Ley 21.719: qué cambiar en tus sistemas antes del 1 de diciembre de 2026

Sobre la Ley 21.719 ya se escribió mucho: qué es, a quién afecta y cuánto son las multas. Si buscas eso, está en nuestra guía completa de la Ley 21.719.

Este artículo es el paso siguiente, y es el que casi nadie cubre. Un abogado te dirá que necesitas consentimiento válido, que debes responder solicitudes de acceso y que tienes que controlar a tus encargados. Todo correcto. La pregunta que queda sin responder es operativa: ¿dónde exactamente se toca eso? ¿En qué archivo, en qué tabla, en qué configuración?

Lo que sigue son los seis frentes técnicos que hemos visto que definen si una empresa llega preparada al 1 de diciembre de 2026 o solo tiene una política de privacidad nueva en el pie de página.

Por qué un sitio "adaptado" igual puede incumplir

El patrón se repite: la empresa publica una política de privacidad, agrega un aviso de cookies y da el tema por cerrado. Pero la ley no regula documentos, regula tratamientos. Y un tratamiento vive en los sistemas, no en un PDF.

Tres preguntas rápidas para saber dónde estás parado. Si tu empresa recibe hoy una solicitud de una persona que pide todos sus datos: ¿sabrías en qué sistemas buscar? Si pide que los borren: ¿podrías borrarlos de verdad, incluidos los respaldos y el CRM? Y si alguien accedió indebidamente a la base de clientes el mes pasado: ¿te habrías enterado?

Si alguna respuesta es incómoda, el trabajo pendiente es técnico. Ahí van los seis frentes.

1. Formularios web: consentimiento que se pueda probar

El consentimiento tiene que ser libre, específico e informado. En la práctica eso significa que la casilla de aceptación no puede venir premarcada, que aceptar los términos del servicio no puede ser lo mismo que aceptar recibir publicidad, y que la persona debe saber para qué se van a usar sus datos antes de enviarlos.

La parte que casi siempre falta es la evidencia. No basta con mostrar el texto: hay que guardar qué versión aceptó cada persona y cuándo. Si el texto cambia en marzo, tienes que poder demostrar qué decía en enero, que es cuando esa persona lo aceptó.

Qué revisar concretamente en cada formulario de tu sitio:

• Casillas separadas para finalidades distintas: atender la consulta no es lo mismo que enviar comunicaciones comerciales.
• Ninguna casilla marcada por defecto.
• Un campo en la base de datos que registre la fecha, la finalidad aceptada y el identificador de la versión del texto.
• Solo los campos que realmente se usan. Pedir el RUT "por si acaso" es recolectar sin finalidad.
• Los formularios olvidados: el de la landing de una campaña vieja, el del blog, el del footer.

Ese último punto es el que más sorpresas da. Casi toda empresa tiene formularios que siguen recibiendo datos y que nadie recuerda haber publicado.

2. Inventario de datos: no puedes proteger lo que no sabes que tienes

Este es el primer paso real y el que más se saltea, porque no produce nada visible. Sin embargo, todo lo demás depende de él: no puedes responder una solicitud de acceso, ni evaluar un riesgo, ni negociar con un proveedor, si no sabes qué datos tienes y dónde están.

El inventario mínimo responde, por cada conjunto de datos personales:

• Qué se guarda: nombre, RUT, correo, teléfono, dirección, historial de compras, datos de salud.
• Dónde vive: el ERP, el CRM, una planilla en Drive, la casilla de correo de un vendedor, el WhatsApp de la empresa.
• Para qué se usa y con qué base de licitud.
• Quién accede, dentro y fuera de la empresa.
• Hasta cuándo se conserva y qué pasa después.

Ese último punto suele revelar el problema más grande: en la mayoría de las empresas la respuesta es "para siempre". Nunca se borró nada. Definir un plazo de retención por tipo de dato, y tener cómo ejecutarlo, es parte del cumplimiento.

Un detalle práctico: el inventario no vive solo en los sistemas formales. Las planillas compartidas, las casillas de correo personales y los grupos de WhatsApp con datos de clientes también son tratamientos, y son los más difíciles de controlar.

3. Derechos de las personas: poder extraer, corregir y borrar de verdad

Las personas pueden pedir acceder a sus datos, corregirlos, eliminarlos, oponerse a ciertos usos y llevárselos a otro proveedor. Cada uno de esos derechos tiene una traducción técnica concreta:

• Acceso y portabilidad: necesitas poder exportar todo lo de una persona, desde todos los sistemas, en un formato legible. Si están en cuatro lugares distintos, hay que consultarlos los cuatro.
• Rectificación: corregir en el sistema de origen y que el cambio se propague. Si el CRM y el ERP tienen copias distintas del mismo cliente, corregir en uno no arregla el otro.
• Supresión: borrado efectivo, no un campo activo = false. Y hay que decidir qué pasa con los respaldos, que es la pregunta que nadie quiere hacerse.

Acá aparece una tensión real con otras obligaciones: la normativa tributaria exige conservar documentos por plazos determinados. Un cliente que pide ser borrado no elimina la obligación de guardar sus facturas. La respuesta correcta no es negarse ni borrar todo, sino distinguir qué datos se conservan por obligación legal y cuáles no tienen razón para seguir ahí. Eso se define una vez y se implementa en el sistema.

Si tu ERP no permite exportar ni eliminar los datos de una persona, el problema excede la ley: significa que no tienes control sobre tu propia información. Es exactamente el tipo de límite que aparece con sistemas cerrados, y una de las razones por las que conviene revisar qué tan accesible es la base de datos de tu ERP.

4. Proveedores: el punto ciego de casi todas las empresas

Este es el frente que más veces encontramos completamente descubierto, porque las decisiones se tomaron hace años y por motivos técnicos, sin pensar en datos personales.

Cuando contratas hosting, un CRM, una herramienta de correo masivo, un servicio de analítica, una plataforma de firma electrónica o un asistente de inteligencia artificial, esos proveedores pasan a tratar datos de tus clientes por encargo tuyo. La responsabilidad no se traspasa al contratarlos.

Haz la lista completa. Suele ser más larga de lo esperado:

• Hosting y base de datos
• Correo corporativo y correo masivo
• CRM y ERP, si son de terceros
• Analítica web y píxeles de publicidad
• Chat del sitio y WhatsApp Business
• Contabilidad y remuneraciones externalizadas
• Herramientas de inteligencia artificial donde se pegan textos con datos de clientes
• Agencias, call centers y soporte externo

Ese penúltimo punto merece atención aparte. Cuando alguien del equipo pega el listado de clientes en una herramienta de IA para que se lo resuma, está haciendo una comunicación de datos personales a un tercero, probablemente fuera de Chile, sin contrato ni registro. Es una práctica extendida y casi siempre invisible para la empresa.

Por cada proveedor de la lista necesitas saber qué datos recibe, para qué los usa, dónde los procesa y qué contrato regula ese tratamiento.

5. Dónde se procesan tus datos

Si tus datos se procesan fuera de Chile, se configura una transferencia internacional, que tiene requisitos propios. No está prohibida, pero deja de ser una decisión de infraestructura para pasar a ser una decisión con consecuencias legales.

Para la mayoría de las cargas —el hosting del sitio, el correo— el asunto se resuelve con la documentación adecuada. Donde se pone serio es en los tratamientos con datos sensibles: fichas clínicas, antecedentes judiciales, información financiera de personas.

Y hay un caso que creció muy rápido y todavía no está en el radar de casi nadie: la inteligencia artificial. Cuando un modelo procesa documentos de tus clientes, esos datos salen del país, y muchas veces sin que exista claridad sobre si se usan para entrenar modelos ni cuánto tiempo se conservan.

Para esos casos, procesar dentro de Chile evita la figura por completo. Es la razón por la que UPG opera infraestructura de inteligencia artificial en el país: los datos no salen, no se usan para entrenar modelos de terceros y queda registro auditable de cada procesamiento. En rubros como el jurídico, la salud o las finanzas, esa diferencia deja de ser un detalle técnico.

6. Registros: sin ellos no hay forma de detectar una brecha

La obligación de notificar una vulneración de seguridad supone algo que rara vez se discute: que la empresa se entere de que ocurrió.

Sin registros de actividad, una empresa no se entera. Si nadie guarda quién consultó la base de clientes, cuándo y desde dónde, un acceso indebido es indistinguible del trabajo normal. La empresa se entera cuando los datos aparecen publicados, que es el peor momento posible.

Lo mínimo que deberían registrar tus sistemas:

• Quién accedió a datos personales y cuándo
• Exportaciones masivas de información, que son la señal más clara de una fuga
• Cambios de permisos de usuario
• Accesos desde ubicaciones o horarios inhabituales
• Intentos fallidos de autenticación

Y algo que se olvida: los accesos de quienes ya no trabajan en la empresa. Revisar qué cuentas siguen activas de gente que se fue es una de las revisiones más rentables que existen, y no cuesta nada.

Por dónde empezar si quedan pocas semanas

Con la vigencia el 1 de diciembre de 2026, quedan aproximadamente tres meses. No alcanza para hacerlo todo, y no hace falta: alcanza para llegar con lo importante resuelto y el resto en marcha.

El orden que recomendamos, por dependencia y no por dificultad:

• Primero, el inventario. Todo lo demás depende de saber qué tienes y dónde. Sin esto, cualquier acción es a ciegas.
• Segundo, los formularios. Es lo más visible, lo más fácil de fiscalizar y de lo más rápido de corregir.
• Tercero, los proveedores. Depende de terceros, así que empieza temprano: los contratos toman tiempo.
• Cuarto, los derechos. Necesitas un procedimiento y la capacidad técnica de ejecutarlo.
• Quinto, los registros. Habilitarlos es rápido; lo que toma tiempo es acumular historial, y por eso conviene no dejarlo para el final.

Si quieres una estimación del alcance para tu caso, tenemos un cotizador de cumplimiento de la Ley 21.719 que dimensiona el trabajo según el tamaño de la empresa y el tipo de datos que trata.

Y si lo que necesitas es entender el orden de magnitud de la inversión antes de avanzar, en cuánto cuesta cumplir la Ley 21.719 desglosamos qué factores mueven el precio, en qué se gasta y cuánto cuesta la alternativa de no hacer nada.

Preguntas frecuentes

Cómo puede ayudarte UPG

La diferencia de UPG frente a una asesoría legal es simple: además de decirte qué falta, lo implementamos. Somos quienes tocan el ERP, la base de datos y los formularios, así que el diagnóstico llega hasta el cambio hecho y verificado.

Trabajamos el inventario de datos, la corrección de formularios y consentimientos, la capacidad técnica de responder solicitudes de derechos, la revisión de proveedores y la habilitación de registros de actividad. Para los tratamientos que no pueden salir del país, ofrecemos procesamiento de inteligencia artificial en infraestructura propia en Chile.

Puedes ver el detalle del servicio en cumplimiento de la Ley 21.719, dimensionarlo con el cotizador, o escribirnos y lo conversamos.

Fuentes

• Ley 21.719, Biblioteca del Congreso Nacional
• Guía práctica de implementación, División de Gobierno Digital

Este artículo aborda la implementación técnica y no constituye asesoría legal. Para la interpretación normativa de cada caso, consulta con un abogado especializado en protección de datos.