No dia 1º de dezembro, o formulário de contato do seu site passa a ser um risco legal. Parece manchete de vendedor assustando gente, então começo pela parte tranquila: não é o fim do mundo e dá para resolver em algumas tardes. Mas precisa ser feito.
Nesse dia entra em plena vigência a Lei 21.719, a nova lei chilena de proteção de dados pessoais. Vou te explicar de forma simples: o que se aplica a você, o que seu site deveria ter e o que nós estamos fazendo.
O que é, em resumo
A lei foi publicada em dezembro de 2024 e veio substituir a Lei 19.628, que era de 1999 e não fiscalizava ninguém. O que se abriu então foi um prazo de dois anos para se adequar, e esse prazo termina em 1º de dezembro de 2026.
A partir dessa data entra em funcionamento a Agência de Proteção de Dados Pessoais, que pode investigar por conta própria, receber denúncia de qualquer pessoa, ordenar que você pare de usar os dados, multar e publicar um registro com os sancionados. Esse registro é público, e para muitas empresas essa parte pesa mais que a multa.
A quem se aplica
A todos. Não há mínimo de tamanho nem de faturamento: se você guarda dados de pessoas, aplica-se a você igual a um banco. O que muda é o tamanho da sanção, não a obrigação.
E «dados pessoais» é bem mais do que se imagina. Se você tem alguma destas, já está tratando dados:
- O formulário de contato ou de orçamento do seu site.
- A planilha de clientes ou prospects no Sheets ou Excel, e a caixa de e-mail com orçamentos de anos.
- A lista de inscritos no Brevo, Mailchimp ou no CRM.
- Os chats de WhatsApp do número da empresa.
- O Google Analytics e o Pixel da Meta, que enviam o comportamento de cada visitante para servidores fora do Chile.
Caso à parte são os dados sensíveis: saúde, filiação sindical, antecedentes, biométricos. Aí as regras são mais rígidas e exige-se consentimento expresso. Se o seu formulário pergunta sobre licença médica ou acidente de trabalho, você está nessa categoria mesmo sem saber.
O que se arrisca, sem dramatizar
A lei chega a até 20.000 UTM na faixa mais grave — cerca de $1.434 milhões com a UTM de setembro — e cai para 10.000 e 5.000 UTM nas faixas grave e leve. Mas são tetos máximos: a Agência gradua conforme a gravidade, o tamanho da empresa e se houve intenção. Uma PME de dez pessoas não vai levar mil e quatrocentos milhões.
O risco real é mais chato que isso. Alguém te denuncia — um cliente irritado, um ex-funcionário, um concorrente — e você tem que explicar quais dados tem, de onde vieram, para que os usa e para quem os repassou. Se isso não está organizado, o custo não é a multa: é montar em três semanas e às pressas o que você poderia fazer com calma em outubro.
O que seu site deveria ter
- Uma política de privacidade de verdade, escrita para o seu caso e com o link do rodapé funcionando. Um link legal que não leva a lugar nenhum é pior do que não tê-lo.
- Caixa de consentimento em cada formulário, sem vir pré-marcada e dizendo para que você vai usar aquele e-mail e aquele telefone.
- Um banner de cookies que efetivamente bloqueie. Não serve o avisinho que aparece quando o Analytics e o Pixel já dispararam.
- Um canal para exercer direitos. As pessoas podem pedir acesso aos seus dados, corrigi-los, apagá-los ou levá-los consigo. Você precisa de um e-mail visível para receber essas solicitações e de alguém que as responda.
- Um registro de quais dados você tem e onde. Uma planilha basta: qual dado, onde fica, quem o vê. E descartar o que já não tem razão de existir — aquela base que você comprou em 2018 não pode mais ser usada —.
- Um plano para quando algo vazar. É preciso avisar a Agência sem demora e, se o risco for alto, também as pessoas afetadas. Isso se define antes, não no dia em que acontece.
Um detalhe que sempre se esquece: quem cuida do seu site, do hosting ou do mailing é um encarregado de tratamento, e essa relação deveria estar por escrito.
O que estamos fazendo na Boostify
Não queremos chegar a dezembro improvisando, então começamos pelo que é nosso. Já revisamos um por um os sites que administramos — formulários, campos que pedem, scripts de terceiros, política de privacidade, cookies — e cada cliente vai receber seu diagnóstico: o que falta, ordenado por urgência, e o plano para deixar tudo em dia antes de 1º de dezembro.
Também montamos o pacote de regularização: política de privacidade redigida para o caso real de cada empresa, caixas de consentimento nos formulários, banner que bloqueia os scripts até a pessoa aceitar, canal de direitos e o registro de dados.
E começamos por casa: o boostify.cl se atualiza primeiro. Não vamos recomendar nada que não tenhamos testado no nosso próprio site.
Se você é nosso cliente, por enquanto não precisa mover um dedo: nós chegamos até você com o seu diagnóstico.
Três coisas que você pode fazer esta semana
- Abra seu site e procure o link de privacidade no rodapé. Se não existe ou não leva a lugar nenhum, esse é o ponto um.
- Preencha o seu próprio formulário de contato e veja se em algum momento te disseram para que vão usar seus dados.
- Faça uma lista de onde você tem dados de pessoas: planilhas, e-mail, WhatsApp, CRM, mailing. Só a lista, com isso você já avançou bastante.
Duas honestidades para fechar
A primeira: não somos advogados e isto não é assessoria jurídica. O nosso é a parte técnica — o site, os formulários, os scripts, os consentimentos, a organização dos dados —, que é por onde começa qualquer fiscalização. Se você lida com dados sensíveis ou muito volume, some um advogado.
A segunda: no dia 1º de dezembro não vai acontecer nada espetacular. Não cai a internet nem aparece alguém na sua empresa. Simplesmente, a partir desse dia o que você não fez passa a ser exigível e qualquer pessoa pode reclamar. Resolver em outubro custa menos e se faz com calma.
Se você quer saber como fica seu site, me chama no WhatsApp e eu te digo o que falta, mesmo que depois você resolva por conta própria ou com outro. E se preferir deixar para mais adiante, também está tudo bem: pelo menos você já sabe o que vem por aí.
