Si tu negocio guarda el nombre, el teléfono y el historial de citas de cada cliente, tienes una base de datos personales. Para la ley no importa si está en un software de agenda, en un Excel o en el WhatsApp del local.
La Ley 21.719, publicada en diciembre de 2024, cambia las reglas para esas bases. Hoy su fecha de entrada en vigencia es el 1 de diciembre de 2026.
El Gobierno presentó un proyecto para moverla un año. Pero al 5 de octubre de 2026 ese proyecto no ha sido votado, y en el Senado hay quienes proponen solo seis meses. La respuesta corta es: planifica con el 1 de diciembre de 2026 y usa la prórroga, si llega, como margen.
¿Qué dice hoy la ley sobre la fecha y qué propone la prórroga?
La Ley 21.719 establece que entra en vigencia el primer día del mes 24 después de su publicación en el Diario Oficial. Como se publicó el 13 de diciembre de 2024, la fecha es el 1 de diciembre de 2026.
El 1 de septiembre de 2026 el Gobierno ingresó al Senado el Mensaje N°110-374 (Boletín 18.623-07), con suma urgencia. Propone cuatro cambios:
- Mover la vigencia al 1 de diciembre de 2027.
- Ampliar el consejo directivo de la Agencia de Protección de Datos Personales de tres a cinco miembros.
- Nombrar ese consejo 12 meses antes de la vigencia.
- Permitir que, durante el primer año, la Agencia pueda aplicar una amonestación escrita en vez de multa a cualquier empresa. Hoy esa opción está limitada a las empresas de menor tamaño.
La razón de fondo es la Agencia. El 20 de mayo de 2026 el Senado rechazó la terna de consejeros propuesta por el Gobierno, porque no alcanzó los dos tercios requeridos. Sin consejo, el organismo que debe fiscalizar la ley todavía no está constituido.
¿En qué va el proyecto?
Según el seguimiento de VotoVisible, el proyecto está en su primera etapa: comisiones del Senado, primer trámite constitucional. Todavía le faltan la votación en sala, el paso por la Cámara, la promulgación y la publicación.
Según Pauta, la Comisión de Constitución comenzaría a discutirlo la segunda semana de octubre. Su presidente, el senador Pedro Araya, considera excesivo un año y plantea que algunas normas partan antes. El senador Juan Luis Castro propuso un máximo de 180 días.
Escenario | Fecha en que rige la ley |
|---|---|
El proyecto no se publica en el Diario Oficial antes del 1 de diciembre de 2026 | 1 de diciembre de 2026 |
Se aprueba y publica tal como lo presentó el Gobierno | 1 de diciembre de 2027 |
El Senado acorta el plazo o lo hace gradual | Otra fecha, todavía no definida |
¿Por qué tu agenda de reservas es una base de datos personales?
Un dato personal es cualquier información que identifica o permite identificar a una persona. Nombre, RUT, teléfono, correo, fecha de nacimiento, historial de citas y notas sobre el cliente lo son.
El negocio que decide para qué se usan esos datos es el responsable. Esa es la figura a la que la ley le asigna las obligaciones. Da lo mismo si eres una clínica con diez profesionales o una barbería con un solo sillón.
La ley sí contempla diferencias por tamaño. El artículo 14 septies encarga a la Agencia fijar estándares mínimos distintos según el tipo de dato, el tamaño de la empresa, el sector y el volumen de datos. Pero esos estándares todavía no existen, y la diferencia es de intensidad, no de exención.
¿Qué cambia en concreto para un negocio con base de clientes?
Cada uso del dato necesita una base legal
La ley exige que todo tratamiento tenga una razón válida. La más conocida es el consentimiento, que según el artículo 12 debe ser libre, informado, específico en cuanto a su finalidad e inequívoco. El cliente puede retirarlo cuando quiera.
Pero el consentimiento no es la única. El artículo 13 permite tratar datos sin consentimiento cuando es necesario para ejecutar un contrato, cumplir una obligación legal o satisfacer un interés legítimo del responsable, entre otras bases.
En términos prácticos, esto obliga a separar los usos que hoy suelen mezclarse en la misma ficha:
Uso del dato | Base legal probable | Qué revisar |
|---|---|---|
Tomar la reserva y atender al cliente | Ejecución del contrato (art. 13) | Pedir solo los datos necesarios para la cita |
Recordatorio y confirmación de la cita | Ejecución del contrato | Que el mensaje se limite a la cita |
Boleta, factura u obligaciones tributarias | Obligación legal | Conservar solo lo que exige esa obligación |
Promociones, newsletters, campañas por WhatsApp | Consentimiento (o interés legítimo, con análisis) | Pedirlo aparte, no como casilla premarcada, y facilitar la baja |
Notas de salud: alergias, embarazo, medicamentos, tratamientos | Dato sensible: consentimiento expreso, salvo excepciones legales | Ver sección de datos de salud |
Esta tabla es una interpretación editorial. La Agencia todavía no ha emitido criterios sobre agendas de reservas.
Un punto que no admite interpretación: el artículo 8 da al cliente el derecho a oponerse al uso de sus datos para marketing directo. Si pide no recibir más promociones, hay que dejar de enviarlas, aunque antes haya aceptado.
Si segmentas tu base para campañas, como se explica en nuestra guía de segmentación de clientes, ese uso necesita su propia base legal.
El cliente tiene que saber qué haces con sus datos
El artículo 14 ter obliga a tener disponible, de forma permanente y accesible, información sobre el tratamiento. Entre otros puntos: quién es el responsable y cómo contactarlo, qué datos se tratan y para qué, a quién se comunican, cuánto tiempo se conservan, qué derechos tiene el cliente y cómo ejercerlos.
En la práctica, esto significa una política de privacidad real, enlazada donde el cliente entrega sus datos: el formulario de reserva, la ficha de ingreso o el mensaje de bienvenida.
Los clientes pueden pedir acceso, corrección, eliminación y más
La ley reconoce los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. La portabilidad (art. 9) permite al cliente pedir sus datos en un formato electrónico estructurado y de uso común.
El plazo es concreto. Según el artículo 11, el negocio debe acusar recibo y responder dentro de 30 días corridos desde que recibe la solicitud, con una sola prórroga posible de otros 30 días.
Un negocio que no sabe en qué sistemas tiene los datos de un cliente difícilmente puede cumplir ese plazo.
Tus proveedores también tratan los datos de tus clientes
Cuando un tercero trata datos por encargo tuyo, la ley lo llama encargado. El artículo 15 bis exige un contrato que fije el objeto, la duración, la finalidad, el tipo de datos, las categorías de titulares y las obligaciones de cada parte. El encargado no puede usar los datos para otros fines ni compartirlos sin autorización.
En un negocio de servicios, los encargados típicos son el software de agenda, la plataforma de correo o mensajería masiva, el sistema de pagos y el contador externo. Si usas una agenda online como Zagenda, ese proveedor trata los datos de tus clientes por cuenta tuya. Vale la pena revisar sus términos y su política de privacidad con estas preguntas en mente.
Seguridad y aviso de filtraciones
El artículo 14 quinquies exige medidas técnicas y organizativas proporcionales al riesgo. Para un negocio pequeño, el riesgo más común no es un ataque sofisticado: es una contraseña compartida por todo el equipo, una planilla de clientes reenviada por WhatsApp o un exempleado que sigue con acceso.
Si ocurre una vulneración que provoca destrucción, filtración, pérdida o alteración no autorizada de datos, el artículo 14 sexies obliga a reportarla a la Agencia sin dilaciones indebidas. Si afecta datos sensibles, datos de menores o datos financieros, también hay que avisar a los clientes afectados en lenguaje claro.
¿Qué pasa si guardas datos de salud?
Los datos de salud son datos sensibles. El artículo 16 exige, como regla general, el consentimiento expreso del titular para tratarlos. El artículo 16 bis regula en particular los datos de salud y establece excepciones, por ejemplo emergencias médicas o tratamientos que la ley ordena.
Esto importa a consultas, centros médicos, odontología, kinesiología o psicología, que además siguen sujetas a las normas sanitarias sobre ficha clínica.
Pero también alcanza a negocios que no se ven a sí mismos como de salud. Una ficha de estética que registra alergias, embarazo, medicamentos o condiciones de la piel guarda datos de salud. Lo mismo ocurre con un centro de entrenamiento que anota lesiones o un profesional de bienestar que registra condiciones físicas de sus clientes.
¿Cuánto arriesga un negocio que no cumple?
La ley clasifica las infracciones en tres niveles:
Tipo de infracción | Sanción |
|---|---|
Leve | Amonestación escrita o multa de hasta 5.000 UTM |
Grave | Multa de hasta 10.000 UTM |
Gravísima | Multa de hasta 20.000 UTM |
En caso de reincidencia, las empresas que no son de menor tamaño pueden enfrentar multas de hasta 2% o 4% de sus ingresos anuales, según la gravedad.
Para el primer año de vigencia, la ley hoy permite que la Agencia aplique una amonestación escrita en vez de multa solo a las empresas de menor tamaño. Si el proyecto se aprueba, esa opción se extendería a todas las empresas y seguiría siendo facultativa: la Agencia podría usarla o no. Como explica AlayIAtrust, no es una exención de cumplimiento.
Qué revisar antes del 1 de diciembre
Una lista para un negocio pequeño, de lo más urgente a lo menos:
- Haz un inventario. Dónde están los datos de clientes: software de agenda, Excel, WhatsApp, correo, carpetas físicas.
- Elimina copias sueltas. Planillas descargadas, listas reenviadas, chats con fichas.
- Separa los usos. Atender y recordar la cita por un lado; marketing por otro.
- Revisa cómo pides el consentimiento para promociones. Específico, aparte y sin casillas premarcadas.
- Publica una política de privacidad y enlázala donde el cliente entrega sus datos.
- Define quién responde las solicitudes de los clientes y cómo cumplir los 30 días corridos.
- Revisa contratos y términos de tus proveedores que tratan datos por ti.
- Ordena accesos. Usuarios individuales, contraseñas propias y baja inmediata cuando alguien deja el equipo.
- Identifica los datos de salud y confirma que tienes consentimiento expreso para guardarlos.
- Define cuánto tiempo guardas los datos de clientes que no vuelven.
Conclusión: qué hacer ahora
La fecha legal es el 1 de diciembre de 2026 hasta que un cambio se publique en el Diario Oficial. La prórroga puede llegar, puede ser más corta o puede no llegar a tiempo.
Lo que no va a cambiar es el contenido: una base legal para cada uso, información clara al cliente, respuesta en 30 días, proveedores con contrato, seguridad razonable y un cuidado especial con los datos de salud.
Si tu base de clientes está repartida entre planillas, chats y cuadernos, ordenarla es el primer paso, con o sin prórroga.
Referencias
AlayIAtrust. 2026. ¿Se postergó la Ley 21.719? Qué dice el proyecto de prórroga. Consultado el 5 de octubre de 2026 en https://alayiatrust.com/blog/prorroga-ley-21719
Diario Oficial de la República de Chile. 2024. Ley N°21.719. Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Consultado el 5 de octubre de 2026 en https://www.diariooficial.interior.gob.cl/publicaciones/2024/12/13/44023/01/2583630.pdf
Diario Oficial de la República de Chile. 2026. Decreto N°662 del Ministerio de Hacienda. Reglamento sobre modelos de prevención de infracciones de la Ley N°19.628. Consultado el 5 de octubre de 2026 en https://www.diariooficial.interior.gob.cl/publicaciones/2026/09/09/44546/01/2865940.pdf
Gobierno de Chile. 2026. Mensaje N°110-374. Proyecto de ley que modifica la Ley N°21.719 (Boletín N°18.623-07). Consultado el 5 de octubre de 2026 en https://www.camara.cl/verDoc.aspx?prmID=18854&prmTIPO=INICIATIVA
Pauta. 2026. Ley de datos personales: senadores proponen prórroga de seis meses frente al año que pide el Gobierno. Consultado el 5 de octubre de 2026 en https://www.pauta.cl/actualidad/2026/10/02/ley-de-datos-personales-senadores-proponen-prorroga-de-seis-meses-frente-al-ano-que-pide-el-gobierno.html
Senado de Chile. 2026. Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales. Consultado el 5 de octubre de 2026 en https://www.senado.cl/comunicaciones/noticias/desestiman-propuesta-de-consejeros-para-la-agencia-de-proteccion-de-datos
VotoVisible. 2026. Boletín 18623-07: Modifica la ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Consultado el 5 de octubre de 2026 en https://www.votovisible.cl/proyectos/18623-07
