Agencia.

El art. 2 define dato personal como cualquier información vinculada o referida a una persona natural identificada o identificable. Es identificable la persona cuya identidad puede determinarse, directa o indirectamente, mediante identificadores como el nombre o el número de cédula, y para decidirlo se consideran los medios y factores objetivos que razonablemente se podrían usar en el momento del tratamiento.

La misma norma define el consentimiento como toda manifestación de voluntad libre, específica, inequívoca e informada, otorgada mediante una declaración o una clara acción afirmativa. Esa definición es muy parecida a la del RGPD europeo, y la comparación es útil: sirve lo que ya sabes del consentimiento válido, aunque cada ley tiene su propio texto.

El art. 3 enumera ocho principios: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad. Dos de ellos tienen efecto directo en un sitio web.

• Licitud: el responsable debe ser capaz de acreditar la licitud del tratamiento que realiza.
• Proporcionalidad: los datos se conservan solo el tiempo necesario para cumplir los fines; después deben suprimirse o anonimizarse, salvo excepciones legales. Un plazo mayor requiere autorización legal o consentimiento.

El principio de transparencia exige que las políticas y prácticas sobre el tratamiento estén permanentemente accesibles de manera precisa, clara, inequívoca y gratuita. El art. 14 ter lo concreta: el responsable debe tener a disposición del público, en su sitio web, su política de tratamiento con fecha y versión, los datos de contacto para las solicitudes de los titulares, las categorías de datos, las finalidades, la base de licitud, los destinatarios, el plazo de conservación y los derechos del titular, entre otros.

El art. 12 abre el régimen de licitud: el tratamiento es lícito cuando el titular otorga su consentimiento. Pide que sea libre, informado y específico en cuanto a su finalidad, que se manifieste de forma previa e inequívoca, y que conste en una declaración verbal, escrita, por un medio electrónico equivalente o por un acto afirmativo que dé cuenta con claridad de la voluntad del titular.

Otras reglas del artículo que conviene tener a mano:

• El titular puede revocar el consentimiento en cualquier momento y sin expresar causa, con medios similares o equivalentes a los usados para otorgarlo. La revocación no tiene efectos retroactivos.
• Los medios para otorgar o revocar deben ser "expeditos, fidedignos, gratuitos y estar permanentemente disponibles".
• Se presume que el consentimiento no fue libre cuando se pide en el marco de un contrato o servicio en que esa recolección no es necesaria.
• Corresponde al responsable probar que contó con el consentimiento y que el tratamiento fue lícito, leal y transparente.

La última regla es la que más pesa en un sitio web: no basta con mostrar un aviso, hay que poder demostrar qué decidió cada persona. Es el tema de registrar los consentimientos.

El art. 13 permite tratar datos sin consentimiento en casos como obligaciones legales, ejecución de un contrato o medidas precontractuales a solicitud del titular, y satisfacción de intereses legítimos del responsable o de un tercero cuando no se afecten los derechos y libertades del titular. En este último caso el titular puede exigir ser informado del interés invocado, y el art. 8 le permite oponerse en cualquier momento.

El art. 4 reconoce seis derechos: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Son personales, intransferibles e irrenunciables. Para ejercerlos, el titular presenta una solicitud escrita ante el responsable, por correo electrónico, formulario de contacto o medio equivalente (art. 11).

El responsable debe acusar recibo y pronunciarse a más tardar dentro de treinta días corridos desde el ingreso de la solicitud, plazo que puede prorrogarse una sola vez hasta por treinta días corridos más. Si deniega total o parcialmente, debe fundar su decisión.

Dos derechos tocan el marketing. El art. 8 permite oponerse a un tratamiento hecho exclusivamente con fines de marketing directo, incluida la elaboración de perfiles. Y el art. 8 bis da derecho a oponerse a decisiones basadas únicamente en tratamiento automatizado, incluidos los perfiles, que produzcan efectos jurídicos o afecten significativamente, con excepciones, entre ellas el consentimiento previo y expreso del art. 12.

El art. 16 quáter define como niños a los menores de catorce años y como adolescentes a los mayores de catorce y menores de dieciocho. Para tratar datos de niños se requiere el consentimiento de sus padres o representantes legales, salvo que la ley lo autorice.

Los datos de los adolescentes se pueden tratar con las reglas de los adultos, salvo los datos sensibles de menores de dieciséis años, que requieren consentimiento de sus padres o representantes. Si tu tienda o tu sitio se dirige a menores, esto cambia el diseño del consentimiento.

La ley crea la Agencia de Protección de Datos Personales, mencionada en el art. 2, y el Registro Nacional de Sanciones y Cumplimiento, un registro público que administra la Agencia y que consigna los modelos de prevención certificados, los responsables que los adoptaron y las sanciones impuestas.

No pude abrir en la fuente oficial el detalle del régimen de infracciones y multas, así que no cito cifras ni artículos de ese apartado. Revísalo en la BCN antes de evaluar un riesgo concreto.

El artículo sexto transitorio establece una regla de transición: durante los primeros doce meses de vigencia, para las empresas de menor tamaño según la Ley 20.416, la Agencia podrá aplicar como sanción una amonestación por escrito en lugar de otras sanciones.

El texto de la ley que revisé no usa la palabra "cookies", y no encontré una guía de la Agencia sobre ellas. La lectura razonable, que conviene confirmar con asesoramiento legal, sale de tres piezas del texto:

1. El art. 1 bis incluye el "rastreo" y el "perfilamiento" de titulares que están en Chile como motivo de aplicación de la ley.
2. El dato personal incluye lo que hace identificable a una persona de forma indirecta, con los medios que razonablemente se podrían usar (art. 2).
3. El consentimiento debe ser previo, inequívoco y por acto afirmativo, revocable con medios equivalentes (art. 12).

De ahí se sigue una práctica prudente para tu sitio:

• Bloquear las cookies no esenciales hasta que haya una acción afirmativa. Seguir navegando no es una acción afirmativa clara.
• Ofrecer la misma facilidad para retirar que para dar. Un enlace permanente al panel de preferencias cumple el espíritu del art. 12.
• Informar con el contenido del art. 14 ter: política con fecha y versión, finalidades, terceros y contacto.
• Guardar la prueba. En AdOpt la prueba del consentimiento es el Consent Log (fecha y hora, qué se aceptó o rechazó y las versiones de los documentos); el CookieID solo liga la elección con ese registro. Cómo funciona un CMP lo explica la guía de referencia.

Si ya cumples con el consentimiento de cookies del RGPD, tienes una buena base, pero los textos legales difieren. Y si vendes en la región, compara con México (LFPDPPP), Argentina (Ley 25.326) y con Tiendanube, una plataforma de comercio electrónico de la región.

• Mapea qué datos recoges, con qué finalidad y con qué base (arts. 12 y 13).
• Revisa tu política de privacidad contra el listado del art. 14 ter.
• Prepara el canal y el procedimiento de derechos, con los plazos de 30 días corridos.
• Escanea el sitio y clasifica cada cookie. La prueba de 30 días de AdOpt te permite empezar.
• Sigue el boletín 18.623-07 y la fecha: 1 de diciembre de 2026 o la que se publique.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso.

• Habeas Data en Colombia: cómo cumplir la Ley 1581
• Ley 29733 en Perú: guía de protección de datos

Según su artículo primero transitorio, el 1 de diciembre de 2026. El Senado aprobó el 28 de octubre de 2026 un proyecto que la posterga, y falta la Cámara de Diputados. Mientras la modificación no se publique en el Diario Oficial, la fecha vigente es la de la ley. Consulta el estado del boletín 18.623-07 en la ficha del Senado antes de planificar.

La Ley 21.719 la modifica y la renombra como ley "sobre protección de los datos personales". Hasta que las modificaciones entren en vigencia, sigue aplicándose su texto actual. Es la misma ley en dos momentos: la 19.628 con su texto actual hasta la vigencia, y la 19.628 modificada por la 21.719 después.

Puede aplicarse. El art. 1 bis alcanza a quien, sin estar establecido en Chile, ofrece bienes o servicios a personas en Chile o monitorea su comportamiento, incluido el rastreo y el perfilamiento. Confirma tu caso con asesoramiento legal, sobre todo si vendes de forma regular a ese mercado.

El texto no menciona las cookies. Exige consentimiento previo, inequívoco y por acto afirmativo cuando esa es la base del tratamiento (art. 12), y esa regla se aplica a las cookies que tratan datos personales. Lo prudente es bloquear las no esenciales hasta que la persona acepte y dejar un acceso permanente para cambiar la decisión.

El art. 11 fija un máximo de treinta días corridos desde el ingreso de la solicitud. Ese plazo puede prorrogarse por una sola vez hasta por treinta días corridos más. Debes acusar recibo y responder por escrito, y guardar los respaldos que acrediten fecha y contenido de la respuesta.

¿Quieres preparar tu sitio para la nueva ley chilena? Habla con el equipo de AdOpt y revisamos tus cookies y tu consentimiento.