La protección de datos personales está a punto de cambiar de manera importante en Chile. La Ley 21.719, publicada el 13 de diciembre de 2024, introduce una reforma integral a la Ley 19.628, crea la Agencia de Protección de Datos Personales y establece nuevas obligaciones para las organizaciones que recolectan, almacenan, utilizan o comparten información de personas naturales.
La nueva regulación entrará en vigencia el 1 de diciembre de 2026. Aunque la fecha puede parecer distante, adaptar una empresa no consiste únicamente en actualizar una política de privacidad durante la semana anterior. En muchos casos será necesario revisar formularios, bases de datos, sistemas de registro, herramientas de analítica, campañas publicitarias, plataformas de comercio electrónico, integraciones y protocolos de seguridad.
Por eso, este proceso debe comenzar con anticipación.
La protección de datos ya no puede limitarse a un documento legal
La Ley 21.719 regula la forma y las condiciones en que se realiza el tratamiento de datos personales. Esto significa que no se limita a empresas tecnológicas o grandes plataformas.
Una clínica que recibe solicitudes de reserva, una inmobiliaria que registra potenciales compradores, una tienda online que procesa pedidos, una institución educacional que administra información de estudiantes o una empresa que utiliza formularios de contacto están realizando operaciones de tratamiento de datos personales.
La ley define el tratamiento de manera amplia, incluyendo actividades como recolectar, procesar, almacenar, comunicar, transmitir o utilizar información vinculada con una persona identificada o identificable.
En la práctica, un sitio web puede recopilar datos mediante:
- Formularios de contacto y cotización.
- Registros de clientes o usuarios.
- Suscripciones a newsletters.
- Sistemas de reservas.
- Procesos de compra y pago.
- Herramientas de atención mediante chat.
- Google Analytics y plataformas de medición.
- Píxeles y tecnologías de publicidad digital.
- Integraciones con CRM, ERP y sistemas externos.
- Documentos cargados por clientes o postulantes.
- Cookies y tecnologías de seguimiento.
El cumplimiento, por lo tanto, debe reflejarse en el funcionamiento real de la plataforma y no solamente en un texto ubicado en el pie de página.
Consentimiento: aceptar debe ser una decisión real
Uno de los elementos centrales de la nueva normativa es la forma en que se obtiene el consentimiento.
La ley establece que el consentimiento debe ser “libre, informado y específico”, además de manifestarse de forma “previa y de manera inequívoca”. También debe existir una declaración o acción afirmativa clara por parte del titular.
Esto puede afectar directamente la configuración de formularios, casillas de autorización, suscripciones y herramientas de seguimiento.
Por ejemplo, una casilla premarcada que autoriza automáticamente el envío de promociones puede no entregar una evidencia suficientemente clara de la voluntad del usuario. Tampoco resulta recomendable ocultar la autorización dentro de términos extensos o condicionar un servicio a la entrega de datos que no son realmente necesarios para prestarlo.
Además, cuando el consentimiento sea la base utilizada para el tratamiento, la empresa deberá poder demostrar que efectivamente lo obtuvo. También tendrá que facilitar su revocación mediante mecanismos expeditos, gratuitos y permanentemente disponibles.
Desde la perspectiva técnica, esto puede requerir registrar cuándo se aceptó una autorización, qué texto estaba vigente, desde qué formulario se entregó y qué finalidades fueron informadas.
No todos los datos deberían recopilarse
La ley incorpora principios que deben orientar todo el ciclo de vida de la información.
El principio de finalidad señala que los datos deben recolectarse con “fines específicos, explícitos y lícitos”. El principio de proporcionalidad establece, a su vez, que deben tratarse únicamente los datos necesarios, adecuados y pertinentes para esos fines.
Esto obliga a revisar preguntas que durante años se han agregado a formularios sin una justificación clara.
¿Es necesario pedir el RUT para descargar un catálogo? ¿Se necesita la fecha de nacimiento para enviar una cotización? ¿Debe solicitarse una dirección completa cuando el usuario solamente quiere hacer una consulta?
Cada campo adicional aumenta la cantidad de información que la empresa debe administrar, proteger y eventualmente eliminar. Un formulario más corto no solo puede mejorar la conversión: también reduce riesgos y facilita el cumplimiento.
En MASSSTUDIO podemos revisar la estructura de formularios, registros y flujos digitales para identificar información innecesaria, explicar mejor la finalidad de cada campo e implementar autorizaciones diferenciadas cuando existan distintos usos posibles.
Los usuarios tendrán más control sobre su información
La nueva normativa reconoce derechos de “acceso, rectificación, supresión, oposición, portabilidad y bloqueo” de los datos personales. Estos derechos son personales, intransferibles e irrenunciables.
Esto significa que las empresas deberán contar con canales y procedimientos para responder solicitudes como:
“¿Qué información tienen sobre mí?”
“Mis datos están incorrectos y necesito actualizarlos.”
“Quiero dejar de recibir comunicaciones.”
“Solicito que eliminen mis datos.”
“Necesito recibir una copia de mi información.”
No basta con publicar una dirección de correo que nadie supervisa. El canal debe estar operativo y la organización debe ser capaz de localizar la información dentro de sus distintos sistemas.
En una empresa, los datos de una misma persona pueden encontrarse simultáneamente en WordPress, Shopify, WooCommerce, un CRM, una plataforma de email marketing, formularios internos, documentos descargados y planillas utilizadas por el equipo comercial.
Por eso es importante levantar un mapa de datos e integraciones. Sin ese inventario, responder correctamente una solicitud puede convertirse en una búsqueda manual, lenta e incompleta.
Cookies, analítica y publicidad digital
Uno de los puntos más visibles para los usuarios será la manera en que los sitios administren cookies y tecnologías de seguimiento.
El típico mensaje “al continuar navegando aceptas todas las cookies” difícilmente representa un modelo de consentimiento específico y afirmativo cuando se utiliza información para analítica, personalización o publicidad.
Cada herramienta debe revisarse según los datos que procesa, su finalidad y la base jurídica aplicable. Las cookies estrictamente necesarias para el funcionamiento del sitio no cumplen la misma función que un píxel publicitario o una herramienta que construye perfiles de comportamiento.
Una implementación técnica adecuada puede incluir:
- Clasificación de cookies por finalidad.
- Panel para aceptar o rechazar categorías.
- Bloqueo previo de tecnologías no esenciales cuando corresponda.
- Registro de las preferencias del usuario.
- Posibilidad de modificar posteriormente la decisión.
- Actualización de la política de cookies.
- Revisión de scripts cargados por plugins, etiquetas y servicios externos.
Instalar un banner visual sin controlar lo que ocurre detrás no resuelve el problema. Si Google Analytics, Meta Pixel u otra plataforma comienza a recopilar información antes de que el usuario tome una decisión, el diseño del aviso no refleja el funcionamiento técnico real.
Seguridad y respuesta ante incidentes
La Ley 21.719 también eleva las expectativas en materia de seguridad.
El responsable deberá garantizar “estándares adecuados de seguridad”, protegiendo los datos contra accesos no autorizados, pérdidas, filtraciones, alteraciones, daños o destrucción.
Las medidas necesarias dependerán del tipo de datos, la naturaleza del tratamiento, el tamaño de la organización y los riesgos asociados. No todas las empresas necesitan exactamente la misma infraestructura, pero sí deben demostrar que tomaron medidas razonables y coherentes con su realidad.
En sitios y plataformas digitales esto puede involucrar:
- Actualización permanente del CMS, plugins y dependencias.
- Control de usuarios y permisos administrativos.
- Autenticación de dos factores.
- Certificados SSL correctamente configurados.
- Copias de seguridad verificadas.
- Protección de formularios y archivos privados.
- Restricción de acceso a bases de datos.
- Registros de actividad.
- Monitoreo de vulnerabilidades.
- Protocolos para responder ante accesos no autorizados.
- Eliminación de cuentas antiguas y accesos innecesarios.
La ley también establece el deber de reportar determinadas vulneraciones de seguridad a la Agencia por medios expeditos y “sin dilaciones indebidas”, cuando exista un riesgo razonable para los derechos y libertades de las personas.
Esto vuelve indispensable contar con protocolos internos. Ante una filtración no debería improvisarse quién revisa el servidor, quién identifica los datos comprometidos, quién documenta el incidente y quién coordina las comunicaciones.
Las sanciones pueden ser significativas
La nueva normativa clasifica las infracciones en leves, graves y gravísimas.
Entre las conductas que pueden ser consideradas graves se encuentran tratar datos sin consentimiento o sin otra base legal aplicable, utilizar la información para una finalidad distinta, incumplir obligaciones de seguridad u omitir comunicaciones relacionadas con vulneraciones.
Las multas pueden alcanzar hasta 5.000 UTM para infracciones leves, 10.000 UTM para infracciones graves y 20.000 UTM para infracciones gravísimas. En determinados casos de reincidencia, la regulación también contempla sanciones calculadas sobre un porcentaje de los ingresos anuales de la empresa.
Pero el impacto no es solamente económico. Una mala gestión de datos puede provocar pérdida de confianza, conflictos con clientes, interrupciones operacionales y daño reputacional.
Adaptarse no debería entenderse únicamente como una forma de evitar multas. También es una oportunidad para ordenar procesos, reducir información innecesaria y ofrecer una experiencia digital más transparente.
¿Cómo puede ayudarte MASSSTUDIO?
En MASSSTUDIO desarrollamos sitios web, tiendas online, plataformas a medida, integraciones, automatizaciones, sistemas de analítica y planes de soporte continuo. Esto nos permite abordar la adaptación desde el lugar donde realmente ocurre buena parte del tratamiento de datos: la infraestructura digital.
Nuestro acompañamiento puede incluir:
Diagnóstico técnico del sitio o plataforma
Revisamos formularios, cookies, scripts, sistemas de registro, plugins, herramientas de analítica, integraciones y bases de datos para detectar brechas o configuraciones que deban corregirse.
Mapa de recopilación y circulación de datos
Identificamos dónde se solicitan datos, dónde se almacenan, qué sistemas los reciben y qué proveedores externos participan en el proceso.
Implementación de consentimientos
Configuramos casillas, textos informativos, registros de aceptación y mecanismos para revocar autorizaciones, de acuerdo con las finalidades definidas por la empresa y sus asesores legales.
Gestión de cookies y tecnologías de seguimiento
Implementamos paneles de preferencias y configuraciones técnicas para controlar la activación de herramientas de analítica y marketing.
Actualización de formularios y plataformas
Eliminamos campos innecesarios, incorporamos avisos de privacidad, mejoramos controles de acceso y creamos mecanismos para atender solicitudes relacionadas con los derechos de los titulares.
Seguridad, respaldos y mantenimiento
Revisamos accesos administrativos, actualizaciones, copias de seguridad, certificados, permisos y medidas técnicas destinadas a disminuir riesgos.
Coordinación con el equipo legal
La adaptación completa puede requerir definiciones jurídicas sobre bases de licitud, contratos, políticas y responsabilidades. MASSSTUDIO puede implementar técnicamente estas definiciones y trabajar en conjunto con el abogado o equipo legal de cada organización.
No esperes hasta diciembre de 2026
La adaptación a la Ley 21.719 no debería resolverse instalando un plugin genérico o copiando la política de privacidad de otra empresa.
Cada organización recopila información distinta, utiliza proveedores diferentes y tiene sus propios procesos internos. El primer paso es entender qué datos maneja la empresa y cómo circulan por sus activos digitales.
En MASSSTUDIO podemos ayudarte a diagnosticar tu sitio web, tienda online o plataforma, definir un plan de implementación y ejecutar las modificaciones técnicas necesarias antes de la entrada en vigencia de la nueva regulación.
¿Tu sitio está preparado para la nueva Ley de Protección de Datos?
Conversemos y revisemos juntos qué debe cambiar.