Política de privacidad para Pymes en Chile: qué debe contener con la Ley 21.719
Última actualización: 27 de octubre de 2026
Si tu Pyme tiene un formulario de contacto, una tienda online, una base de clientes, recibe currículums o guarda información de trabajadores, probablemente ya está tratando datos personales.
La Ley N.º 21.719 introduce nuevas obligaciones sobre la forma en que las empresas recopilan, utilizan, almacenan y protegen esa información. Actualmente, su entrada en vigencia está fijada para el 1 de diciembre de 2026.
Sin embargo, existe un proyecto de ley que propone postergar esa fecha hasta el 1 de diciembre de 2027. Al 27 de octubre de 2026, la iniciativa continúa su tramitación legislativa: la Comisión de Hacienda del Senado la aprobó en particular y la despachó a Sala. Mientras la modificación no sea aprobada y publicada como ley, la fecha vigente sigue siendo el 1 de diciembre de 2026.
Independiente de lo que ocurra con esa postergación, las Pymes pueden empezar desde ahora a revisar cómo están tratando los datos personales.
En este artículo te explicamos qué información debe entregar una Pyme sobre el tratamiento de datos personales, qué debería considerar en su política de privacidad y qué conviene revisar antes de publicarla.
1) ¿Qué es una política de privacidad?
Una política de privacidad permite explicar cómo una empresa trata los datos personales que tiene bajo su responsabilidad.
Entre otras cosas, debería permitir entender:
qué datos recopila
para qué los utiliza
cuál es la base que permite tratarlos
con quién puede comunicarlos o cederlos
cuánto tiempo los conserva
qué derechos tienen las personas
cómo pueden ejercer esos derechos
La Ley 21.719 establece un deber de información y transparencia: el responsable debe mantener determinada información permanentemente disponible al público en su sitio web o en otro medio equivalente.
No necesariamente todos esos antecedentes deben concentrarse en un único documento llamado “política de privacidad”, pero para una Pyme puede ser práctico reunirlos ahí y complementarlos cuando corresponda.
Por eso, no es un tema exclusivo de grandes empresas o plataformas digitales. Una Pyme que maneja datos de clientes, trabajadores, postulantes u otras personas también debe revisar cómo le aplica la normativa.
2) ¿Qué información debe estar disponible?
El artículo 14 ter de la Ley 19.628, en su versión modificada por la Ley 21.719, establece el deber de información y transparencia y detalla los antecedentes que el responsable debe mantener disponibles.
Para una Pyme, los principales se pueden ordenar así:
Información | Qué debería explicar |
|---|---|
Responsable | Qué empresa trata los datos y quién es su representante legal |
Contacto | Dónde puede escribir una persona para ejercer sus derechos |
Datos tratados | Qué categorías o tipos de información utiliza la empresa |
Titulares | De quiénes son los datos: clientes, trabajadores, postulantes, etc. |
Finalidades | Para qué se utiliza la información |
Base de legitimidad | Qué fundamento permite realizar cada tratamiento |
Destinatarios | A quiénes se prevé comunicar o ceder los datos |
Conservación | Durante cuánto tiempo se mantendrá la información |
Derechos | Cómo ejercer los derechos que reconoce la ley |
Seguridad | Qué política y medidas existen para proteger los datos |
Transferencias internacionales | Si existen y bajo qué condiciones |
Versión | Fecha y versión de la política |
Dependiendo del caso, también puede ser necesario informar el origen de los datos, la posibilidad de retirar el consentimiento, los intereses legítimos invocados o la existencia de decisiones automatizadas.
Lo importante es que la información publicada coincida con lo que realmente ocurre dentro de la empresa.
3) ¿Qué datos recopilas y para qué los utilizas?
No todas las Pymes manejan la misma información.
Algunos datos habituales son:
nombre y RUT
correo electrónico y teléfono
domicilio
información de compras
antecedentes contractuales
datos de trabajadores
currículums de postulantes
Antes de redactar una política conviene identificar qué datos recopila realmente la empresa y para qué los utiliza.
Por ejemplo, pueden ser necesarios para responder una consulta, preparar una cotización, procesar una compra, realizar un despacho, ejecutar un contrato, gestionar una postulación laboral o cumplir una obligación legal.
La nueva regulación exige que los datos sean recopilados para fines específicos, explícitos y lícitos.
En términos simples: tener un dato no significa poder utilizarlo para cualquier cosa.
4) ¿La política de privacidad reemplaza el consentimiento?
No.
La política de privacidad y el consentimiento cumplen funciones distintas.
La política informa cómo la empresa trata los datos. El consentimiento, en cambio, es una de las bases que pueden permitir ese tratamiento.
Pero no todos los tratamientos requieren consentimiento. La Ley 21.719 contempla otras fuentes de licitud, por ejemplo, cuando el tratamiento es necesario para:
cumplir una obligación legal
celebrar o ejecutar un contrato
adoptar medidas precontractuales solicitadas por la persona
satisfacer determinados intereses legítimos, siempre que no se afecten los derechos y libertades del titular
formular, ejercer o defender un derecho ante tribunales u órganos públicos
Por eso, una política bien preparada no debería afirmar simplemente que “todos los datos son tratados con consentimiento”.
💡 Importante: tener una política de privacidad no significa que la empresa ya cumple toda la Ley 21.719. También debe revisar cómo recopila, utiliza, protege, conserva y elimina los datos.
5) ¿Cuánto tiempo puedes guardar los datos?
No existe un mismo plazo para toda la información.
La ley establece que los datos personales pueden conservarse solo durante el tiempo necesario para cumplir la finalidad para la que fueron tratados. Después deben suprimirse o anonimizarse, salvo las excepciones establecidas por la ley.
Mantenerlos por un período mayor requiere autorización legal o consentimiento del titular.
Por eso, no necesariamente tendrán el mismo período de conservación:
un currículum recibido para una postulación
una consulta enviada mediante un formulario
antecedentes relacionados con un contrato
documentación que la empresa debe conservar por una obligación legal
La información disponible para las personas debe indicar durante cuánto tiempo se conservarán los datos o, cuando corresponda, el criterio utilizado para determinar ese período.
Guardar información indefinidamente solo “por si sirve después” no debería ser la regla.
6) ¿Qué derechos deben informarse?
La nueva normativa reconoce distintos derechos sobre los datos personales.
Entre ellos están:
Acceso: conocer qué datos tiene la empresa y cómo los trata.
Rectificación: corregir información inexacta, desactualizada o incompleta.
Supresión: solicitar la eliminación de los datos cuando corresponda.
Oposición: oponerse a determinados tratamientos en los casos establecidos por la ley.
Portabilidad: solicitar y transferir determinados datos cuando se cumplen los requisitos legales.
Bloqueo: solicitar temporalmente la suspensión de determinadas operaciones de tratamiento en los casos previstos por la ley.
La empresa también debe disponer de un medio de contacto claro y de fácil acceso para que las personas puedan ejercer estos derechos.
Puede ser, por ejemplo, un correo electrónico, un formulario u otro canal habilitado específicamente para recibir solicitudes.
7) Errores comunes al preparar una política de privacidad
Copiar la política de otra empresa
Puede incluir datos, proveedores o tratamientos que tu Pyme no utiliza y dejar fuera los que sí existen.
Decir que todo se basa en consentimiento
El consentimiento es una base posible, pero no la única.
Usar finalidades demasiado generales
Frases como “utilizamos tus datos para mejorar nuestros servicios” pueden no explicar realmente para qué se utiliza la información.
No definir cuánto tiempo se conservarán los datos
La empresa debería tener un criterio para determinar durante cuánto tiempo necesita mantener cada tipo de información.
No tener un canal para ejercer derechos
No basta con enumerar los derechos si después una persona no sabe dónde solicitar acceso, rectificación, supresión u otra medida.
Publicar la política y olvidarse de ella
La información debe mantenerse actualizada. Además, la Ley 21.719 exige informar la fecha y versión de la política de tratamiento.
Si cambia la forma en que la empresa recopila o utiliza los datos, también debería revisar lo que está informando al público.
8) Checklist antes de publicar tu política de privacidad
Antes de darla por terminada, revisa:
¿Sé qué datos personales recopilo?
¿Tengo claro para qué utilizo cada uno?
¿Conozco la base que permite cada tratamiento?
¿Sé de dónde provienen los datos?
¿Tengo identificados terceros o destinatarios relevantes?
¿Sé cuánto tiempo conservaré la información?
¿Existe un canal para ejercer derechos?
¿La política coincide con lo que realmente hace la empresa?
¿Tengo medidas para proteger los datos?
Si alguna respuesta es “no”, probablemente ese sea uno de los puntos que conviene ordenar antes de publicar.
Preguntas frecuentes
¿Todas las Pymes necesitan la misma política de privacidad?
No. La información debe adaptarse a los datos y tratamientos que realiza cada empresa.
Una tienda online, por ejemplo, puede tratar datos para procesar pagos y despachos, mientras que una empresa de servicios puede manejar principalmente datos de contacto, contratos y trabajadores.
¿La política de privacidad reemplaza el consentimiento?
No. La política informa cómo se tratan los datos. El consentimiento es solo una de las bases que pueden permitir determinados tratamientos.
¿La Ley 21.719 se postergó hasta 2027?
Todavía no.
Al 27 de octubre de 2026, la fecha legal vigente continúa siendo el 1 de diciembre de 2026.
Existe un proyecto de ley que busca postergarla hasta el 1 de diciembre de 2027. Ese proyecto continúa su tramitación legislativa y fue despachado por la Comisión de Hacienda a la Sala del Senado.
Mientras la modificación no sea aprobada y publicada como ley, las empresas deberían seguir considerando diciembre de 2026 como la fecha vigente.
En resumen
Una política de privacidad no debería ser un documento genérico que se publica solamente para cumplir.
La información que entrega tu empresa debería permitir entender qué datos utiliza, para qué los necesita, cuál es la base para tratarlos, cuánto tiempo los conserva, con quién puede compartirlos y cómo pueden las personas ejercer sus derechos.
Aunque actualmente se discute una posible postergación de la Ley 21.719, para una Pyme sigue siendo conveniente empezar a prepararse: revisar los datos que ya maneja, ordenar sus procesos y asegurarse de que lo informado al público coincida con lo que realmente ocurre dentro de la empresa.
Si ya tienes claro cómo tu empresa trata los datos personales, puedes preparar tu documento con el Generador de Política de Privacidad de Lexly.
Si no tienes claro cómo aplicar estas obligaciones a la realidad de tu empresa, puedes hablar con el abogado de Lexly para revisar tu caso.