Ley 21.719 de protección de datos: lo que su restaurante debe hacer antes del 1 de diciembre de 2026

Quedan semanas. El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, la nueva ley de protección de datos personales de Chile, y con ella nace una autoridad con facultades reales para fiscalizar y multar. Si su restaurante toma reservas, usted ya administra datos personales: el cuaderno con nombres y celulares, el historial de WhatsApp, la planilla de clientes frecuentes, el portal de Wi-Fi, las cámaras del local. Todo eso queda bajo la nueva ley.

Hasta ahora el tema se podía ignorar sin consecuencias: la Ley 19.628, vigente desde 1999, no creó ninguna autoridad fiscalizadora ni multas disuasivas, y en la práctica fue letra muerta para el rubro gastronómico. Eso es exactamente lo que cambia en diciembre.

La buena noticia: para un restaurante, cumplir es más una cuestión de orden que de abogados. Esta guía explica qué cambia, por qué le aplica aunque su local sea chico, cuánto arriesga en multas y qué hacer, punto por punto, antes de que llegue diciembre.

¿Qué cambia el 1 de diciembre de 2026?

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y fijó su entrada en vigencia para el primer día del mes 24 siguiente: el 1 de diciembre de 2026. Hasta el 30 de noviembre sigue rigiendo la antigua Ley 19.628. A la fecha de este artículo (octubre de 2026) la entrada en vigencia no se ha postergado, aunque una eventual prórroga se ha discutido públicamente por las dificultades de implementación: si maneja fechas límite internas, verifique el estado de la ley antes de diciembre.

Los tres cambios de fondo:

• Nace la Agencia de Protección de Datos Personales, un organismo con facultades de fiscalización, investigación y sanción. Con la ley antigua no existía ninguna autoridad especializada; reclamar era ir a tribunales, y casi nadie lo hacía.
• Llegan multas serias, expresadas en UTM y escalonadas por gravedad (los montos, más abajo).
• Se modernizan las reglas del juego: bases de licitud explícitas, deberes de información y seguridad, derechos reforzados para los titulares y notificación obligatoria de las brechas de seguridad. El diseño está inspirado en el modelo europeo, pero lo que rige en Chile es la ley chilena y su propia autoridad, no normas extranjeras.

Un punto que genera confusión: la ley no exime a las empresas pequeñas. Contempla un tratamiento diferenciado para las empresas de menor tamaño a la hora de aplicar sanciones, pero las obligaciones de fondo son para todos, del carrito de sushi a la cadena con veinte locales.

¿Por qué esto aplica a su restaurante?

Porque "dato personal" es cualquier información que identifique o permita identificar a una persona, y un restaurante que toma reservas acumula muchísimos. En un local típico:

• El libro de reservas, de papel o digital: nombres, celulares, fecha, número de comensales, a veces alergias u ocasiones especiales.
• Los chats de WhatsApp donde los clientes piden mesa, y con mayor razón las listas de difusión de promociones.
• La planilla o el CRM de clientes frecuentes, cumpleaños y correos.
• El portal de Wi-Fi que pide un correo o un RUT a cambio de la clave.
• Las cámaras de seguridad: la imagen de una persona también es un dato personal.
• Los currículums de garzones y cocineros que llegan por correo: sus trabajadores y postulantes también son titulares de datos.

Quien decide para qué se usan esos datos es el "responsable de datos": usted. Da lo mismo si la herramienta es un cuaderno, una planilla en el computador o un sistema de reservas gratuito y sin comisiones: la responsabilidad legal es la misma. Lo que cambia, y mucho, es lo fácil o difícil que resulta cumplirla con una herramienta ordenada.

Las multas: de letra muerta a cifras en UTM

La nueva ley clasifica las infracciones en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM respectivamente, según el régimen sancionatorio de la Ley 21.719. Con la UTM de octubre de 2026 ($72.151), esos topes equivalen aproximadamente a $361 millones, $722 millones y $1.443 millones de pesos. Son máximos, no tarifas planas: la Agencia gradúa según la gravedad, la conducta y el tamaño del infractor.

En caso de reincidencia, la ley permite elevar la multa hasta el triple, y para las empresas que no son de menor tamaño, llegar al 2 % de los ingresos anuales en infracciones graves y al 4 % en gravísimas. Para un restaurante independiente ese escenario extremo es improbable; lo relevante es el cambio de régimen: por primera vez existe alguien que fiscaliza y un reclamo de cliente tiene adónde llegar.

El detonante típico no será una inspección sorpresa. Será un comensal molesto porque sigue recibiendo promociones que nunca autorizó, o porque pidió que lo borraran de una lista y nadie le respondió.

La reserva sí, el marketing solo con permiso

La ley exige una base de licitud para cada tratamiento de datos. Para un restaurante, las dos que importan:

Gestionar la reserva es ejecutar un contrato. Tomar el nombre y el celular de un cliente para confirmarle la mesa, recordarle la hora o avisarle un cambio no necesita un permiso adicional: es la ejecución de lo que el propio cliente pidió. Ningún restaurante necesita hacer firmar un formulario para anotar una reserva.

Reutilizar esos datos para marketing es otra finalidad, y necesita su propio consentimiento. El celular entregado para reservar una mesa no es una autorización para la lista de difusión de los martes de promociones. El consentimiento debe ser libre, informado, específico e inequívoco: una casilla propia en el formulario web, una pregunta explícita en el chat. Es el error más común del rubro, y el más fácil de corregir: pida las dos cosas por separado, y quien diga que no a las promociones conserva su mesa igual. Quien dice que sí vale oro: es la base legítima de su canal de WhatsApp para reservas y de sus campañas de email marketing.

Los deberes del día a día

Informar

El titular tiene derecho a saber quién trata sus datos, para qué y cómo ejercer sus derechos. En la práctica: una política de privacidad corta y legible en su sitio web, un enlace en el formulario de reservas, una frase estándar en WhatsApp y un aviso visible si tiene cámaras.

Responder a los derechos de los titulares

La ley refuerza los derechos de acceso, rectificación, supresión y oposición, y suma derechos nuevos, como la portabilidad de los datos. Para un restaurante significa algo muy concreto: tener un canal (un correo basta) donde un cliente pueda preguntar qué datos tiene usted, pedir que los corrija o que los borre, y responderle dentro de plazo. Si alguien pide salir de la lista de promociones, sale el mismo día.

Proteger

Medidas de seguridad razonables para el tamaño del negocio: el cuaderno no se queda abierto en la caja, la planilla tiene clave y no circula por el grupo de WhatsApp del personal, cada usuario del software tiene su propia cuenta, y los accesos de quien deja el equipo se eliminan ese mismo día.

Avisar si algo sale mal

La nueva ley obliga a notificar a la Agencia las vulneraciones de seguridad que afecten datos personales, y los especialistas advierten que omitir el aviso constituye en sí una infracción grave. Si le roban el computador con la base de clientes o le hackean el correo, el silencio ya no es una opción: tenga claro desde antes quién avisa y cómo.

Lista de verificación antes de diciembre

1. Haga el inventario. Anote dónde viven hoy los datos de sus clientes: cuaderno, celulares del personal, planillas, portal de Wi-Fi, cámaras, software de reservas. Lo que no está en el mapa no se puede proteger.
2. Centralice. Elija un solo lugar para los datos de reservas y clientes, y elimine las copias sueltas en celulares personales.
3. Publique una política de privacidad de una o dos páginas: quién es usted, qué datos recolecta, para qué, qué derechos tiene el titular y a qué correo escribir para ejercerlos.
4. Separe las finalidades. Revise su formulario web y sus mensajes tipo: una mención para la gestión de la reserva, una casilla o pregunta aparte, opcional, para las promociones.
5. Depure la lista de marketing. Los contactos que entraron a la lista "porque alguna vez reservaron", sin autorización expresa, son el principal riesgo heredado: pida la confirmación antes de diciembre o sáquelos.
6. Asigne el canal de derechos. Un correo dedicado, alguien responsable de revisarlo y la regla de oro: toda solicitud de borrado se ejecuta de inmediato y queda constancia.
7. Prepare el plan de incidentes. Una página: qué se considera brecha, quién notifica a la Agencia, quién avisa a los clientes afectados.
8. Capacite al equipo en diez minutos. Tres reglas para garzones y anfitriones: los datos de clientes no se comparten, no se usan para fines propios y cualquier reclamo sobre datos se deriva al responsable.

Un sistema de reservas ordenado es media ley cumplida

Gran parte del riesgo de un restaurante no viene de mala fe, sino de la dispersión: datos regados entre cuadernos, celulares y planillas, sin registro de quién autorizó qué. Centralizar las reservas en un software serio resuelve de pasada varios deberes: los datos quedan en un solo lugar con accesos controlados, el consentimiento de marketing se captura y queda registrado en el momento de la reserva, y borrar o exportar los datos de un cliente toma segundos en vez de una tarde revisando chats.

ViteUneTable hace exactamente eso: base de datos de clientes centralizada y 100 % suya, exportable en todo momento, con casillas de consentimiento separadas para la reserva y para el marketing, desde la versión gratuita ilimitada, con 0 % de comisión y sin permanencia. Los packs de pago agregan los recordatorios automáticos por email y el botón de reservar en Google: el Pack Estándar cuesta 29 € al mes IVA no incluido (unos $32.000 CLP al cambio de octubre de 2026). Seamos honestos con los límites: la facturación es en euros, los recordatorios de hoy son por email y no por SMS, y ningún software, el nuestro incluido, garantiza por sí solo el cumplimiento legal: la política de privacidad y los hábitos del equipo siguen siendo suyos. El panorama completo de herramientas disponibles en el país está en nuestra guía del sistema de reservas para restaurantes en Chile.

Preguntas frecuentes

¿Cuándo entra en vigencia la Ley 21.719?

El 1 de diciembre de 2026. Se publicó en el Diario Oficial el 13 de diciembre de 2024 con una vacancia de 24 meses. Hasta el 30 de noviembre de 2026 rige la antigua Ley 19.628. A octubre de 2026 la fecha no se ha postergado, aunque una prórroga se ha discutido públicamente: conviene verificar el estado de la ley cerca de la fecha.

¿La ley aplica a un restaurante chico o familiar?

Sí. No existe exención por tamaño: las obligaciones aplican a cualquier negocio que trate datos personales, incluido un cuaderno de reservas de papel. Lo que la ley sí contempla es un tratamiento diferenciado para las empresas de menor tamaño al momento de aplicar sanciones.

¿Cuáles son las multas de la nueva ley de protección de datos?

Hasta 5.000 UTM las infracciones leves, hasta 10.000 UTM las graves y hasta 20.000 UTM las gravísimas (con la UTM de octubre de 2026, aproximadamente $361, $722 y $1.443 millones de pesos como topes). En reincidencia la multa puede triplicarse y, para empresas que no son de menor tamaño, llegar al 2 % o 4 % de los ingresos anuales.

¿Necesito que el cliente firme algo para tomarle una reserva?

No. Gestionar la reserva (confirmarla, recordarla, avisar cambios) es ejecutar lo que el propio cliente pidió y no requiere un consentimiento adicional. Lo que sí requiere consentimiento expreso y separado es usar esos mismos datos para enviarle promociones.

¿Puedo seguir usando WhatsApp para tomar reservas?

Sí, la ley no prohíbe ningún canal. Pero los chats de WhatsApp contienen datos personales: evite que vivan solo en celulares personales del equipo, pase los datos a un registro centralizado y pida un consentimiento aparte antes de sumar a alguien a una lista de difusión.