Ley 21.719: qué debe tener tu sitio web antes de diciembre 2026

El 70% de las pymes chilenas no tiene ninguna medida de ciberseguridad activa. Lo veo prácticamente cada vez que audito un servidor para un cliente. Hasta hace poco, esta dejadez técnica era simplemente un riesgo operativo o una molestia menor, pero a partir de la entrada en vigencia plena de la nueva regulación, pasa a ser un incumplimiento normativo con consecuencias patrimoniales devastadoras. No soy abogado, soy desarrollador. Yo no te voy a redactar una política de privacidad a medida ni a validar la licitud del tratamiento de datos en tu modelo de negocio, porque eso requiere un especialista legal. Mi trabajo se limita estrictamente a la parte que los abogados no pueden programar: el código, las cookies de seguimiento, las llamadas API y la seguridad de tu servidor. Este artículo es un checklist técnico, objetivo y real de lo que tu plataforma necesita para estar en regla, sin adornos corporativos ni teoría aburrida.

¿A quién le aplica realmente la ley de protección de datos en Chile?

Existe un mito muy extendido en el mercado local de que esta de protección de datos en Chile está pensada únicamente para bancos, aseguradoras o gigantes del retail. La realidad es que la ley no distingue por volumen de facturación ni por el tamaño de tu pyme, sino por el acto de tratar información. Si tu plataforma digital cuenta con un formulario de contacto básico, recopila correos para un boletín, procesa compras mediante un e-commerce o simplemente rastrea visitas con cookies de analítica, estás obligado por ley a adecuar tu infraestructura. Nombres, correos, números de teléfono e incluso la dirección IP de tus visitantes constituyen información protegida. He auditado decenas de sitios corporativos en el país y casi el 90% recopila estos datos sin que sus dueños tengan la más mínima idea de dónde se almacenan, quién tiene acceso a ellos o bajo qué criterios de red se transmiten.

Para entender el impacto real de la ley 21719 en pymes, hay que mirar las multas asociadas. Las infracciones leves castigan omisiones de transparencia con hasta 5.000 UTM, las graves sancionan el tratamiento sin consentimiento con hasta 10.000 UTM, y las gravísimas penalizan el mal uso de datos sensibles o la ocultación de hackeos con hasta 20.000 UTM. Con una UTM promedio de $71.506 CLP, estamos hablando de multas que oscilan entre los $357 millones y los $1.430 millones de pesos. Las grandes corporaciones arriesgan además penalizaciones equivalentes al 2% o 4% de sus ingresos anuales si reinciden.

Hay una marcha blanca que casi nadie menciona porque el miedo vende mucho más rápido: el artículo sexto transitorio de la Ley 21.719 otorga un período de gracia de 12 meses exclusivo para las pymes. Durante este primer año, la Agencia solo aplicará amonestaciones por escrito en lugar de multas de dinero para infracciones leves o graves detectadas por primera vez. Pero no te relajes con este dato: si sufres una filtración debido a un hackeo por no tener medidas de ciberseguridad básicas, la responsabilidad civil ante tus clientes corre desde el primer día. Los atacantes informáticos no respetan los plazos de la marcha blanca ni leen el Diario Oficial.

El checklist técnico: qué debo hacer para que mi sitio cumpla la ley 21.719

Olvídate de los complementos mágicos que prometen resolver la seguridad de tu WordPress o tu Shopify con un solo clic, porque el cumplimiento legal automático no existe. Si realmente quieres adecuar tu plataforma, tu equipo técnico debe implementar de manera rigurosa estas cinco medidas en tu infraestructura:

1. Cifrado forzado de red y TLS 1.3

La transmisión de datos personales en texto plano es una infracción de seguridad inaceptable. Se debe forzar la navegación HTTPS mediante redirecciones estrictas a nivel de servidor. No te conformes con el certificado SSL gratuito que viene configurado por defecto en el hosting compartido. Exige la implementación y configuración del protocolo TLS 1.3. Este estándar no solo elimina las vulnerabilidades de seguridad de las versiones antiguas (como TLS 1.0 y 1.1), sino que acelera la carga al optimizar el handshake SSL. Lo probé con un cliente del sector logístico: bajamos su Largest Contentful Paint (LCP) de 4.4 segundos a menos de 1.8 segundos solo aplicando esta optimización de red.

2. Gestión de cookies con bloqueo previo (Prior Blocking)

El consentimiento tácito o la pre-aceptación por navegación pasiva quedan prohibidos en Chile. Los banners tradicionales que solo avisan “usamos cookies para mejorar tu experiencia“ mientras Google Analytics y Meta Pixel ya están rastreando al usuario en segundo plano son una infracción grave. Tu sitio debe contar con una Plataforma de Gestión de Consentimiento (CMP) configurada para aplicar bloqueo previo. Esto significa que todos los scripts de seguimiento externos deben permanecer completamente bloqueados y no descargar datos en el navegador del usuario hasta que este decida aceptarlos voluntariamente mediante una acción afirmativa inequívoca.

3. Formularios de captura sin trampas

Se prohíben las casillas premarcadas del tipo “Acepto las políticas“. La aceptación de las políticas de tratamiento de datos debe ser una acción voluntaria, independiente y afirmativa del usuario. Junto a la casilla, debes desplegar una cláusula breve que informe de forma clara quién es el responsable y para qué se usarán los datos. Además, tu base de datos debe registrar la prueba real de ese consentimiento: la dirección IP anonimizada, la fecha, la hora y la versión exacta de la política de privacidad aceptada para efectos de auditoría.

4. Flujo de derechos ARCOP+ en 30 días

Tus usuarios tienen derecho a acceder, corregir, portar y borrar sus datos personales de tu sistema. Tienes un plazo máximo de 30 días corridos para responder de forma gratuita ante cualquier solicitud. Técnicamente, esto exige que tu plataforma pueda exportar la información del usuario en un formato estructurado y de uso común (como archivos .json o .csv) si pide portabilidad. Si solicita la eliminación (derecho de cancelación), tu sistema debe contar con flujos o webhooks que borren sus datos no solo de tu base de datos local, sino de todas tus integraciones externas de email marketing, pasarelas de pago y CRMs.

5. Respaldos externos con la regla 3-2-1

La ciberseguridad se convierte en una obligación legal bajo el principio de seguridad activa. El 100% de los sitios hackeados que me ha tocado recuperar tenían “respaldos”, pero casi ninguno servía. O estaban guardados en el mismo servidor de producción infectado o las copias estaban corruptas. Necesitas aplicar la regla 3-2-1: tres copias de seguridad de la base de datos, en dos soportes diferentes, con al menos una copia encriptada alojada fuera del hosting de origen. Un backup almacenado en la misma cuenta de hosting no sirve de nada si tu servidor es comprometido.

Lo que un desarrollador NO puede hacer por ti

La adecuación legal es una disciplina transversal. La configuración técnica, los protocolos de red, la encriptación y el bloqueo de cookies corresponden a la capa de desarrollo y representan aproximadamente el 20% del cumplimiento de la ley.

El 80% restante es de carácter estrictamente legal e institucional. La redacción de la Política de Privacidad adaptada, la confección de contratos de procesamiento de datos con tus proveedores (DPA), el levantamiento del Registro de Actividades de Tratamiento (RAT) por cada área de tu empresa y la justificación del Interés Legítimo son tareas que requieren la intervención directa de un abogado especialista en derecho digital. Cualquiera que te prometa resolver ambas cosas solo por instalar un plugin, te está mintiendo.

Cómo evaluar tu sitio en 5 minutos (y tomar el control de tu infraestructura)

Para auditar el estado real de un servidor, uso habitualmente cinco herramientas gratuitas: PageSpeed, Mozilla Observatory, SSL Labs, SecurityHeaders y Sucuri SiteCheck. Todas son públicas y de libre acceso, y te entregarán la radiografía de tu nivel de riesgo técnico inicial.

Sin embargo, para ahorrarte el trabajo de interpretar métricas complejas, consolidar gráficos de red y configurar diagnósticos, construí un Escáner de Viabilidad Comercial y Rendimiento WPO en mi propio portafolio.

Si deseas conocer el estado real de tu infraestructura antes de que la Agencia comience a fiscalizar en diciembre de 2026, te invito a probar mi herramienta de diagnóstico. El sistema analizará tu código en tiempo real, medirá tus Core Web Vitals en móviles 4G y calculará de forma automática la pérdida de tráfico estimada y la fuga financiera mensual que la lentitud de carga le está provocando a tu negocio.

Al finalizar, si tu sitio presenta un estado de riesgo crítico o mejorable, el sistema te permitirá agendar una sesión de diagnóstico de 30 minutos directamente en mi calendario de Google Meet. Revisaremos juntos los cuellos de botella exactos de tu base de datos y trazaremos el plan de rescate técnico definitivo.