Esperar pelo adiamento da Lei 21.719 é a aposta mais cara que sua pequena empresa pode fazer. E eu entendo a tentação: o Senado já a aprovou para 15 de outubro de 2027, o projeto avança com a urgência mais alta que existe e a gente pensa «se me derem dez meses a mais, por que correr?».
Segue o resumo da lei como está no fim de outubro de 2026, em que pé está o adiamento e por que não convém ficar sentado esperando por ele.
A Lei 21.719 em resumo
- O que é: a nova lei chilena de proteção de dados pessoais. Reescreve quase inteira a Lei 19.628 de 1999.
- A partir de quando: 1º de dezembro de 2026. Foi publicada em 13 de dezembro de 2024 e trazia prazo de 24 meses.
- A quem se aplica: a qualquer empresa que trate dados pessoais, independentemente do porte. Se você tem um formulário de contato, uma planilha de clientes ou uma lista de transmissão no WhatsApp, está dentro.
- A regra de ouro: para usar dados você precisa do consentimento da pessoa ou de outra base legal, e o ônus de provar é seu.
- Os direitos: acesso, retificação, supressão, oposição, portabilidade e bloqueio. Você tem 30 dias corridos para responder.
- O fiscalizador: a nova Agência de Proteção de Dados Pessoais, que investiga, multa e publica as sanções em um registro nacional.
- As multas: até 5.000, 10.000 ou 20.000 UTM conforme a gravidade.
A versão longa, com os artigos e o que cada um significa, está no nosso guia completo da Lei 21.719.
Adia para 2027? Em que pé está o projeto
Em 1º de setembro o Executivo deu entrada no Senado ao boletim 18.623-07. Faz duas coisas: adia a entrada em vigor e amplia de três para cinco os conselheiros da Agência. O Governo propunha 1º de dezembro de 2027.
O que aconteceu em outubro: a Comissão de Constituição o aprovou em geral por unanimidade, o Governo subiu a urgência para «discussão imediata» e, em 26 de outubro, a comissão o aprovou em particular com nova data: 15 de outubro de 2027. No dia seguinte, a Comissão de Fazenda o despachou sem alterações e, em 28 de outubro, o Plenário do Senado o aprovou com esse mesmo texto.
O que falta: a Câmara dos Deputados, onde está desde 29 de outubro, e a publicação no Diário Oficial. Tudo antes de 1º de dezembro. Dá, mas o calendário está apertado: se a Câmara mudar o texto, ele volta ao Senado.
Enquanto não for publicada, a data legal continua sendo 1º de dezembro de 2026. Acompanhamos o boletim diariamente e mantemos o status atualizado em A Lei 21.719 é adiada para 2027?.
Por que esperar o adiamento é uma aposta ruim
- Se não der tempo, vale do mesmo jeito. E te pega sem nada feito.
- O adiamento não mexe em nenhuma obrigação. O próprio Senado explica assim: muda a data «sem modificar suas obrigações substantivas». O trabalho é o mesmo, hoje ou daqui a um ano.
- O projeto muda no caminho. O Governo propunha que no primeiro ano todas as empresas recebessem advertência em vez de multa. A comissão tirou isso: esse tratamento continua valendo só para empresas de menor porte. O que entra no Congresso nem sempre sai igual.
- O que é visível se resolve rápido. Política de privacidade, formulários e analytics ficam em ordem em algumas semanas. Não há motivo para deixar isso para setembro de 2027.
Quanto pode custar, em pesos
Com a UTM de outubro de 2026 ($72.151), os tetos ficam assim:
- Infração leve (não publicar sua política de dados, não ter um canal para solicitações, responder atrasado): advertência ou até 5.000 UTM, cerca de $360 milhões.
- Grave (usar dados sem base legal ou para outra finalidade, segurança insuficiente, não registrar um vazamento): até 10.000 UTM, cerca de $721 milhões.
- Gravíssima (tratamento fraudulento ou uso malicioso): até 20.000 UTM, mais de $1.443 milhões.
São tetos e a Agência gradua conforme o dano, o porte da empresa e as atenuantes. Para as pequenas empresas há um alívio: durante o primeiro ano a sanção pode ser uma advertência por escrito em vez de multa. Mas fica em um registro público, e diante dos seus clientes isso pesa quase o mesmo.
Um dado de campo
Em setembro auditamos de fora 20 sites chilenos, como faria um fiscalizador. 19 não tinham política de privacidade publicada, ou o link estava quebrado. Não é que sejam empresas descuidadas: até agora ninguém verificava. É justamente isso que muda.
O que eu faria nesta semana
- Fazer o autodiagnóstico da Lei 21.719: dez perguntas, dois minutos, sem deixar dados.
- Abrir seu site e procurar a política de privacidade. Se não estiver, se ainda cita a Lei 19.628 ou se não diz quem é o responsável com razão social e RUT, esse é o primeiro ajuste. Aqui está o checklist para sites.
- Revisar seus formulários: que digam para que você usará os dados e que a inscrição em newsletter ou publicidade seja uma caixa separada, desmarcada.
- Anotar onde estão hoje os dados dos seus clientes: site, e-mail, planilhas, CRM, WhatsApp. Sem esse mapa não dá para organizar mais nada.
Se você já leu nosso post de setembro, Lei 21.719: o que sua empresa deve fazer antes de dezembro, isto é a atualização: o plano é o mesmo. A única coisa que mudou é o ruído sobre a data.
Quer que a gente revise seu site?
Se quiser, revisamos seu site gratuitamente frente à Lei 21.719 e enviamos o que precisa ser corrigido. Fale com a gente pelo WhatsApp e começamos.
Informação geral sobre a Lei 21.719, não constitui assessoria jurídica. Fontes: texto da lei no LeyChile e tramitação do boletim 18.623-07 no Senado.
