A quién aplica la Ley 21.719
A toda persona natural o jurídica, incluidos los órganos públicos, que trate datos personales. No hay umbral de tamaño, de facturación ni de cantidad de registros. Si guardas datos de personas, te aplica.
La regla general
Todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, debe respetar los derechos y libertades de las personas y quedará sujeto a las disposiciones de esta ley.
Conviene subrayar lo que no dice: no dice «empresas de más de X trabajadores», no dice «bases de datos de más de X registros», no dice «tratamientos automatizados». Una consulta médica que lleva fichas en papel trata datos personales, y sensibles.
Ejemplos de quién queda dentro
- Una tienda online con clientes registrados
- Un restaurante con lista de reservas y correos
- Una consulta médica, dental o psicológica
- Un colegio o preuniversitario
- Una pyme con trabajadores en remuneraciones
- Una inmobiliaria con postulantes a arriendo
- Un taller que guarda datos de clientes y patentes
- Una municipalidad o servicio público
- Una fundación con base de donantes
- Un profesional independiente con cartera de clientes
- Tu agenda de contactos personal en el teléfono
- El grupo familiar de mensajería
- Un álbum de fotos privado del cumpleaños
- El ejercicio de las libertades de emitir opinión e informar
La excepción de actividades personales es estrecha: cubre lo doméstico. En cuanto hay actividad económica o institucional detrás, deja de aplicar.
Las dos exclusiones, con letra chica
El artículo 1° establece dos exclusiones que conviene leer completas porque son más acotadas de lo que parecen.
Libertad de opinión e información. El régimen no se aplica al tratamiento que se realice en el ejercicio de las libertades de emitir opinión e informar. Pero la ley aclara de inmediato que los medios de comunicación social quedan sujetos a sus disposiciones respecto del tratamiento que efectúen con una finalidad distinta a la de opinar e informar. Es decir: la nota periodística está cubierta por la excepción; la base de suscriptores del medio, su publicidad segmentada y sus analytics, no.
Actividades personales. Tampoco se aplica al tratamiento que efectúen las personas naturales «en relación con sus actividades personales». Un emprendedor que usa su WhatsApp personal para atender clientes está haciendo actividad económica, no personal.
Ámbito territorial: cuándo alcanza a una empresa de afuera
El art. 1° bis es la parte que más sorprende, y es donde se juega buena parte del efecto real de la ley sobre plataformas internacionales.
- a) Establecimiento en Chile. Cuando el responsable o el mandatario están establecidos o constituidos en el territorio nacional.
- b) Mandatario de un responsable chileno. Cuando el mandatario, sin importar dónde esté, realiza el tratamiento a nombre de un responsable establecido en Chile.
- c) Oferta o monitoreo dirigido a Chile. Cuando ni el responsable ni el mandatario están en Chile, pero sus operaciones se destinan a ofrecer bienes o servicios a titulares que se encuentren en Chile —independientemente de si se les requiere un pago— o a monitorear su comportamiento, incluyendo su análisis, rastreo, perfilamiento o predicción.
La ley agrega un cuarto supuesto: también se aplica cuando a un responsable no establecido en Chile le resulte aplicable la legislación nacional a causa de un contrato o del derecho internacional.
Explicado en simple
En simple: la ley no se fija en dónde está tu servidor ni dónde está constituida tu empresa. Se fija en a quién le estás vendiendo o a quién estás siguiendo.
Una app gratuita hecha en otro país, sin oficina en Chile, que se descarga acá y mide qué hacen los usuarios chilenos dentro de la app, cae bajo la ley chilena. El «independientemente de si se les requiere un pago» está puesto justamente para que lo gratuito no sea una escapatoria.
Al revés también importa: que tu proveedor esté en Estados Unidos no te libera a ti. Si tú eres la empresa chilena que decidió usarlo, sigues siendo el responsable.
Para equipos técnicos y legales
El criterio de la letra c) es de direccionamiento, no de mera accesibilidad. Un sitio accesible desde Chile no queda automáticamente sujeto; lo relevante es que las operaciones estén destinadas a ofrecer bienes o servicios a titulares en Chile. Señales típicas de direccionamiento: precios en pesos chilenos, despacho a Chile, dominio .cl, atención en español de Chile, campañas segmentadas al país.
La segunda hipótesis —monitoreo del comportamiento— es la que más se subestima en implementaciones web. La ley enumera «análisis, rastreo, perfilamiento o predicción de comportamiento». Eso describe con precisión lo que hacen las plataformas de analítica de producto, los píxeles publicitarios, los mapas de calor y las herramientas de grabación de sesión.
- Si incorporas un tercero que perfila usuarios en Chile, ese tercero puede quedar bajo el ámbito de la ley por sí mismo, y tú sigues siendo responsable por haberlo incorporado (art. 3° e), principio de responsabilidad).
- El art. 13 exige además que el responsable sin domicilio en Chile que trate datos de personas que están en Chile cumpla deberes específicos; revisa el inciso final del artículo antes de asumir que un proveedor extranjero está fuera.
- Para el flujo de salida de datos, lo que aplica es el régimen de transferencias internacionales (art. 27 y siguientes), que es un análisis distinto del ámbito territorial.
¿Y si soy una empresa muy chica?
La ley te aplica igual, pero el estándar exigible no es el mismo. El art. 14 septies ordena expresamente diferenciar las condiciones mínimas de cumplimiento de los deberes de información y de seguridad, considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según las categorías de la Ley N° 20.416 para empresas de menor tamaño, la actividad que desarrolla y el volumen, naturaleza y finalidades de los datos.
Esos estándares diferenciados los fijará la Agencia mediante instrucción general. Mientras tanto, el criterio razonable es proporcionalidad: a una peluquería con una libreta de clientes no se le va a exigir la arquitectura de seguridad de un banco, pero sí que sepa qué guarda, para qué, y que pueda responder cuando alguien le pida sus datos.
Existe además una disposición transitoria que, según describe el Mensaje del Ejecutivo del proyecto en trámite, limita a las empresas de menor tamaño un régimen de amonestación durante los primeros doce meses de vigencia; ese mismo proyecto propone suprimir la limitación. Lo desarrollamos, con la cita y su fuente, en la Ley 21.719 para pymes (y el estado del proyecto está en estado y vigencia).
Cómo saber si te aplica, en tres preguntas
Clientes, trabajadores, postulantes, proveedores, pacientes, alumnos, donantes, suscriptores. Si la respuesta es sí, tratas datos personales.
Actividad económica, institucional o pública. Si es sí, no te cubre la excepción de actividades personales.
El siguiente paso no es preguntarse si, sino qué: pasa al checklist o a las obligaciones.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.