Un formulario, un pedido o una casilla de la empresa ya tratan datos de personas. La Ley N° 21.719 regula ese tratamiento y crea la Agencia de Protección de Datos Personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024. El artículo primero transitorio fija la vigencia el primer día del mes vigésimo cuarto posterior a esa publicación: el 1 de diciembre de 2026.
Esta guía ordena la web, el correo y los proveedores. No reemplaza una asesoría jurídica: lo exigible depende de los datos, la finalidad y quién decide el tratamiento.
La fecha que rige y el proyecto que propone postergarla
La versión consolidada en Ley Chile mantiene la vigencia diferida al 1 de diciembre de 2026. La Ley N° 21.806, de febrero de 2026, ajustó plazos de instalación de la Agencia y no cambió esa fecha.
El 31 de agosto de 2026 el Ejecutivo ingresó el boletín 18.623-07 para mover la vigencia al 1 de diciembre de 2027. El mensaje busca tiempo para instalar la Agencia y para que los responsables adecuen sus procesos. También propone extender a todos los responsables la facultad de aplicar una amonestación escrita durante los primeros doce meses, hoy limitada a las empresas de menor tamaño.
En la tramitación del Senado el boletín sigue en tramitación, ingresado el 1 de septiembre de 2026. Mientras no se publique en el Diario Oficial, planifica con el 1 de diciembre de 2026 y vuelve a revisar la ficha antes de dar por hecha una postergación.
Quién decide el uso de los datos y quién solo los aloja
El responsable decide los fines y los medios del tratamiento. El encargado los trata por cuenta del responsable y según sus instrucciones. El artículo 15 bis pide un contrato con el objeto, la duración, la finalidad, el tipo de datos, las categorías de titulares y las obligaciones de las partes. Al terminar, esos datos se suprimen o se devuelven. Si el encargado los usa para otro fin, responde como responsable de ese uso.
En una pyme, la empresa suele decidir para qué pide datos en la web o el correo. Hosting, correo o quien mantiene el sitio pueden ser encargados de lo que hacen para ella. Un fin propio del proveedor no se presume: debe quedar escrito. Contratar alojamiento no traslada tus deberes.
| Dónde aparecen datos | Ejemplos habituales | Qué dejar por escrito |
|---|---|---|
| Sitio y formularios | Consultas, cotizaciones, currículums, reservas | Campos, finalidad y plazo de conservación |
| Tienda | Pedidos, pagos y direcciones | Quién opera la tienda y qué ve la pasarela |
| Correo | Casillas, reenvíos y listas | Herramienta de envío y administrador de contactos |
| Copias y registros | Respaldos, registros y accesos de soporte | Qué se copia, por cuánto tiempo y quién restaura |
| Servicios externos | Analítica, chat, publicidad, nube en el extranjero | Si hay transferencia internacional y con qué garantía |
Al cambiar de proveedor, una copia que queda en el servicio anterior sigue conteniendo datos de clientes.
Consentimiento y otras bases de licitud
El artículo 12 exige consentimiento libre, informado, específico, previo e inequívoco, por declaración o por un acto afirmativo claro. Puede revocarse sin efecto retroactivo, por un medio equivalente y gratuito. El responsable debe probar que lo obtuvo. Se presume que no fue libre si se exige para un contrato o un servicio en el que esa recolección no hace falta. Responder una cotización no es lo mismo que condicionar la respuesta a una suscripción.
El artículo 13 permite otros fundamentos, sin consentimiento: una obligación legal, un contrato con el titular o intereses legítimos que no afecten sus derechos. Cada uso necesita el suyo. La letra c) del artículo 3°, el principio de proporcionalidad, limita los datos a lo necesario para la finalidad y su conservación al tiempo que esa finalidad exija. Pedir RUT y dirección solo para contestar una consulta está de más.
Los datos sensibles —entre ellos salud, convicciones, vida sexual y biometría— requieren consentimiento expreso, salvo las excepciones del artículo 16. Si el sitio los recibe, revísalo con quien asesore a la empresa.
Qué debe poder encontrar una persona en tu web
El artículo 14 ter obliga a mantener disponible, en el sitio o en un medio equivalente, al menos:
- Política de tratamiento, con fecha y versión, e identificación del responsable con un contacto operativo.
- Tipos de datos, fines, base de licitud, destinatarios y plazo de conservación.
- Cómo pedir acceso, rectificación, supresión, oposición y portabilidad, y el derecho a recurrir ante la Agencia si hay rechazo o silencio.
- Transferencias a otro país y, si ese destino no ofrece un nivel adecuado, la garantía utilizada.
- Decisiones automatizadas o perfiles, con información sobre la lógica y sus consecuencias.
Una política copiada, sin fecha y ajena a tus formularios, no cumple. Incumplir ese deber es infracción leve, según el artículo 34 bis. En el formulario, indica la finalidad y enlaza la versión vigente. Si además ofreces novedades, usa una opción aparte y no la dejes marcada.
Pregunta si la analítica, la publicidad, el chat o los envíos masivos sacan datos de Chile. El artículo 27 condiciona la transferencia internacional: necesitas destino y garantía de cada proveedor. Una frase genérica no lo explica.
Seguridad, copias y aviso de un incidente
El artículo 14 quinquies pide medidas acordes al riesgo y al tipo de datos. Menciona el cifrado cuando corresponda, la confidencialidad, integridad y disponibilidad, la capacidad de restaurar el acceso y la revisión periódica. En una controversia, el responsable debe acreditar que existían y funcionaban.
En la práctica:
- Publica el sitio por HTTPS, con certificado para los nombres que usas. La guía sobre el aviso de sitio no seguro separa un fallo de certificado de contenido mixto.
- Limita el panel, la base de datos y el correo de administración. Retira cuentas de quienes ya no participan.
- Prueba una restauración, no solo confirmes que hay copia. La pauta de respaldos ayuda a pedir frecuencia, retención y procedimiento.
- Actualiza el sistema, los complementos y los temas. Un acceso no autorizado suele entrar por un componente viejo.
El artículo 14 sexies obliga a informar a la Agencia, sin dilaciones indebidas, las vulneraciones con riesgo razonable: destrucción, filtración, pérdida, alteración o acceso no autorizado. Registra qué ocurrió, las categorías de datos, un número aproximado de personas y las medidas. Si hay datos sensibles, datos de niños y niñas menores de catorce años o datos de obligaciones económicas, también hay que comunicarlo a las personas afectadas.
El encargado debe avisar al responsable. Define quién recibe ese aviso fuera de horario. Los estándares según el tamaño de la empresa, previstos en el artículo 14 septies y la Ley N° 20.416, los fijará la Agencia. Hasta entonces, sigue el texto legal.
Cómo vas a responder un acceso o una supresión
El artículo 11 exige una solicitud escrita al correo o formulario publicado, que identifique a la persona y lo que pide. Hay que acusar recibo y responder en treinta días corridos, con una sola prórroga de hasta treinta días. Guarda comprobante del envío, la fecha y el texto. Una denegación debe fundarse e indicar los treinta días hábiles para reclamar ante la Agencia. El silencio también habilita el reclamo.
Publica una casilla que alguien revise y pruébala. Separar casillas y alias, como explica la guía de correo corporativo, evita que llegue a un buzón abandonado. Acuerda quién recibe la solicitud, dónde se buscan los datos y quién responde.
Las multas están en UTM, no en un monto fijo en pesos
El artículo 35 sanciona las infracciones leves con amonestación escrita o multa de hasta 5.000 unidades tributarias mensuales; las graves, hasta 10.000; y las gravísimas, hasta 20.000. El monto usa los criterios de la ley, incluida la capacidad económica. No lo conviertas a pesos sin la UTM del mes de la sanción.
En los primeros doce meses, el artículo sexto transitorio permite una amonestación escrita si la empresa es de menor tamaño según la Ley N° 20.416. Es una facultad, no una exención, y queda registrada. Extenderla a todos los responsables es parte del proyecto, no de la ley vigente.
Tratar datos sin base de licitud, o infringir la seguridad del artículo 14 quinquies, está entre las infracciones graves. Omitir de forma deliberada el aviso de una vulneración que afecte su confidencialidad, disponibilidad o integridad está entre las gravísimas.
Una pauta para este mes
Complétala con quien administra la web y quien atiende clientes:
- Anota cada lugar donde entran o se guardan datos de personas.
- Define finalidad, base de licitud y plazo de conservación.
- Publica la política con fecha y versión, enlazada desde formularios y tienda.
- Prueba el correo de solicitudes con una persona que realmente lo lea.
- Pide por escrito a hosting, correo y desarrollo el encargo, las copias, su ubicación y el aviso de incidentes.
- Identifica herramientas que envían datos fuera de Chile.
- Relee el boletín 18.623-07 y Ley Chile cuando fijes el calendario.
Conserva la versión publicada y su fecha. Si piden antecedentes, ese registro es el que sirve.
Preguntas frecuentes
¿Cambiar de hosting deja a la empresa en regla?
No. Puede aportar seguridad, copias y un contrato de encargo, pero la licitud y las respuestas siguen en quien define los fines. La guía de migración ayuda a anotar qué se traslada y qué se borra al cerrar el servicio anterior.
¿Sirve una política descargada de internet?
Solo como borrador. Debe describir tus fines, plazos, destinatarios y el canal de derechos. Si nombra servicios que no usas, u omite la tienda y el correo, no informa.
¿Y si el Congreso posterga la vigencia?
Si el boletín 18.623-07 se publica como ley, lee el texto final. Podría fijar el 1 de diciembre de 2027. Hasta entonces, trabaja con 2026. Dejar el inventario para después acorta el plazo si la fecha se mantiene.
¿El correo de la empresa también cuenta?
Sí, cuando guarda datos de personas y tú decides su uso. Cotizaciones y currículums entran en el inventario. Autenticar el dominio, como explica la guía de correos a spam, mejora la entrega y no reemplaza la política.
Ordena alojamiento y accesos con tiempo
Revisa dónde está la web, quién administra el certificado y cómo se recuperan los datos. En Bitsur puedes ver el hosting para empresas, los certificados SSL y el correo corporativo.
Escríbenos con la plataforma, los formularios o la tienda, y quién tiene los accesos. Así se puede conversar alojamiento, copias y correo. La adecuación legal la define quien asesore a tu empresa.