Ley 21.719 en tu página web: checklist de formularios, cookies y política de privacidad

Si tu página web tiene un formulario de contacto, un newsletter, una tienda o Google Analytics, trata datos personales y la Ley 21.719 le aplica. Desde el 1 de diciembre de 2026 (fecha vigente al 30 de octubre de 2026), el sitio debe publicar una política de tratamiento de datos con contenidos mínimos, pedir consentimiento informado cuando esa sea la base legal, ofrecer un canal para que las personas ejerzan sus derechos y proteger los datos que recibe. La mayoría de estos ajustes son técnicos y se pueden hacer antes de la fecha.

Esta guía está dirigida a pymes y empresas de Chile que tienen o van a contratar un sitio web. Explica qué cambia en la parte visible y técnica del sitio. No es asesoría legal: el registro de actividades de tratamiento, los contratos con proveedores o la evaluación de impacto requieren revisión de un abogado especialista en protección de datos.

¿Cuándo entra en vigencia la Ley 21.719 y se va a postergar?

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. Su artículo primero transitorio fija la vigencia el "día primero del mes vigésimo cuarto posterior a la publicación", es decir, el 1 de diciembre de 2026 (Diario Oficial, CVE 2583630).

En septiembre de 2026 el Gobierno ingresó un proyecto (boletín 18.623-07) que propone mover esa fecha al 1 de diciembre de 2027. Al 30 de octubre de 2026 el proyecto sigue en primer trámite en el Senado y no es ley. Según lo informado, tampoco cambia las obligaciones de fondo: solo daría más tiempo. Por eso conviene preparar el sitio igual; si la postergación se aprueba, se gana margen, no se elimina el trabajo.

¿A qué sitios web les aplica?

A cualquier sitio cuyo responsable trate datos de personas identificadas o identificables. En la práctica, casi todos los sitios de empresa recogen alguno de estos datos:

• Nombre, correo, teléfono y mensaje de un formulario de contacto o cotización.
• Correos de un newsletter.
• Datos de clientes, direcciones y compras en una tienda online.
• Cuentas de usuario de un portal o intranet.
• Identificadores de navegación de herramientas de analítica o publicidad (Google Analytics, píxel de Meta, Google Ads).

La ley no exime a las pymes de sus obligaciones. Sí prevé dos diferencias: los estándares mínimos de información y seguridad se fijarán considerando, entre otros factores, el tamaño de la empresa (artículo 14 septies), y durante los primeros doce meses la Agencia podrá sancionar a las empresas de menor tamaño con amonestación escrita en lugar de multa (artículo sexto transitorio).

Checklist: qué revisar en tu sitio web

1. Política de privacidad con los contenidos del artículo 14 ter

El artículo 14 ter obliga a mantener "permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente" al menos esta información:

1. La política de tratamiento de datos, con su fecha y versión.
2. La identificación del responsable, su representante legal y el encargado de prevención, si existe.
3. El domicilio postal, correo, formulario o medio por el que se reciben las solicitudes de los titulares.
4. Los tipos de datos tratados, el universo de personas, los destinatarios, las finalidades, la base de legitimidad y, si se usa interés legítimo, cuál es.
5. La política y las medidas de seguridad adoptadas.
6. Los derechos de acceso, rectificación, supresión, oposición y portabilidad.
7. El derecho a reclamar ante la Agencia si el responsable rechaza o no responde a tiempo.
8. Las transferencias a otros países y si estos tienen un nivel adecuado de protección.
9. El período de conservación de los datos.
10. La fuente de los datos, incluido si provienen de fuentes de acceso público.
11. Si el tratamiento se basa en el consentimiento, el derecho a retirarlo en cualquier momento.
12. La existencia de decisiones automatizadas o elaboración de perfiles, con información sobre su lógica y consecuencias.

Una plantilla genérica copiada de otro sitio suele fallar en los puntos 4, 8 y 9, porque dependen de qué herramientas usa realmente la empresa. Incumplir total o parcialmente este deber es una infracción leve (artículo 34 bis, letra a).

2. Formularios con consentimiento verificable

Según el artículo 12, el consentimiento debe ser "libre, informado y específico en cuanto a su finalidad", previo e inequívoco, y es el responsable quien debe probar que lo obtuvo. Para un formulario web esto se traduce en:

• Una casilla que la persona marca activamente; no marcada por defecto.
• Un texto que diga para qué se usarán los datos (por ejemplo, "responder mi solicitud y preparar una cotización"), con enlace a la política.
• Finalidades separadas: aceptar recibir una cotización no equivale a aceptar un newsletter.
• Registro de la evidencia: texto aceptado, fecha y versión de la política vigente.
• Pedir solo los datos necesarios. Recoger datos innecesarios para la finalidad es una infracción grave (artículo 34 ter, letra c).

No todo tratamiento requiere consentimiento. El artículo 13 permite tratar datos sin él, por ejemplo, cuando es necesario para ejecutar un contrato o medidas precontractuales pedidas por el titular, o por interés legítimo. La base que se use debe quedar explicada en la política.

3. Cookies, Google Analytics y píxeles

La Ley 21.719 no menciona las cookies por su nombre. Lo que regula es el tratamiento de datos personales: si una cookie o un píxel permite identificar o perfilar a una persona, ese tratamiento necesita una base de licitud. Para analítica y publicidad, la práctica más prudente es pedir consentimiento antes de activar esas etiquetas, porque es difícil justificar que sean necesarias para el servicio que la persona pidió.

En un sitio con Google Tag Manager, esto se implementa con un banner de tres opciones (aceptar, rechazar y configurar) y con el modo de consentimiento de Google en "denegado" por defecto, que se actualiza solo cuando la persona acepta. Un banner que informa pero carga Analytics de todas formas no cumple el objetivo.

4. Un canal para que las personas ejerzan sus derechos

El artículo 11 establece que las solicitudes llegan por un correo, formulario de contacto o medio electrónico equivalente. El responsable debe acusar recibo y responder dentro de 30 días corridos, prorrogables una vez por otros 30, y guardar respaldo de la respuesta. Si la persona pide el bloqueo temporal de sus datos mientras se resuelve una rectificación, supresión u oposición, el plazo para responder es de 2 días hábiles.

El sitio web debe mostrar ese canal, pero el trabajo real es interno: saber dónde están los datos de cada persona (correo, CRM, planillas, respaldos) para poder entregarlos, corregirlos o borrarlos.

5. Seguridad del sitio y aviso de brechas

El artículo 14 quinquies exige medidas de seguridad acordes con el riesgo, el tipo de datos y el costo de aplicación. En un sitio web, el mínimo razonable es: certificado SSL, CMS y plugins actualizados, cuentas de administración personales con contraseñas robustas y doble factor cuando sea posible, respaldos, y no guardar en la web datos que no necesita.

Si ocurre una vulneración que genera "un riesgo razonable para los derechos y libertades de los titulares", hay que reportarla a la Agencia sin dilaciones indebidas (artículo 14 sexies). Omitir deliberadamente esa comunicación es una infracción gravísima (artículo 34 quáter, letra f).

6. Proveedores y transferencias internacionales

El hosting, el servicio de correo, el CRM, Google Analytics o una plataforma de envío de correos tratan datos por cuenta de tu empresa. La ley los trata como encargados (artículo 15 bis) y, si sus servidores están fuera de Chile, como transferencia internacional (artículos 27 y 28). La política de privacidad debe informar esas transferencias y si el país de destino ofrece un nivel adecuado de protección.

Ejemplo: cómo lo aplicamos en webzolver.cl

Este es el estado de nuestro propio sitio al 30 de octubre de 2026. No es una certificación ni un dictamen legal: muestra cómo se traducen los requisitos anteriores a una web concreta.

Qué aprendimos al implementarlo:

• La política depende del inventario de herramientas. Fue necesario listar cada servicio que recibe datos (hosting, envío de correos, analítica, publicidad) antes de redactar las secciones de terceros y transferencias.
• Guardar la evidencia es más difícil que mostrar la casilla. El formulario debe enviar el texto exacto y la versión de la política; si la política cambia, las solicitudes antiguas siguen asociadas a la versión que la persona aceptó.
• El banner es la parte técnica más delicada. Hay que comprobar con las herramientas del navegador que las etiquetas de Analytics y del píxel no se activan antes de aceptar.

Multas: cuánto arriesga una empresa

El artículo 35 fija estos topes:

Son topes, no montos fijos: la Agencia considera la gravedad, el daño, el número de personas afectadas y la capacidad económica del infractor (artículo 37). En reincidencia, la multa puede llegar al triple; para empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, hasta el 2% o 4% de sus ingresos anuales. El valor de la UTM cambia cada mes; consulta el valor vigente en el SII.

Errores frecuentes en sitios web

• Copiar la política de otra empresa. Menciona herramientas que no usas y omite las que sí.
• Casilla premarcada o texto genérico del tipo "acepto los términos", sin finalidad.
• Banner decorativo: informa sobre cookies, pero Analytics y el píxel se cargan antes de que la persona elija.
• Formularios que piden de más: RUT, dirección o fecha de nacimiento cuando solo se necesita responder una consulta.
• No saber dónde están los datos: copias en el correo, en planillas y en el CRM que nadie revisa cuando llega una solicitud de supresión.
• Plugins y CMS desactualizados, una de las vías habituales de filtración en sitios pequeños.

Preguntas frecuentes

¿Mi web necesita banner de cookies con la Ley 21.719?

Si usas herramientas de analítica o publicidad que identifican o perfilan a los visitantes, necesitas una base legal para ese tratamiento. La ley no menciona las cookies por su nombre, pero para analítica y publicidad la opción más prudente es pedir consentimiento con un banner que permita aceptar y rechazar, y no cargar esas etiquetas antes de la elección. Un sitio que solo usa cookies técnicas necesarias para funcionar tiene menos exigencias.

¿Una pyme queda exenta de la Ley 21.719?

No. Las obligaciones aplican a todo responsable de datos. La ley permite que los estándares de información y seguridad consideren el tamaño de la empresa y, durante los primeros doce meses de vigencia, la Agencia puede sancionar a las empresas de menor tamaño con amonestación escrita en lugar de multa.

¿Existe una certificación de cumplimiento para sitios web?

No hay un sello oficial para páginas web. Lo que la ley contempla es un modelo de prevención de infracciones voluntario, que la Agencia puede certificar (artículos 49 a 51) y que abarca toda la organización, no solo el sitio. Desconfía de servicios que prometen dejar una web "certificada" solo instalando un plugin.

¿Qué pasa si la ley se posterga a 2027?

Al 30 de octubre de 2026 la postergación es un proyecto en trámite y no ha sido aprobada. Aunque se apruebe, las obligaciones no cambian: solo se movería la fecha. Ajustar ahora el formulario, la política y el banner evita hacerlo con apuro.

Fuentes y metodología

• Diario Oficial de la República de Chile: Ley 21.719, publicada el 13 de diciembre de 2024. Artículos citados: 11, 12, 13, 14 ter, 14 quinquies, 14 sexies, 14 septies, 15 bis, 27, 28, 34 bis a 37, 49 a 51 y transitorios primero y sexto.
• Senado de Chile: proyecto que posterga la entrada en vigencia, boletín 18.623-07. Estado revisado el 30 de octubre de 2026.
• Ejemplo propio: revisión del código y de las páginas públicas de webzolver.cl (formulario, política y banner de cookies) realizada por WebZolver el 30 de octubre de 2026.

Este artículo resume obligaciones legales desde la perspectiva del desarrollo web. WebZolver no es un estudio jurídico; para validar tu política y tus procesos internos, consulta a un abogado especialista.

Recursos relacionados y siguiente paso

• Qué debe tener una página web profesional: checklist general antes de contratar.
• Analytics y Search Console para medir una web: qué mide cada herramienta y cómo configurarlas.
• Qué debe incluir la cotización de una página web: pide que la propuesta especifique política, formularios y banner.

En WebZolver podemos implementar en tu sitio el formulario con consentimiento registrado, el banner de cookies conectado al modo de consentimiento de Google y la estructura de la política según las herramientas que usa tu empresa (el texto legal final conviene validarlo con tu abogado). Si quieres revisar tu sitio actual o cotizar uno nuevo, escríbenos.