Chile: Ley N° 21.719 de Protección de Datos Personales
Marco normativo de la Ley N° 21.719 (entrada en vigencia el 1 de diciembre de 2026): obligaciones del responsable, facultades que asumirá la futura APDP, bases de licitud y controles técnicos para entornos digitales en Chile.
Entrada en vigencia
Multas desde vigencia (Art. 35)
Futura autoridad (Dic 2026)
Bases de licitud web
Sanciones que aplicará la futura APDP desde el 1 de diciembre de 2026 según gravedad (Art. 35): leves (5.000 UTM), graves (10.000 UTM) y gravísimas (20.000 UTM). El 4% anual regirá únicamente en supuestos calificados de reincidencia para empresas medianas o grandes.
La transformación del régimen de privacidad en Chile: Por qué la Ley N° 21.719 redefine la toma de decisiones empresariales
Análisis estratégico para Gerentes Generales, Directores Legales, Directores Comerciales y Oficiales de Protección de Datos de cara a su entrada en vigor el 1 de diciembre de 2026.
Durante más de dos décadas, las organizaciones en Chile han operado bajo el marco de la Ley N° 19.628 de 1999, una legislación que carece de una autoridad reguladora técnica especializada y de un régimen sancionatorio administrativo general. La promulgación y publicación de la Ley N° 21.719 en el Diario Oficial el 13 de diciembre de 2024 reformula este régimen sustancialmente. Conforme a su Artículo Primero Transitorio, la ley contempla una vacancia legal de 24 meses hasta su entrada en vigencia el 1 de diciembre de 2026, periodo que permite a las empresas adecuar sus procesos y activos digitales antes de que las nuevas obligaciones y facultades fiscalizadoras sean exigibles.
El cambio institucional más relevante radicará, a partir de la entrada en vigencia de la ley el 1 de diciembre de 2026, en la puesta en funcionamiento de la Agencia de Protección de Datos Personales (APDP), corporación autónoma de derecho público que estará dotada de facultades para fiscalizar, requerir antecedentes, ordenar medidas correctivas y sancionar infracciones una vez que el nuevo estatuto entre en vigor. El régimen sancionatorio previsto (Artículos 34 y 35) graduará las multas en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM). En determinados supuestos calificados de reincidencia en infracciones gravísimas cometidas por empresas que no sean de menor tamaño (medianas o grandes según la Ley N° 20.416), la multa podrá alcanzar hasta el 4% de los ingresos anuales por ventas y servicios u otras actividades del giro en el ejercicio comercial anterior (o el 2% en infracciones graves). Esta sanción porcentual no será una penalización automática ni general, sino aplicable a casos calificados de reiteración.
En el plano digital, el tratamiento de datos personales no depende exclusivamente del consentimiento, sino que la base de licitud se determina según cada tratamiento y sus circunstancias concretas (finalidad, naturaleza del tratamiento, datos involucrados y condiciones legales aplicables). El Artículo 12 regula el consentimiento previo, libre, informado, específico e inequívoco cuando corresponda aplicar esta base, descartando el consentimiento tácito o por scroll. Paralelamente, el Artículo 13 contempla cinco hipótesis específicas de licitud sin consentimiento: a) tratamiento de datos relativos a obligaciones económicas, financieras, bancarias o comerciales, conforme a las disposiciones legales aplicables; b) cumplimiento de una obligación legal o de una disposición de la ley; c) celebración o ejecución de un contrato entre el titular y el responsable, o adopción de medidas precontractuales solicitadas por el titular; d) satisfacción de intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos y libertades del titular; y e) formulación, ejercicio o defensa de un derecho ante los tribunales de justicia u órganos públicos. Estas hipótesis no son autorizaciones generales para cualquier tratamiento y el responsable debe siempre poder acreditar la licitud de la causal invocada. En consecuencia, respecto de analítica y medición, cookies publicitarias, píxeles publicitarios, publicidad personalizada o comportamental, marketing directo, seguimiento entre sitios web y elaboración de perfiles, el consentimiento no es la única base posible para todos estos tratamientos: el interés legítimo (Art. 13 letra d) no es una autorización automática, pero tampoco se puede descartar de manera general cuando se cumplan y acrediten sus requisitos legales.
Asimismo, el principio de responsabilidad (Artículo 3° letra e) compromete al responsable a garantizar y poder acreditar la licitud de sus tratamientos (Artículo 3° letra a y Artículo 14 letra a), manteniendo una política de privacidad clara y permanentemente accesible (Artículo 14 ter). En materia preventiva y sancionatoria, el Artículo 48 aborda la prevención de infracciones, el Artículo 49 regula el modelo de prevención de infracciones y el Artículo 51 establece el marco de certificación correspondiente a cargo de la Agencia de Protección de Datos Personales (APDP). Por su parte, el Artículo 36 regula las circunstancias atenuantes y agravantes de responsabilidad, y su numeral 5 exige acreditar el cumplimiento diligente de los deberes de dirección y supervisión mediante el certificado expedido conforme al Artículo 51. Por tanto, la sola implementación de controles técnicos o un programa interno sin certificar no configura esta atenuante, y una CMP no equivale a dicho certificado.
Por último, la ley consagra un catálogo ampliado de derechos para los titulares (Artículo 4° y Título I: acceso Art. 5°, rectificación Art. 6°, supresión Art. 7°, oposición Art. 8°, oposición a decisiones individuales automatizadas Art. 8° bis, bloqueo temporal Art. 8° ter y portabilidad Art. 9°). Cabe diferenciar el derecho de oposición del Artículo 8° —que incluye la oposición incondicional cuando el tratamiento se realiza exclusivamente con fines de marketing directo, incluida la elaboración de perfiles asociada— del derecho específico del Artículo 8° bis frente a decisiones individuales automatizadas (incluida la elaboración de perfiles) que produzcan efectos jurídicos en el titular o lo afecten significativamente, puesto que no cualquier perfilado general genera automáticamente este último derecho. Distinguiendo lo que exige la ley de las decisiones de implementación técnica recomendadas para gestionar cookies y tecnologías de terceros, Consentra aporta capacidades concretas —bloqueo preventivo configurable en el cliente, paneles simétricos de preferencias, registro técnico de evidencias de consentimiento e integración con Google Consent Mode v2—, apoyando los controles técnicos del responsable sin sustituir sus obligaciones legales ni equivaler a un modelo de prevención certificado.
La Ley N° 21.719 exige sustentar cada tratamiento de datos personales en una base de licitud válida —ya sea el consentimiento previo (Art. 12) o alguna de las cinco hipótesis taxativas del Artículo 13 (letras a a la e)— y obliga al responsable del tratamiento a poder acreditar siempre la licitud de sus operaciones (Arts. 3° letras a y e, y 14 letra a).
MARCO NORMATIVO DIGITAL
Exigencias críticas de la Ley N° 21.719 para activos digitales
Pilares normativos que impactan el funcionamiento de sitios web, tiendas online y portales corporativos.
Principios del Tratamiento y Responsabilidad
El tratamiento de datos se rige por los principios de licitud y lealtad —con carga expresa de acreditar la licitud asignada al responsable (letra a)—, finalidad (letra b), proporcionalidad (letra c), calidad (letra d), seguridad (letra f), transparencia (letra g) y confidencialidad (letra h). El Artículo 3° letra e) consagra el principio de responsabilidad, que impone al responsable la obligación de garantizar y demostrar el cumplimiento de la ley.
Las organizaciones deben adoptar medidas técnicas y organizativas para asegurar y poder demostrar que sus operaciones de tratamiento digital se ajustan a la ley, manteniendo políticas claras y evidencia documental verificable.
Consentra facilita la gestión transparente de preferencias y genera registros documentados con identificador único y marca temporal para apoyar los controles técnicos y de trazabilidad del responsable.
Derechos del Titular, Marketing Directo y Decisiones Automatizadas
El Artículo 4° reconoce los derechos de acceso (Art. 5°), rectificación (Art. 6°), supresión (Art. 7°), oposición (Art. 8°), no ser objeto de decisiones individuales automatizadas (Art. 8° bis), bloqueo temporal (Art. 8° ter) y portabilidad (Art. 9°). El Artículo 8° regula el derecho de oposición, incluyendo la oposición cuando el tratamiento tenga fines exclusivos de marketing directo (incluida la elaboración de perfiles vinculada a ese fin). Por separado, el Artículo 8° bis regula las decisiones individuales automatizadas —incluida la elaboración de perfiles— únicamente cuando produzcan efectos jurídicos en el titular o le afecten significativamente.
Debe diferenciarse el marketing directo y su derecho de oposición (Art. 8°) de las decisiones individuales automatizadas (Art. 8° bis): no cualquier elaboración de perfiles genera automáticamente el derecho específico del Artículo 8° bis, sino aquellas decisiones automatizadas con efectos jurídicos o impactos significativos. Además, los responsables deben responder solicitudes en los plazos legales.
Panel de preferencias accesible permanentemente para gestionar opciones de privacidad y formulario estructurado para apoyar la recepción y canalización interna de solicitudes de derechos de los titulares.
Consentimiento Válido, Carga de la Prueba y Revocabilidad
Cuando el tratamiento se funde en el consentimiento, este debe ser libre, informado, específico e inequívoco, otorgado en forma previa mediante declaración o acción afirmativa clara. Corresponde al responsable probar su existencia y validez. El titular puede revocarlo en cualquier momento sin efectos retroactivos ni expresión de causa, a través de medios sencillos y gratuitos equivalentes a los usados para otorgarlo.
La ley invalida el consentimiento tácito o por simple navegación cuando se invoca el Artículo 12. En entornos web, aunque la base de licitud para analítica, cookies publicitarias, píxeles publicitarios, seguimiento entre sitios o elaboración de perfiles depende de la finalidad, naturaleza del tratamiento, datos tratados y condiciones legales (Art. 12 o Art. 13), como decisión de implementación técnica recomendada para tecnologías de terceros sujetas a opt-in se emplea el bloqueo preventivo y opciones simétricas de aceptación y rechazo.
Bloqueo previo configurable en el navegador del cliente para las categorías de scripts que el responsable sujete a consentimiento, junto con botón persistente para modificar o revocar preferencias en un clic.
Cinco Hipótesis de Licitud sin Consentimiento (Letras a-e)
El Artículo 13 contempla cinco bases de licitud en que no se requiere consentimiento: a) tratamiento de datos relativos a obligaciones económicas, financieras, bancarias o comerciales, conforme a las disposiciones legales aplicables; b) cumplimiento de una obligación legal o de una disposición de la ley; c) celebración o ejecución de un contrato entre el titular y el responsable, o adopción de medidas precontractuales solicitadas por el titular; d) satisfacción de intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos y libertades del titular; y e) formulación, ejercicio o defensa de un derecho ante los tribunales de justicia u órganos públicos.
Estas cinco hipótesis no constituyen autorizaciones generales para cualquier tratamiento y el responsable debe poder acreditar la licitud de la base aplicada. Así, las cookies técnicas necesarias para un servicio solicitado suelen ampararse en el Artículo 13 letra c) o d), mientras que en analítica, medición, marketing directo, publicidad personalizada o comportamental, seguimiento o perfiles, la procedencia del interés legítimo (Art. 13 letra d) u otra base depende del análisis jurídico del caso y del cumplimiento estricto de sus requisitos, sin que el interés legítimo habilite automáticamente cualquier seguimiento o publicidad.
Clasificación configurable de cookies y scripts por categoría y finalidad, permitiendo distinguir técnicamente las tecnologías que operan bajo una hipótesis acreditada del Artículo 13 de aquellas que requieren opt-in previo del Artículo 12.
Obligaciones del Responsable y Deber de Información
El responsable debe poner a disposición del titular los antecedentes que acrediten la licitud de sus tratamientos (Art. 14 letra a), asegurar fuentes lícitas (Art. 14 letra b) y mantener permanentemente accesible en su sitio web una política de privacidad clara, precisa y gratuita (Art. 14 ter). Si no tiene domicilio en Chile, debe mantener un punto de contacto operativo en el país.
Exige mantener inventarios actualizados de tratamientos de datos, acreditar la base de licitud correspondiente a cada finalidad, publicar políticas de privacidad comprensibles y disponer de canales de contacto formales.
Plantillas y modales sincronizados con la versión vigente de la política de privacidad corporativa, informando finalidades, categorías de cookies y opciones de configuración.
Régimen Sancionatorio, Atenuantes y Agravantes
Las infracciones se clasifican en leves (amonestación o multa hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM), pudiendo alcanzar hasta el 4% de los ingresos anuales en supuestos calificados de reincidencia en empresas que no sean de menor tamaño (Art. 35). El Artículo 36 regula las circunstancias atenuantes y agravantes de responsabilidad, y el Artículo 37 fija los criterios de determinación de las multas.
Las sanciones se determinan ponderando la gravedad de la conducta, el perjuicio causado, la capacidad económica y la concurrencia de las circunstancias atenuantes o agravantes del Artículo 36. Contratar herramientas tecnológicas no garantiza por sí mismo una reducción de multas ni exime de responsabilidad al responsable del tratamiento.
Herramientas de escaneo técnico de cookies y registro de evidencias de consentimiento que apoyan los controles operativos de la organización en sus canales digitales.
Prevención de Infracciones, Modelo de Prevención y Certificación
El Artículo 48 aborda la prevención de infracciones y el Artículo 49 regula el modelo de prevención de infracciones (designación de DPO, identificación de actividades de riesgo, protocolos, canales de denuncia y sanciones internas). El Artículo 51 establece que la certificación, registro y supervisión de dichos modelos corresponde a la Agencia de Protección de Datos Personales (APDP). A su vez, el Artículo 36 N° 5 exige acreditar el cumplimiento diligente de los deberes de dirección y supervisión mediante el certificado expedido conforme al Artículo 51.
La atenuante del Artículo 36 N° 5 exige específicamente el certificado expedido conforme al Artículo 51: no basta con implementar controles técnicos ni con mantener un programa interno no certificado. Una CMP no equivale a ese certificado ni otorga automáticamente una atenuante o reducción de multas.
Consentra apoya determinados controles técnicos y procesos de gestión de consentimiento y evidencias en sitios web, sin equivaler al certificado del Artículo 51, sin certificar el cumplimiento legal de la empresa y sin sustituir las obligaciones del responsable.
ESTÁNDAR COMPARATIVO
Matriz de impacto: Práctica tradicional vs. Ley N° 21.719
Contraste entre prácticas digitales obsoletas, las exigencias legales de la Ley N° 21.719 y el apoyo técnico que ofrece Consentra.
| Aspecto Operativo | Práctica Tradicional (Obsoleta) | Estándar Ley N° 21.719 | Gobernanza con Consentra |
|---|---|---|---|
| Bases de licitud (Arts. 12 y 13) | ✕Banners informativos pasivos (“Al navegar aceptas el uso de cookies”) o invocación genérica de bases legales sin análisis ni acreditación. | §La base de licitud depende de la finalidad, naturaleza del tratamiento, datos involucrados y condiciones legales: consentimiento previo y expreso (Art. 12) o una de las cinco hipótesis del Art. 13: a) obligaciones económicas, financieras, bancarias o comerciales; b) obligación legal; c) ejecución de contrato o medidas precontractuales; d) interés legítimo sujeto a ponderación; y e) defensa de un derecho ante tribunales u órganos públicos, debiendo el responsable acreditar su licitud. | ✓Permite configurar qué categorías de cookies operan bajo una hipótesis acreditada del Art. 13 y aplicar bloqueo preventivo (prior blocking) a aquellas sujetas a consentimiento del Art. 12. |
| Simetría de opciones y revocación | ✕Solo botón de “Aceptar” o enlaces complejos hacia la configuración del navegador. | §Cuando el tratamiento se basa en el consentimiento (Art. 12), este debe ser libre, específico, informado e inequívoco, y el titular puede revocarlo en cualquier momento por medios tan sencillos y gratuitos como aquellos por los que lo otorgó. | ✓Decisión de implementación técnica con botones simétricos de Aceptar y Rechazar en el banner inicial y acceso permanente para modificar o revocar preferencias en 1 clic. |
| Acreditación de licitud y evidencia | ✕Inexistente. Las empresas no almacenaban registro de las preferencias manifestadas ni documentación de la licitud de sus tratamientos. | §El responsable tiene la carga de acreditar la licitud del tratamiento (Art. 3° letras a y e, y Art. 14 letra a) y, cuando aplique el Artículo 12, probar la existencia y validez del consentimiento otorgado. | ✓Genera registros técnicos de las decisiones de consentimiento en el sitio web con identificador único, marca temporal ISO 8601 y versión de la política exhibida. |
| Marketing directo, perfiles y decisiones automatizadas | ✕Envío de comunicaciones promocionales, seguimiento publicitario o perfilado sin distinguir las reglas aplicables a cada tratamiento. | §Diferencia el derecho de oposición en marketing directo, incluida la elaboración de perfiles conexa (Art. 8°), del derecho específico a no ser objeto de decisiones individuales automatizadas —incluido el perfilado— que produzcan efectos jurídicos o afecten significativamente al titular (Art. 8° bis). No todo perfilado activa automáticamente el derecho del Art. 8° bis. | ✓Facilita controles granulares por categoría (analítica, marketing) y un canal web estructurado para recibir y gestionar solicitudes de oposición y demás derechos del titular. |
| Analítica, medición y publicidad digital | ✕Ejecución indiscriminada de píxeles publicitarios y seguimiento entre sitios web sin evaluar la base de licitud ni las exigencias técnicas de terceros. | §La licitud de la analítica, cookies publicitarias, publicidad personalizada o comportamental y seguimiento depende de la finalidad, los datos tratados y los requisitos legales (Art. 12 o Art. 13, como el interés legítimo sujeto a ponderación, el cual no habilita automáticamente cualquier seguimiento). | ✓Implementación técnica para gestionar etiquetas de terceros y sincronizar señales con Google Consent Mode v2 en modalidad Basic (bloqueo total de etiquetas) o Advanced (pings sin lectura ni escritura de cookies, sujetos a la evaluación de cada responsable). |
| Sanciones, modelos de prevención y atenuantes | ✕Confundir la instalación de una herramienta técnica de cookies con un programa de cumplimiento certificado o con una garantía contra multas. | §A partir del 1 de diciembre de 2026, la APDP fiscalizará el cumplimiento. El Art. 36 regula atenuantes y agravantes, el Art. 48 la prevención de infracciones, el Art. 49 el modelo de prevención de infracciones y el Art. 51 su certificación por la Agencia. El Art. 36 N° 5 exige acreditar el cumplimiento diligente de los deberes de dirección y supervisión mediante el certificado expedido conforme al Art. 51. | ✓Una CMP no equivale al certificado del Art. 51 ni configura la atenuante del Art. 36 N° 5. Consentra apoya controles técnicos de gestión de consentimiento y evidencias web, sin certificar el cumplimiento legal ni garantizar reducciones de multas. |
Hoja de ruta corporativa hacia el cumplimiento
Las 4 fases recomendadas para adecuar los canales digitales de tu organización antes de que concluya el periodo de vacancia legal.
Auditoría Técnica y Evaluación de Bases de Licitud
Mapeo de activos digitales para inventariar cookies, píxeles y scripts de terceros, con el fin de que el responsable determine y acredite la base de licitud aplicable según la finalidad, naturaleza del tratamiento y datos involucrados (Art. 12 o hipótesis a-e del Art. 13).
- ✓Inventario técnico de cookies, píxeles y scripts de terceros
- ✓Clasificación por finalidad (técnicas, analítica y medición, publicidad)
- ✓Insumos técnicos para el análisis jurídico de bases de licitud (Arts. 12 y 13)
Implementación Técnica de Gestión de Preferencias (CMP)
Despliegue de Consentra como capa técnica para gestionar preferencias de cookies, aplicando bloqueo preventivo a las tecnologías que requieran consentimiento y facilitando el ejercicio de oposición en marketing directo.
- ✓Activación de prior blocking para scripts sujetos a consentimiento (Art. 12)
- ✓Banner simétrico y panel de configuración granular por categoría
- ✓Enlace permanente a la política de privacidad corporativa (Art. 14 ter)
Sincronización Analítica y Google Consent Mode v2
Configuración técnica de las señales de consentimiento para etiquetas de analítica y publicidad de terceros, alineando la ejecución de píxeles con las decisiones del usuario y las exigencias de plataformas publicitarias.
- ✓Configuración técnica de Google Consent Mode v2 (Advanced / Basic)
- ✓Sincronización de estados con Google Ads y Google Analytics 4
- ✓Control condicional de píxeles publicitarios y etiquetas de seguimiento
Evidencias Técnicas y Apoyo a Procesos de Prevención
Mantenimiento de registros técnicos de consentimiento y canalización de solicitudes de derechos como apoyo operativo para el responsable, sin sustituir sus obligaciones legales ni los requisitos de un modelo de prevención certificado (Arts. 48, 49 y 51).
- ✓Registro técnico de evidencias de consentimiento con identificador único
- ✓Formulario web para recepción y canalización de solicitudes de derechos (Art. 4°)
- ✓Monitoreo periódico de nuevos scripts y tecnologías en el sitio web
Ejemplo demostrativo de controles técnicos para gestión de cookies
Representación ilustrativa de los parámetros técnicos de configuración que una organización puede implementar en su sitio web con Consentra en su preparación hacia el 1 de diciembre de 2026.
PREGUNTAS FRECUENTES
Respuestas ejecutivas sobre la Ley N° 21.719
Aclaraciones directas sobre plazos de vigencia, régimen de sanciones, cookies y responsabilidades del directorio.
01 ¿Cuándo entra en vigor la Ley N° 21.719 y qué plazo tienen las organizaciones para adecuarse?add
02 ¿A quiénes aplica la Ley N° 21.719 en el ámbito de sitios web y aplicaciones?add
03 ¿Todas las cookies, píxeles publicitarios, analítica o elaboración de perfiles requieren consentimiento previo?add
04 ¿El consentimiento es la única base legal para tratar datos personales según la Ley N° 21.719?add
05 ¿Qué requisitos debe cumplir el consentimiento cuando esta sea la base aplicable y cómo se revoca?add
06 ¿Cuáles son los derechos de los titulares y cómo se diferencian el marketing directo (Art. 8°) y las decisiones automatizadas (Art. 8° bis)?add
07 ¿Cómo opera el régimen de sanciones y en qué casos aplica el 4% de la facturación?add
08 ¿Qué sucede si un usuario rechaza las cookies analíticas o de publicidad en mi sitio web?add
09 ¿Implementar controles técnicos o contratar una CMP como Consentra permite acceder a atenuantes por modelos de prevención?add
¿Qué cookies y scripts de terceros se ejecutan hoy en tu sitio web?
Ingresa tu dominio para realizar una inspección técnica preliminar de las cookies y etiquetas activas en tu sitio de cara a la entrada en vigencia de la Ley N° 21.719 (1 de diciembre de 2026). Este diagnóstico técnico de scripts no certifica ni evalúa por sí solo el cumplimiento jurídico integral de la organización.
Fuentes Oficiales y Referencias Normativas
Última actualización jurídica: Noviembre 2026 · Fuentes verificables del Estado de Chile y Google
Consentra estructura sus controles técnicos (bloqueo preventivo en el cliente, registro fechado de evidencias de consentimiento e integración con Google Consent Mode v2) en estricta concordancia con las fuentes normativas oficiales:
Biblioteca del Congreso Nacional de Chile (Ley Chile). Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales.
Texto original de 1999 y sus modificaciones sucesivas que establecen el marco base del tratamiento de datos en Chile.
Documentación oficial sobre parámetros de consentimiento (analytics_storage, ad_storage, ad_user_data, ad_personalization), bloqueo completo en modo Basic y comportamiento de pings sin cookies en modo Advanced.
COBERTURA REGIONAL
Marcos normativos latinoamericanos
Ley N° 21.719
Nueva ley de protección de datos personales con creación de la APDP y multas de hasta 20.000 UTM para infracciones gravísimas.
Ley N° 29.733 (Perú)
Directiva de cookies y tratamiento de datos personales supervisada por la ANPD.
Ley 1581 (Colombia)
Régimen general de protección de datos y autorización previa supervisada por la SIC.