Una auditoría de datos personales es una revisión ordenada de qué datos recoge tu empresa, para qué los usa, dónde los guarda, quién puede verlos y cómo los protege, comparada con lo que exige la Ley 21.719. Para muchas empresas chilenas, el mejor punto de partida es la página web: ahí están los formularios de contacto, las cotizaciones, los registros de clientes, las cookies y las herramientas de terceros que capturan información todos los días, muchas veces sin que el dueño del negocio sepa exactamente qué pasa con ella.
Esta guía está pensada para dueños, gerentes y responsables comerciales que no son expertos en tecnología ni en derecho. Te explica qué cambia con la nueva ley, qué conviene revisar en tu sitio y cómo ordenar los hallazgos para corregir primero lo que más riesgo tiene. No reemplaza la asesoría de un abogado, pero sí te permite llegar a esa conversación sabiendo qué preguntar.
Tabla de contenido
Qué cambia con la Ley 21.719 y por qué afecta a tu empresa
La Ley 21.719 se publicó en diciembre de 2024 y modifica la antigua Ley 19.628 sobre protección de la vida privada. Con ella, el tratamiento de datos personales pasa a tener reglas más exigentes, una autoridad fiscalizadora dedicada y sanciones relevantes.
Entre los cambios más importantes para una empresa están:
- >Una autoridad fiscalizadora: se crea la Agencia de Protección de Datos Personales, que podrá fiscalizar, investigar y sancionar.
- >Bases de licitud: para usar datos de una persona necesitas una razón válida, como su consentimiento, la ejecución de un contrato, una obligación legal o un interés legítimo, entre otras que define la ley.
- >Derechos de las personas: tus clientes, prospectos y trabajadores pueden pedir acceso a sus datos, rectificarlos, suprimirlos, oponerse a ciertos usos o solicitar su portabilidad.
- >Deber de información y transparencia: debes explicar con claridad qué datos recoges, para qué y con quién los compartes.
- >Deber de seguridad: tienes que aplicar medidas razonables para proteger la información y, si ocurre una vulneración de seguridad, informarla a la autoridad y, cuando corresponda, a las personas afectadas.
Fecha de vigencia: lo confirmado y lo que sigue en trámite
La fecha de entrada en vigencia fijada por la ley es el 1 de diciembre de 2026. En septiembre de 2026 el Gobierno ingresó un proyecto para postergarla, y a fines de octubre el Senado lo aprobó con una fecha propuesta de 15 de octubre de 2027. Al momento de escribir esta guía, en noviembre de 2026, el proyecto seguía pendiente en la Cámara de Diputados y no había sido publicado como ley. Mientras eso no ocurra, la fecha vigente sigue siendo el 1 de diciembre de 2026.
Conviene mirar esto con calma: incluso si la postergación se aprueba, las obligaciones de fondo no cambian. Una eventual prórroga da más tiempo para ordenarse, pero no elimina el trabajo. Por eso la auditoría tiene sentido ahora, no en la última semana.
Sanciones y registro público
La ley clasifica las infracciones en leves, graves y gravísimas, con multas expresadas en Unidades Tributarias Mensuales (UTM):
| Tipo de infracción | Multa máxima | Ejemplo orientativo |
|---|---|---|
| Leve | Hasta 5.000 UTM | Incumplimientos de menor entidad, por ejemplo de carácter formal. |
| Grave | Hasta 10.000 UTM | Por ejemplo, tratar datos sin una base legal válida. |
| Gravísima | Hasta 20.000 UTM | Por ejemplo, tratar datos de forma fraudulenta. |
Los ejemplos son orientativos: la lista exacta de conductas en cada categoría está en la ley. Para empresas que no son de menor tamaño y reinciden, la ley contempla multas calculadas como porcentaje de sus ingresos anuales. Además, las sanciones se inscriben en el Registro Nacional de Sanciones y Cumplimiento, que es público. Para una pyme, ese registro puede pesar tanto como la multa: un cliente corporativo, un socio o una licitación pueden revisarlo antes de trabajar contigo.
Por qué tu página web es el primer lugar que conviene auditar
La página web es el primer lugar que conviene auditar porque suele ser la puerta de entrada de casi todos los datos personales de una empresa. Un formulario de contacto envía nombre, correo y teléfono; una tienda online guarda direcciones e historial de compras; un chat recoge conversaciones; una herramienta de analítica registra el comportamiento de cada visita. La planilla de clientes o el sistema contable también importan, pero muchas veces se alimentan de lo que entra por el sitio.
Además, el sitio es lo único visible desde afuera. Cualquier persona, incluida la autoridad, puede entrar y revisar si tienes una política de privacidad, cómo pides el consentimiento o qué cookies se cargan apenas alguien llega. Por eso un sitio desordenado transmite descuido, aunque internamente tu equipo trate bien la información.
Si tu sitio fue construido hace años, por distintos proveedores o con muchos plugins agregados con el tiempo, es probable que nadie tenga hoy una foto completa de lo que captura. Si quieres partir por un diagnóstico general antes de enfocarte en datos, revisa también nuestra guía de auditoría de sitio web para detectar qué está fallando.
¿Quieres ver en tu propio sitio qué datos se están capturando y dónde terminan? Solicita una demostración con Itechnova: revisamos contigo qué formularios, cookies e integraciones de tu página web recogen datos personales, adónde los envían y qué conviene ordenar primero frente a la Ley 21.719.
Qué revisa una auditoría de datos personales en una página web
Una auditoría de datos en una página web revisa seis puntos: formularios, cookies y analítica, plugins e integraciones, hosting y accesos, política de privacidad y la forma de responder a los derechos de las personas. En cada uno, lo importante es poder contestar una pregunta simple:
| Punto a revisar | Pregunta clave | Señal de alerta |
|---|---|---|
| Formularios | ¿Qué datos pedimos y realmente los necesitamos? | Campos obligatorios que nadie usa, como RUT o fecha de nacimiento en un simple contacto. |
| Cookies y analítica | ¿Qué herramientas registran a las visitas y con qué fin? | Píxeles publicitarios que nadie recuerda haber instalado. |
| Plugins e integraciones | ¿A qué servicios externos se envían los datos? | Formularios conectados a cuentas personales o a herramientas que ya no se pagan. |
| Hosting y accesos | ¿Quién puede entrar al administrador y a la base de datos? | Usuarios de exproveedores o extrabajadores que siguen activos. |
| Política de privacidad | ¿Lo que dice el texto coincide con lo que hace el sitio? | Una política copiada de otra empresa o que no menciona a terceros. |
| Derechos de las personas | ¿Cómo respondemos si alguien pide borrar sus datos? | No hay canal ni responsable definido. |
Formularios y puntos de captura
Haz un listado de todos los lugares donde una persona entrega datos: contacto, cotización, suscripción al boletín, registro de usuarios, carrito de compras, postulaciones laborales y reservas. En cada uno pregúntate si el dato es necesario para el fin declarado. La ley pide proporcionalidad: si para responder una consulta basta un correo, pedir dirección y fecha de nacimiento es un riesgo sin beneficio. Si tu negocio recibe reservas por la web, cada reserva también es un punto de captura; nuestra guía para crear una página de reservas te ayuda a ver qué datos pide ese flujo.
Revisa también qué pasa después del envío. Muchos formularios guardan una copia en la base de datos del sitio, mandan otra por correo y una tercera a un CRM. Cada copia es un lugar más que proteger.
Cookies, analítica y píxeles
Las cookies son pequeños archivos que el sitio deja en el navegador del visitante para recordar información o medir su comportamiento. Algunas son necesarias para que la página funcione; otras sirven para analítica o publicidad. La auditoría debe identificar cuáles se cargan, quién las provee y si la persona fue informada y pudo decidir sobre las que no son imprescindibles.
Plugins, integraciones y terceros
Chats, chatbots, sistemas de reservas, pasarelas de pago, herramientas de correo masivo y mapas son servicios de terceros que reciben información de tus visitas. No están prohibidos, pero debes saber cuáles son, qué datos reciben, dónde están sus servidores y si existe un contrato que regule ese uso. Si estás evaluando incorporar un asistente automático, te puede servir nuestra guía sobre lo que necesitas saber antes de tener un chatbot, porque los chats también almacenan conversaciones con datos personales.
Hosting, accesos y respaldos
El hosting es el servicio donde vive tu sitio y, muchas veces, también su base de datos. Revisa dónde está alojado, si usa certificado de seguridad (el candado HTTPS del navegador), si se actualiza, quién tiene contraseñas de administrador y si los respaldos están protegidos. Un respaldo descargado en un computador personal es tan sensible como la base de datos original. Si no tienes claro qué servicio de alojamiento usa tu empresa, parte por nuestra explicación de qué es el hosting y cómo elegirlo.
Política de privacidad y textos de consentimiento
La política de privacidad no es un trámite para dejar en el pie de página. Debe explicar, en lenguaje claro, quién es el responsable de los datos, qué se recoge, con qué finalidad, con quién se comparte, cuánto tiempo se guarda y cómo ejercer los derechos. Un error común es usar una plantilla genérica que no coincide con lo que realmente hace el sitio. La auditoría compara ambos mundos: el texto y la práctica.
Derechos de las personas: cómo responder solicitudes
Si un cliente te escribe pidiendo saber qué datos tienes de él o que los elimines, ¿quién responde y cómo encuentra esa información en el sitio, el CRM y el correo? Definir un canal visible, un responsable y un procedimiento simple evita respuestas improvisadas y posibles incumplimientos.
Cómo hacer la auditoría paso a paso
La auditoría se puede ordenar en ocho pasos, desde nombrar a un responsable hasta documentar los cambios. No necesitas un proyecto enorme para empezar:
- Nombra un responsable interno. Alguien que coordine, aunque no sea técnico. En una pyme puede ser el dueño o el gerente.
- Haz el inventario de puntos de captura. Recorre el sitio como si fueras un cliente y anota cada formulario, chat, registro y herramienta visible.
- Levanta el inventario técnico. Con tu proveedor web, lista plugins, integraciones, cookies, bases de datos, respaldos y usuarios con acceso.
- Dibuja el recorrido de los datos. Para cada formulario, anota adónde viaja la información y dónde queda guardada.
- Asigna una finalidad y una base legal. Cada dato debe tener un para qué y una justificación. Si no la tiene, probablemente sobra.
- Compara con tu política de privacidad. Marca todo lo que el sitio hace y el texto no menciona, y viceversa.
- Clasifica los hallazgos por riesgo. Separa lo urgente de lo que puede esperar.
- Corrige y documenta. Deja registro de qué cambiaste y cuándo. Esa documentación es parte de demostrar diligencia.
Cómo priorizar lo que encuentres
Los hallazgos se priorizan según su riesgo: primero lo que puede abrir la puerta a una filtración, luego lo que se ve desde afuera y, por último, lo que mantiene el orden en el tiempo. Así evitas que una lista larga te paralice:
| Prioridad | Ejemplos | Por qué en ese orden |
|---|---|---|
| Alta | Accesos de exproveedores activos, sitio sin HTTPS, plugins sin actualizar, respaldos expuestos. | Son puertas abiertas a una filtración, que afecta datos de clientes y puede derivar en sanciones. |
| Media | Política de privacidad desactualizada, cookies sin aviso, campos innecesarios en formularios. | Son visibles desde afuera y reflejan falta de cumplimiento. |
| Continua | Procedimiento para solicitudes, revisión periódica de integraciones, capacitación del equipo. | Mantienen el orden en el tiempo y evitan volver a partir de cero. |
Errores frecuentes al revisar un sitio web
Los errores más comunes vienen de tratar la página web como un tema solo de diseño o de revisarla una sola vez:
- >Pensar que la web es solo diseño. Un sitio bonito puede capturar y exponer datos sin control si nadie revisó su funcionamiento interno.
- >Delegar todo al proveedor sin preguntar. La responsabilidad frente a la ley es de tu empresa, aunque el desarrollo lo haga un tercero.
- >Copiar la política de privacidad de otro sitio. Si no describe lo que tu web hace, no sirve y puede jugar en contra.
- >Revisar una sola vez. Cada plugin nuevo, campaña o integración puede cambiar el panorama. La auditoría debe repetirse cada cierto tiempo.
- >Olvidar los datos antiguos. Bases de contactos antiguas, sin uso ni respaldo legal claro, son un riesgo que se puede reducir eliminándolas de forma ordenada.
Auditoría interna o con apoyo externo
La auditoría combina tres tipos de trabajo: lo que puede hacer tu propio equipo, lo que requiere conocimiento técnico y lo que conviene validar con un abogado. Tu equipo puede encargarse del inventario de formularios, la lectura de la política de privacidad y la definición de responsables. La parte técnica incluye revisar plugins, cookies, configuración del servidor, permisos de la base de datos y respaldos. Y la interpretación legal fina, especialmente si manejas datos sensibles como información de salud o datos de menores, conviene validarla con un abogado especialista.
Una forma práctica de abordarlo es combinar: tu equipo aporta el conocimiento del negocio, un equipo técnico revisa el sitio por dentro y, si corresponde, un asesor legal valida las decisiones. Si estás pensando en rehacer tu sitio, aprovecha la auditoría como insumo y lleva estos requisitos al diseño desde el comienzo, en vez de corregirlos después. Nuestra guía para planificar un sitio web antes de contratar un desarrollador te ayuda a incluirlos, y si necesitas dimensionar la inversión puedes revisar cuánto cuesta una página web en Chile.
Si ya tienes proveedor web o poco tiempo
Tener un proveedor web no te libera de la auditoría: él puede ayudarte con el inventario técnico, pero las decisiones sobre qué datos pedir y para qué son de tu empresa. Y si el tiempo es el problema, no hace falta revisar todo de una vez; basta con partir por los accesos y los formularios, que es donde suele estar el mayor riesgo.
Si tu sitio actual no te permite saber qué datos captura ni controlarlos, revisa el servicio de páginas web de Itechnova. Itechnova desarrolla páginas web a medida para empresas en Chile y define con tu equipo qué datos pide cada formulario, a qué herramientas se envían, quién tiene acceso al administrador y cómo se respalda el sitio, con soporte para mantenerlo actualizado.
Qué relación tiene esto con el modelo de prevención de infracciones
La Ley 21.719 permite que las empresas adopten de forma voluntaria un modelo de prevención de infracciones, un programa de cumplimiento que la Agencia de Protección de Datos Personales puede certificar. En septiembre de 2026 se publicó el reglamento que lo regula. Entre otros elementos, el modelo considera un delegado de protección de datos, un registro de las categorías de datos y operaciones de tratamiento, una matriz de riesgos y protocolos internos. En micro, pequeñas y medianas empresas, el rol de delegado puede asumirlo el propietario o quien ejerza la máxima función directiva.
Contar con un modelo certificado puede considerarse una atenuante si la empresa enfrenta un procedimiento sancionatorio. No es obligatorio, pero hay un punto práctico: buena parte de lo que exige el modelo se alimenta de una auditoría bien hecha. El inventario de datos de tu página web es, en la práctica, la primera pieza de ese registro.
Por dónde empezar esta semana
Si solo tienes tiempo para tres acciones, haz estas: recorre tu sitio y anota cada lugar donde pides datos; pide a tu proveedor web la lista de usuarios con acceso y elimina los que ya no corresponden; y lee tu política de privacidad preguntándote si describe lo que realmente pasa. Con eso ya tendrás una idea clara del estado de tu página web frente a la Ley 21.719 y podrás decidir, con información, qué corregir primero.
La protección de datos dejó de ser un tema solo de grandes empresas. Para una pyme, ordenar su página web es una forma concreta y visible de demostrar que cuida la información de sus clientes, y esa confianza también es parte de la relación comercial.
Preguntas frecuentes sobre auditoría de datos y la Ley 21.719
¿Cada cuánto conviene auditar los datos de mi página web?
Conviene repetir la auditoría cada cierto tiempo y, además, cada vez que agregues un plugin, una integración o una campaña nueva. Esos cambios pueden modificar qué datos capta tu página web y adónde los envía, así que una revisión única queda desactualizada con el tiempo.
¿Desde cuándo rige la Ley 21.719?
La fecha fijada por la ley es el 1 de diciembre de 2026. En octubre de 2026 el Senado aprobó un proyecto que propone postergarla al 15 de octubre de 2027, pero en noviembre de 2026 seguía en trámite en la Cámara de Diputados. Mientras no se publique como ley, la fecha vigente es el 1 de diciembre de 2026.
¿La Ley 21.719 aplica a mi pyme?
Sí. La ley aplica a cualquier empresa que trate datos personales, sin importar su tamaño. Algunas reglas consideran el tamaño, por ejemplo en el cálculo de multas para reincidentes o en quién puede asumir el rol de delegado dentro del modelo de prevención de infracciones.
¿Qué reviso primero en la página web de mi empresa?
Los formularios y los datos que piden, las cookies y herramientas de terceros, los usuarios con acceso al administrador y al hosting, los respaldos y la política de privacidad. Lo urgente son los accesos innecesarios y las fallas de seguridad, porque abren la puerta a filtraciones.
¿Cuáles son las multas de la Ley 21.719?
Las infracciones leves tienen multas de hasta 5.000 UTM, las graves de hasta 10.000 UTM y las gravísimas de hasta 20.000 UTM. Para empresas que no son de menor tamaño y reinciden, hay multas calculadas como porcentaje de sus ingresos anuales. Las sanciones se inscriben en un registro público.
¿Una auditoría reemplaza la asesoría legal?
No. La auditoría te da un diagnóstico técnico y operativo de cómo tu empresa y tu sitio tratan los datos, y te permite llegar a la conversación con el abogado sabiendo qué preguntar. Las decisiones legales, sobre todo si manejas datos sensibles o de menores, conviene validarlas con un abogado especialista.
Deja un comentario