El 1 de diciembre, el formulario de contacto de tu sitio pasa a ser un riesgo legal. Suena a titular de vendedor asustando gente, así que parto por la parte tranquila: no es el fin del mundo y se arregla en un par de tardes. Pero hay que hacerlo.
Ese día entra en plena vigencia la Ley 21.719, la nueva ley chilena de protección de datos personales. Te lo cuento en simple: qué te aplica, qué debería tener tu sitio y qué estamos haciendo nosotros.
Qué es, en corto
La ley se publicó en diciembre de 2024 y vino a reemplazar a la Ley 19.628, que era de 1999 y no fiscalizaba a nadie. Lo que se abrió entonces fue un plazo de dos años para ponerse al día, y ese plazo termina el 1 de diciembre de 2026.
Desde esa fecha funciona la Agencia de Protección de Datos Personales, que puede investigar por su cuenta, recibir la denuncia de cualquier persona, ordenar que dejes de usar los datos, multar y publicar un registro con los sancionados. Ese registro es público, y para muchas empresas esa parte pesa más que la multa.
A quién le aplica
A todos. No hay mínimo de tamaño ni de facturación: si guardas datos de personas, te aplica igual que a un banco. Lo que cambia es el tamaño de la sanción, no la obligación.
Y «datos personales» es bastante más de lo que uno pensaría. Si tienes alguna de estas, ya estás tratando datos:
- El formulario de contacto o de cotización de tu sitio.
- La planilla de clientes o prospectos en Sheets o Excel, y la bandeja de correo con cotizaciones de años.
- La lista de suscriptores en Brevo, Mailchimp o el CRM.
- Los chats de WhatsApp del número del negocio.
- Google Analytics y el Pixel de Meta, que mandan el comportamiento de cada visitante a servidores fuera de Chile.
Caso aparte son los datos sensibles: salud, afiliación sindical, antecedentes, biométricos. Ahí las reglas son más estrictas y se exige consentimiento expreso. Si tu formulario pregunta por una licencia médica o un accidente laboral, estás en esa categoría aunque no lo supieras.
Qué se arriesga, sin dramatizar
La ley llega hasta 20.000 UTM en el tramo más grave —unos $1.434 millones con la UTM de septiembre— y baja a 10.000 y 5.000 UTM en los tramos grave y leve. Pero son topes máximos: la Agencia gradúa según la gravedad, el tamaño de la empresa y si hubo intención. A una pyme de diez personas no le van a caer mil cuatrocientos millones.
El riesgo real es más aburrido que eso. Alguien te denuncia —un cliente enojado, un ex trabajador, un competidor— y tienes que explicar qué datos tienes, de dónde salieron, para qué los usas y a quién se los pasaste. Si eso no está ordenado, el costo no es la multa: es armar en tres semanas y a la rápida lo que podrías hacer con calma en octubre.
Lo que debería tener tu sitio
- Una política de privacidad de verdad, escrita para tu caso y con el enlace del pie funcionando. Un enlace legal que no lleva a ninguna parte es peor que no tenerlo.
- Casilla de consentimiento en cada formulario, sin premarcar y diciendo para qué vas a usar ese correo y ese teléfono.
- Un banner de cookies que efectivamente bloquee. No sirve el cartelito que aparece cuando Analytics y el Pixel ya dispararon.
- Un canal para ejercer derechos. Las personas pueden pedirte acceso a sus datos, corregirlos, borrarlos o llevárselos. Necesitas un correo visible para recibir esas solicitudes y alguien que las conteste.
- Un registro de qué datos tienes y dónde. Una planilla basta: qué dato, dónde vive, quién lo ve. Y botar lo que ya no tiene razón de existir —esa base que compraste el 2018 no la puedes seguir usando—.
- Un plan para cuando algo se filtre. Hay que avisarle a la Agencia sin demora y, si el riesgo es alto, también a las personas afectadas. Eso se define antes, no el día que pasa.
Un detalle que se olvida siempre: quien te lleva el sitio, el hosting o el mailing es un encargado de tratamiento, y esa relación debería estar por escrito.
Qué estamos haciendo en Boostify
No queremos llegar a diciembre improvisando, así que partimos por lo nuestro. Ya revisamos uno por uno los sitios que administramos —formularios, campos que piden, scripts de terceros, política de privacidad, cookies— y cada cliente va a recibir su diagnóstico: qué le falta, ordenado por urgencia, y el plan para dejarlo al día antes del 1 de diciembre.
También armamos el paquete de regularización: política de privacidad redactada para el caso real de cada empresa, casillas de consentimiento en los formularios, banner que bloquea los scripts hasta que la persona acepta, canal de derechos y el registro de datos.
Y empezamos por casa: boostify.cl se pone al día primero. No vamos a recomendar nada que no hayamos probado en nuestro propio sitio.
Si eres cliente nuestro, por ahora no tienes que mover un dedo: te llegamos nosotros con tu diagnóstico.
Tres cosas que puedes hacer esta semana
- Abre tu sitio y busca el enlace de privacidad en el pie. Si no existe o no lleva a ninguna parte, ese es el punto uno.
- Llena tu propio formulario de contacto y fíjate si en algún momento te dijeron para qué van a usar tus datos.
- Haz una lista de dónde tienes datos de personas: planillas, correo, WhatsApp, CRM, mailing. Solo la lista, con eso ya avanzaste harto.
Dos honestidades para cerrar
La primera: no somos abogados y esto no es asesoría legal. Lo nuestro es la parte técnica —el sitio, los formularios, los scripts, los consentimientos, el orden de los datos—, que es por donde parte cualquier fiscalización. Si manejas datos sensibles o mucho volumen, súmale un abogado.
La segunda: el 1 de diciembre no va a pasar nada espectacular. No se cae internet ni llega nadie a tu oficina. Simplemente, desde ese día lo que no hiciste queda exigible y cualquier persona puede reclamarlo. Resolverlo en octubre cuesta menos y se hace con calma.
Si quieres saber cómo queda tu sitio, escríbeme por WhatsApp y te digo qué te falta, aunque después lo arregles por tu cuenta o con otro. Y si prefieres dejarlo para más adelante, también está bien: al menos ya sabes lo que viene.
