Inicio›Ley 21.719›Pymes
Guía para negocios pequeñosLa pregunta que más nos hacen no es qué dice la ley, sino si aplica a un negocio pequeño. Aplica. La ley no tiene un umbral de tamaño, de facturación ni de cantidad de clientes: tiene un criterio, y es si tratas datos de personas.
La Ley N° 21.719 entra en plena vigencia el 1 de diciembre de 2026 y crea la Agencia de Protección de Datos Personales, que fiscaliza y sanciona. La fecha es la misma para una empresa de dos personas que para un banco.
Si guardas nombres, correos, teléfonos o RUT de alguien, tratas datos personales. Eso es todo lo que hace falta para quedar dentro.
Casi todos los negocios pequeños tratan datos personales sin haberlo pensado nunca en esos términos. La lista de contactos de WhatsApp del negocio. La planilla de clientes. El formulario de contacto del sitio. Las fichas de los trabajadores. Los correos de quienes se inscribieron a una promoción. La grabación de la cámara de la entrada.
La ley llama responsable de datos a quien decide para qué se usan esos datos. En una pyme ese es el dueño del negocio, no el contador, no la agencia que hizo el sitio y no la empresa donde está el hosting.
Que esto sea "para empresas grandes". Lo que escala con el tamaño es cuánto hay que describir y qué tan formal es el registro, no si hay que cumplir. Un negocio con un formulario de contacto tiene las mismas obligaciones de información que uno con diez mil clientes; la política de privacidad del primero es más corta, no inexistente.
De todas las obligaciones de la ley, estas cuatro no dependen del rubro ni del tamaño. Si tu negocio no las tiene, ahí está el trabajo.
Toda pyme le entrega datos de sus clientes a terceros: el sistema de facturación, la plataforma de correos masivos, el CRM, la agencia que maneja las redes, el software de reservas. Cada uno de ellos es un encargado de tratamiento, y la ley pide que esa relación esté por contrato.
No es papeleo por papeleo: sin ese contrato, si el proveedor filtra o usa mal los datos, quien responde ante la Agencia es el negocio que se los entregó.
En nuestras plataformas el anexo de tratamiento de datos se acepta al primer ingreso de quien puede obligar a la empresa, y la evidencia de quién aceptó y cuándo la escribe el servidor, no el navegador del cliente. Si el texto cambia, el anexo se vuelve a pedir.
Qué es el encargado de tratamiento y qué debe decir el contrato →
En este orden, porque cada paso hace posible el siguiente.
La política puede prometer que los datos se eliminan a los dos años, pero si nada en el sistema los elimina, la promesa incumplida es la infracción. Una política que declara más de lo que el sistema hace deja peor parado al negocio que una corta y exacta.
Sí. La ley no establece umbrales de tamaño, facturación ni cantidad de clientes: aplica a quien trate datos personales. Una empresa de dos personas con un formulario de contacto queda dentro. Lo que cambia con el tamaño es la extensión de lo que hay que documentar, no la obligación de cumplir.
Igual aplica. La ley regula el tratamiento de datos personales, no los sitios web. Una planilla de clientes, una lista de contactos de WhatsApp del negocio o las fichas del personal son tratamiento de datos. Lo que cambia es el canal por el que se publica la información al público: la ley admite el sitio web u otro medio equivalente.
La figura del delegado se exige a organizaciones con tratamientos de alto riesgo o de gran volumen. La mayoría de las pymes no está en ese caso y puede designar internamente a una persona responsable de recibir y responder las solicitudes. Lo que sí es obligatorio en todos los casos es que exista un canal de contacto publicado y alguien que efectivamente lo revise.
No. La política debe describir el tratamiento real de ese negocio: qué datos trata, con qué finalidad, con quién los comparte, dónde están alojados y cuánto tiempo los conserva. Una política copiada describe una empresa distinta, y declarar tratamientos que no se hacen —u omitir los que sí— incumple igual que no tener ninguna.
La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Desde esa fecha entra en funciones la Agencia de Protección de Datos Personales, con facultades de fiscalización y sanción.
Depende de en qué estado esté el punto de partida. El trabajo real no es redactar textos: es levantar dónde están los datos, corregir los formularios, ordenar los contratos con proveedores y dejar funcionando lo que la política promete, como los plazos de eliminación. La redacción es la parte rápida; la implementación es la que toma tiempo.
Implementamos esto en nuestras propias plataformas antes de recomendarlo. Revisamos tu sitio, te decimos qué falta y lo dejamos funcionando.
ConversemosDiprojects es una agencia de diseño y desarrollo. Escribimos y programamos lo que la ley exige que el sitio tenga; la interpretación legal de tu caso la ve un abogado.