Ley 21.719: la cuenta regresiva: qué hacer antes del 1 de diciembre de 2026
Hay una fecha que la mayoría de los equipos de marketing en Chile todavía no tiene marcada en rojo:
1 de diciembre de 2026. Ese día entra en plena vigencia la Ley 21.719 de Protección de Datos Personales, y con ella cambia la forma en que cualquier empresa puede recolectar, guardar y usar datos de personas. No es un tema legal abstracto para el área jurídica: toca directamente las cookies, el píxel, las bases de email y el retargeting que sostienen las campañas.
Y ya no falta tanto. Los 24 meses de transición que dio la ley se están agotando. Si tu empresa aún no empezó a adaptarse, este es el momento, porque llegar tarde no significa una amonestación amable.
Lo que está en juego (los números que importan)
Dos datos alcanzan para entender por qué esta ley se toma distinto a la anterior:
- Multas de hasta 20.000 UTM, del orden de USD 1,5 millones, o hasta el 4% de los ingresos anuales de la empresa, lo que sea mayor. Es el mismo estándar de gravedad que el GDPR europeo.
- Por primera vez Chile tendrá una Agencia de Protección de Datos Personales: un organismo autónomo que puede investigar de oficio (sin que nadie denuncie), multar, ordenar suspender el tratamiento de datos y publicar un Registro Nacional de Sanciones.
La ley anterior (19.628) prácticamente no se fiscalizaba. Esta sí. Ese es el cambio de fondo.
Un respiro para las pymes: las empresas de menor tamaño (según la Ley 20.416) tienen una marcha blanca sancionatoria hasta el 1 de diciembre de 2027, su primera infracción se sanciona con amonestación escrita, no con multa. Es un año extra de gracia, no una exención. La obligación de cumplir arranca igual en diciembre de 2026.
Qué cambia en concreto para tu marketing
No todo el peso de la ley cae sobre marketing, pero varias piezas del stack habitual quedan directamente afectadas. Estas son las que hay que revisar sí o sí.
1. Cookies y consentimiento
El punto más visible. La ley exige consentimiento libre, informado y previo para tratar datos personales, y las cookies de analítica y publicidad entran en esa categoría.
Qué revisar:
- ¿Tu sitio tiene un banner de cookies real, que bloquea los scripts de tracking hasta que el usuario acepta? Un banner decorativo que solo avisa «usamos cookies» mientras el píxel ya disparó
no cumple. - ¿El usuario puede rechazar con la misma facilidad con que acepta? Un «Aceptar» grande y un «Configurar» escondido es exactamente lo que la ley busca evitar.
- ¿Queda registro de quién consintió, cuándo y a qué? Ante una fiscalización, el consentimiento hay que poder demostrarlo, no afirmarlo.
Esto conecta con la implementación técnica de Consent Mode en Google Tag Manager: es la forma de que GA4 y los píxeles respeten la decisión del usuario en vez de dispararse igual.
2. GA4 y la analítica
Google Analytics 4 recoge identificadores que, bajo la ley, cuentan como datos personales. Qué mirar:
- Consent Mode v2 configurado, para que GA4 ajuste o suspenda la recolección según lo que el usuario aceptó.
- Revisar la retención de datos y la anonimización de IP.
- Documentar para qué usas cada dato. La ley pide finalidad declarada: recolectar «por si acaso» deja de ser aceptable.
Si tu GA4 todavía no está configurado con intención, este es doble motivo para hacerlo, cumplimiento y mejores datos. Lo cubrimos en cómo medir lo que realmente importa en GA4.
3. Meta Pixel, retargeting y públicos
El retargeting se apoya en compartir datos con plataformas de terceros (Meta, Google). Bajo la ley:
- El píxel de Meta y las etiquetas de conversión solo deben cargar tras el consentimiento.
- Los públicos personalizados subidos desde tu base (Customer Match, Custom Audiences) requieren que esas personas hayan consentido ese uso específico. Subir la base de clientes completa «porque la tenemos» es de los usos más expuestos.
4. Bases de email y lead gen
- Email marketing: cada contacto necesita una base de licitud, consentimiento o una relación contractual que lo justifique. Las bases compradas o scrapeadas son el mayor riesgo.
- Formularios: deben decir con claridad para qué se piden los datos y ofrecer una casilla de consentimiento no premarcada.
- Derecho a borrado y portabilidad: las personas pueden pedir que borres sus datos o que se los entregues. Necesitas un proceso para responder, no improvisarlo cuando llegue el primer pedido.
El checklist accionable (antes del 1 de diciembre)
Para pasar de la teoría a la ejecución, este es el orden en que conviene atacarlo:
- Inventario de datos. ¿Qué datos recolectas, dónde viven, quién los toca? Sin este mapa, todo lo demás es a ciegas.
- Auditoría de tracking. Lista cada cookie, píxel y etiqueta que dispara tu sitio, y con qué base de consentimiento. Aquí es donde una auditoría de marcaje muestra su valor.
- Banner de consentimiento real + Consent Mode v2 en GTM, con registro de consentimientos.
- Revisión de formularios: finalidad declarada + casilla no premarcada + política de privacidad enlazada.
- Depuración de bases: eliminar contactos sin base de licitud clara.
- Proceso de derechos: definir quién responde los pedidos de acceso, borrado y portabilidad, y en qué plazo.
- Responsable asignado: alguien tiene que ser dueño del tema. Sin responsable, el checklist se queda en PDF.
Ninguno de estos pasos requiere esperar a diciembre. El costo de hacerlos ahora es planificación; el de hacerlos tarde, una multa que se calcula sobre tus ingresos.
Por qué esto es una oportunidad, no solo un costo
Cumplir bien tiene un beneficio que se subestima: datos de mejor calidad y más confianza. Una base depurada, con consentimiento real, rinde más en email y en públicos que una base inflada que la plataforma va a castigar igual. Y un sitio que trata los datos con claridad comunica seriedad, sobre todo en sectores donde la confianza es el producto, como lo vimos para marketing digital de fintech en Chile.
La otra cara: quien no se prepara arriesga algo peor que la multa. Un incidente de datos mal manejado es una crisis reputacional en potencia, y la ley obliga a notificar las brechas. Estar preparado es también parte de una gestión de crisis reputacional seria.
Si quieres el panorama completo del cambio normativo más allá del marketing, ya lo desarrollamos en Ley 21.719: qué cambia para tu estrategia de marketing digital y en cookies, tracking y Ley 21.719.
Preguntas frecuentes
¿Desde cuándo rige exactamente la Ley 21.719?
Entra en plena vigencia el 1 de diciembre de 2026. Fue promulgada en noviembre de 2024 y publicada en diciembre del mismo año, con 24 meses de transición para que las empresas se adapten. Las pymes tienen además una marcha blanca sancionatoria hasta el 1 de diciembre de 2027.
¿De cuánto son las multas?
Hasta 20.000 UTM (cerca de USD 1,5 millones) o hasta el 4% de los ingresos anuales de la empresa, según la gravedad de la infracción. Las sanciones se publican en un Registro Nacional, con el costo reputacional que eso implica.
¿Mi pyme está exenta hasta 2027?
No exenta: la obligación de cumplir arranca en diciembre de 2026 igual que para todos. Lo que tienen las pymes es una marcha blanca sancionatoria hasta diciembre de 2027, su primera infracción se castiga con amonestación escrita en vez de multa. Conviene usar ese año como colchón, no como excusa para no empezar.
¿Un banner de cookies es suficiente para cumplir?
No por sí solo. El banner tiene que bloquear efectivamente los scripts de tracking hasta el consentimiento, permitir rechazar con la misma facilidad que aceptar, y dejar registro de cada consentimiento. Un banner que solo avisa mientras el píxel ya disparó no cumple.
¿Qué pasa con mi base de datos de clientes actual?
Necesitas una base de licitud para cada contacto, consentimiento o una relación que lo justifique. Los contactos sin esa base, o de origen dudoso (comprados, scrapeados), son el mayor riesgo y conviene depurarlos antes de la fecha. Además, esas personas pueden ejercer su derecho a que borres sus datos.
¿Por dónde empiezo si no hemos hecho nada?
Por el inventario de datos y la auditoría de tracking: saber qué recolectas y con qué píxeles antes de tocar nada. A partir de ese mapa, el resto del checklist se prioriza solo. Si no tienes el equipo para hacerlo internamente, es exactamente el tipo de diagnóstico que conviene externalizar.
¿Tu marketing está listo para el 1 de diciembre?
En SOUL auditamos tu tracking, tu consentimiento y tus bases de datos, y dejamos el plan de cumplimiento priorizado, sin lenguaje legal, enfocado en lo que afecta tus campañas. Conversemos.
