Ley 21.719 en Chile: guía práctica para inmobiliarias y loteos (vigente diciembre 2026)

La Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, moderniza el régimen de protección de datos personales en Chile y entra en plena vigencia el 1 de diciembre de 2026. Alinea al país con estándares como el GDPR europeo y, por primera vez, expone a las empresas chilenas a sanciones económicas reales por el mal manejo de datos.

Para una inmobiliaria o desarrollador de loteos, esto no es un asunto exclusivamente legal. Es un cambio operativo: cada formulario de contacto, cada conversación de WhatsApp, cada base de datos de prospectos cargada desde una feria pasa a estar regulada.

En esta guía resumimos qué cambia, qué riesgos concretos existen, los 6 ajustes mínimos que toda inmobiliaria chilena debería tener listos antes de fin de año y los 12 controles técnicos que ya vienen implementados si opera sobre InmoVisual360.

Actualización julio 2026: ampliamos esta guía con el detalle del Panel ARSOPB con cronómetro de SLA de 30 días, el bloqueo automático por falta de DPO, el registro público de subencargados y el DPA firmable que ya operan en la plataforma.

¿Qué es la Ley 21.719?

Reemplaza el marco anterior (Ley 19.628 de 1999), que estaba completamente desactualizado frente a la realidad digital. Los puntos centrales son cuatro:

1. Consentimiento expreso, informado y específico para tratar datos personales.
2. Derechos reforzados del titular (los llamados derechos ARSOPB: Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo).
3. Creación de la Agencia de Protección de Datos Personales, con facultades sancionatorias.
4. Multas significativas por incumplimiento, escalonadas según gravedad.

Fechas clave

No es una propuesta ni un proyecto: la ley ya existe. Lo que corre es el plazo para adaptarse.

Sanciones: cuánto puede costar incumplir

Las infracciones se clasifican en tres niveles:

• Leves: hasta 5.000 UTM (~$340 millones CLP a junio 2026).
• Graves: hasta 10.000 UTM (~$680 millones CLP).
• Gravísimas: hasta 20.000 UTM (~$1.360 millones CLP) o hasta el 4% de los ingresos anuales del responsable, el monto que sea mayor.

Una inmobiliaria mediana que vende un par de proyectos al año por miles de millones de pesos puede exponerse, en el peor escenario, a una sanción equivalente a un proyecto completo. Y eso sin contar el daño reputacional ni demandas civiles paralelas.

Qué cambia específicamente para inmobiliarias

La Ley 21.719 no menciona al rubro inmobiliario por nombre, pero impacta directamente la forma de operar de cualquier oficina de proyectos. Estos son los 6 cambios prácticos que más se notan:

1. El consentimiento ya no es implícito

El clásico "al enviar este formulario aceptas nuestra política de privacidad" en letra chica deja de ser válido. La ley exige que el consentimiento sea:

• Expreso: una acción afirmativa (marcar un checkbox no premarcado, por ejemplo).
• Informado: el usuario debe entender qué datos entrega, para qué se usarán y por cuánto tiempo se guardarán.
• Específico: un consentimiento para "marketing" no cubre "compartir con un banco para evaluar crédito".
• Revocable: el usuario puede retirarlo en cualquier momento y con la misma facilidad con que lo otorgó.

Esto significa que todos los formularios web deben rediseñarse: el de "cotizar lote", el del chatbot, el de descarga del brochure, el de inscripción a la feria.

2. Hay que llevar registro versionado del consentimiento

No basta con pedirlo: hay que poder demostrar, ante una fiscalización, qué texto exacto leyó el cliente y cuándo lo aceptó. Si el texto del consentimiento cambia, las aceptaciones antiguas siguen vinculadas a la versión anterior.

Esto se traduce, en la práctica, en guardar consent_accepted=true junto con consent_text_version (por ejemplo v2-2026-06, la versión vigente en InmoVisual360, que ya incluye la memoria contextual del asistente del tour 360°) en cada lead.

3. Los derechos ARSOPB tienen plazos cortos

Cuando un titular pide acceso a sus datos, su rectificación o su eliminación, la inmobiliaria tiene plazos legales acotados (la ley establece un máximo de 30 días, pero la práctica recomendada en el rubro es responder en 15) para procesar la solicitud.

No tener un canal claro (un correo único, un formulario público) ni un proceso interno para responder es una infracción en sí misma. Cubrimos esto en detalle en Derechos ARSOPB: cómo responder en plazo y, si además busca automatizar el cronómetro de 30 días, revise Panel ARSOPB con cronómetro de SLA: cómo evitar multas de la APDP.

4. Existe una obligación de minimización y retención

No se pueden guardar datos "por si acaso". La ley exige guardar solo lo necesario para el fin declarado, y eliminar los datos cuando ese fin se cumple. Una inmobiliaria que mantiene en su CRM leads inactivos de hace 4 años, sin contacto ni intención de compra, está incumpliendo.

La solución operativa es un cron de retención: datos de leads no convertidos se eliminan automáticamente después de un período definido (habitualmente 24 meses).

5. Hay que notificar incidentes en 72 horas

Si ocurre una filtración —un correo enviado al destinatario equivocado con un Excel de prospectos, un ataque a la base de datos, un colaborador que se lleva información— la empresa debe notificar a la Agencia y a los titulares afectados en un plazo de 72 horas desde que toma conocimiento del incidente.

No tener una bitácora de incidentes ni un protocolo de notificación es un agravante claro cuando llega la fiscalización.

6. Si se usa inteligencia artificial, hay obligación de revisión humana

Si una inmobiliaria usa IA para puntuar leads, calificar prospectos o priorizar contactos, la ley exige:

• Informar al titular que se aplica un tratamiento automatizado.
• Garantizar el derecho a una revisión humana de la decisión.
• Documentar el modelo y las reglas que aplican.

Esto afecta directamente a equipos comerciales que usan scoring automático de leads —y también a los asistentes conversacionales dentro de un tour 360°, cuando guardan memoria contextual de la sesión.

Los 12 controles técnicos que ya trae InmoVisual360

Estos son los mecanismos que operan de forma automática sobre cada inmobiliaria que usa la plataforma. Los listamos para que sirvan de referencia comparativa incluso a quien evalúa otras soluciones:

1. Consentimiento versionado por lead. Se guarda la versión exacta (v2-2026-06) que aceptó cada titular, con fecha y hora.
2. Enmascaramiento de PII en pantalla. El RUT se muestra siempre como 12.***.***-9; el dato completo vive solo en base de datos y nunca aparece en pantalla ni en el contexto del modelo de IA.
3. Enmascaramiento de PII en logs de auditoría. Un trigger a nivel de base de datos redacta emails, teléfonos y RUTs antes de escribir al log; reforzado con una regla de linter que bloquea console.log en servidor.
4. Panel ARSOPB con cronómetro de SLA de 30 días. Tablero central en /app/privacidad que muestra cada solicitud con criticidad visual según los días restantes.
5. Retención automática por tenant. Cada inmobiliaria configura el plazo (por defecto 24 meses); un cron elimina los leads no convertidos que superan el umbral.
6. Bitácora de incidentes con recordatorio de 72 horas. Los incidentes registrados generan alertas al DPO y al owner, con seguimiento hasta que se marca la notificación a la Agencia.
7. DPO obligatorio por inmobiliaria. Si el dpo_email no está cargado, se activa una gracia de 30 días; superado el plazo, los tours públicos se bloquean automáticamente.
8. Registro público de subencargados. Cada inmobiliaria puede publicar en su página /privacidad la lista de terceros que tratan datos por su cuenta (con país, base legal y finalidad).
9. DPA firmable con versión inmutable. El contrato de encargado de tratamiento entre la inmobiliaria y sus terceros queda archivado con document_version_id que no se puede reescribir.
10. Aislamiento multi-tenant en las IAs. El asistente del tour (Vivi) y el copiloto interno (Tsuki) validan session_id y tenant_id en cada llamada; suite de 18 vectores de pen-test confirma que no cruzan información entre inmobiliarias.
11. MFA para roles críticos. TOTP obligatorio para super_admin; Email OTP para owners de inmobiliaria.
12. Controles duros sobre exportaciones de leads. Cuota mensual de 5 exports por tenant, rate-limit de 2 por hora, signed URL de 5 minutos, bloqueo fuera de horario laboral configurable, alerta automática al owner en cada export masivo y bitácora obligatoria con justificación.

Checklist mínimo para cumplir (aunque no use InmoVisual360)

• Formularios web con checkbox de consentimiento no premarcado y texto claro.
• Registro de la versión exacta del consentimiento aceptado por cada lead.
• Página pública /privacidad con la política vigente.
• Canal habilitado para solicitudes ARSOPB (correo o formulario dedicado).
• Política de retención automática de datos.
• Bitácora de incidentes con protocolo de notificación en 72 horas.
• Inventario de tratamientos automatizados (scoring, IA) con revisión humana habilitada.
• DPO designado por la inmobiliaria (nombre y email de contacto). La ley 21.719 lo exige y en la práctica ninguna inmobiliaria mediana o grande puede operar sin uno.
• Registro de subencargados (cada proveedor externo que trata datos por cuenta de la inmobiliaria: CRM, WhatsApp Business, email marketing, hosting, IA).
• DPA firmado con cada subencargado, archivado con versión inmutable.

La oportunidad detrás de la obligación

Mientras la mayoría del rubro inmobiliario chileno todavía no se entera, las empresas que se adelanten van a tener dos ventajas concretas:

1. Posicionamiento como operadores serios. Los compradores —especialmente en proyectos de mayor ticket— valoran que sus datos se traten con responsabilidad.
2. Cero exposición a sanciones desde el día uno de vigencia.

La transición tiene costo (consultorías, ajustes técnicos, capacitación), pero hacerlo ahora siempre es más barato que reaccionar a una multa.

---

En InmoVisual360 venimos operando bajo este estándar desde el diseño: consentimiento versionado, panel ARSOPB con cronómetro de SLA, retención automática configurable por inmobiliaria, bitácora de incidentes, revisión humana de scoring IA, registro público de subencargados, DPA firmable y bloqueo automático si la inmobiliaria no designa DPO. Si quiere ver cómo se ve en producción, conversemos por WhatsApp.