Ley 21.719 en sitios web de turismo: qué cambia y qué hacer

Qué cambia con la Ley 21.719

La Ley 21.719 se publicó el 13 de diciembre de 2024 y modifica a fondo la Ley 19.628 sobre protección de la vida privada, vigente desde 1999 (Biblioteca del Congreso Nacional, Ley 19.628 modificada por la Ley 21.719 (texto oficial)). Para un negocio turístico, los cambios que más pesan son:

Esta guía explica la Ley 21.719 en sitios web de turismo, en simple: es la nueva ley de datos personales para turismo y para todas las empresas. Revisamos las multas de la Ley 21.719, qué hace la Agencia de Protección de Datos Personales y qué cambiar en el sitio: el aviso de cookies y la casilla de aceptación de los formularios.

• Una autoridad que fiscaliza: la Agencia de Protección de Datos Personales, que puede investigar y multar.
• Consentimiento más exigente: debe ser libre, informado, específico y previo, y manifestarse de forma inequívoca (artículo 12). Una casilla ya marcada o un aviso que carga Google y Meta antes de que la persona elija no sirven.
• Deber de información: quien trata datos debe mantener a disposición del público, en su sitio web, qué datos trata, para qué, con quién los comparte y cómo ejercer los derechos (artículo 14 ter). En la práctica, una política de privacidad publicada y fácil de encontrar.
• Derechos de las personas: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Hay que acusar recibo y responder dentro de 30 días corridos (artículo 11).
• Seguridad: hay que proteger los datos y avisar a la Agencia las vulneraciones de seguridad que pongan en riesgo los datos de las personas. Un sitio hackeado pasa a ser también un problema legal.

¿Desde cuándo rige? ¿Se va a postergar?

Según su artículo primero transitorio, la ley rige desde el 1 de diciembre de 2026. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (Boletín 18.623-07) que propone postergarla hasta el 1 de diciembre de 2027 (Carey Abogados, «Gobierno ingresa proyecto de ley que posterga en un año entrada en vigor de la Ley 21.719», 3-sep-2026). A la fecha de esta guía, ese proyecto no ha sido aprobado: mientras no se apruebe y se publique, la fecha vigente sigue siendo el 1 de diciembre de 2026.

Aunque se postergue, conviene avanzar: una política clara y un sitio al día dan confianza a los turistas desde hoy, y el trabajo es el mismo.

Qué datos personales maneja un negocio turístico

Más de los que parece. Un alojamiento o un tour pequeño suele tratar:

• nombre, correo, teléfono y fechas de los formularios de contacto y de reserva;
• RUT o pasaporte y nacionalidad de los huéspedes, para el registro y la facturación;
• conversaciones de WhatsApp y correos con datos de las personas que viajan, a veces de niños;
• datos que llegan desde Booking, Airbnb u otras plataformas;
• datos de navegación de los visitantes del sitio, si usa Google Analytics, el píxel de Meta u otras herramientas.

Cómo están los sitios turísticos del sur de Chile

En octubre de 2026 revisamos la portada de 1.939 sitios web turísticos de La Araucanía a Magallanes. Lo que se ve desde fuera:

• el 84 % no enlaza una política de privacidad;
• 739 sitios cargan herramientas de Google o Meta sin aviso de cookies;
• de 571 sitios con un formulario en la portada, 555 no piden aceptar la política;
• solo el 6 % cumple todo lo que se puede revisar desde fuera.

Los resultados completos, por región y por destino, están en el estudio de seguridad web del turismo en el sur de Chile.

Paso a paso

1. Haga la lista de lo que pide datos. Formulario de contacto o de reserva, motor de reservas, tienda, newsletter, chat y WhatsApp.
2. Revise qué herramientas carga su sitio. Google Analytics, Meta (Facebook e Instagram), mapas, chats y videos: muchas guardan cookies y datos de los visitantes.
3. Instale un aviso de cookies que funcione. Que no cargue herramientas de medición o publicidad antes de que la persona elija, y que permita rechazar con la misma facilidad que aceptar.
4. Ponga una casilla en cada formulario. Sin marcar, con un texto breve que diga para qué usará los datos y un enlace a la política.
5. Publique su política de privacidad. Con lo que su negocio hace de verdad, enlazada desde el pie de todas las páginas y desde los formularios.
6. Habilite un canal para los derechos. Un correo o formulario para que las personas pidan acceso, corrección o eliminación de sus datos, y alguien que responda en plazo.
7. Ponga el sitio al día. Actualice WordPress, los plugins y el tema, use HTTPS y agregue las cabeceras de seguridad: la ley también exige cuidar los datos.

Lo que no se resuelve en el sitio web

El sitio es la parte más visible, pero la ley alcanza todos los datos que su negocio guarda. Conviene revisar con un abogado:

• las planillas, el sistema de reservas, el correo y el WhatsApp con datos de huéspedes;
• los contratos con los proveedores que tratan datos por usted (hosting, motor de reservas, facturación);
• cuánto tiempo guarda los datos de los huéspedes y cuándo los borra;
• la revisión legal de su política de privacidad.

Esta guía es informativa y no reemplaza la asesoría legal. Si quiere ayuda con la parte web (aviso de cookies, formularios, política publicada y seguridad del sitio), conversemos. Para un primer diagnóstico, use el verificador gratis de la web turística.

Preguntas frecuentes

¿La Ley 21.719 se aplica a una cabaña o a un tour pequeño?

Sí, si trata datos personales, y casi todos lo hacen: una reserva, un formulario de contacto, una lista de clientes o Google Analytics bastan. La ley no exime a las empresas por su tamaño, aunque las multas consideran la gravedad de la infracción y la situación del infractor.

¿Desde cuándo rige la Ley 21.719?

Desde el 1 de diciembre de 2026, según su artículo primero transitorio. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto (Boletín 18.623-07) que propone moverla al 1 de diciembre de 2027. Mientras no se apruebe y publique, la fecha vigente es el 1 de diciembre de 2026.

¿Qué multas contempla?

La Agencia de Protección de Datos Personales puede aplicar multas de hasta 5.000 UTM por infracciones leves, 10.000 UTM por graves y 20.000 UTM por gravísimas.

¿Basta con copiar una política de privacidad de otro sitio?

No. La política debe describir lo que su negocio hace de verdad con los datos: qué pide, para qué, con quién los comparte y cuánto tiempo los guarda. Una copia que no calza con la realidad no cumple el deber de información.

¿Quiere ayuda para aplicarlo en su negocio? Conversemos o revise los precios de referencia.