¿Quién es responsable de los datos, la empresa o el desarrollador? Los 6 fantasmas que siguen a tu nombre

En octubre se habla mucho de fantasmas. Los que importan en un negocio no hacen ruido: un formulario de una campaña de hace dos años que sigue recibiendo datos, un plugin que nadie actualiza, un ex colaborador que todavía entra al panel del hosting. Nadie los ve, pero siguen ahí, trabajando a tu nombre.

La mayoría de los dueños de negocio tiene una respuesta tranquila para esto: "eso lo vio el que me hizo la web". Es una respuesta razonable. Contrataste a alguien que sabe, le pagaste, y das por hecho que lo técnico es problema técnico. El punto es que, para la Ley 21.719, la pregunta de quién responde por los datos no la decide quién escribió el código.

¿Quién es responsable de los datos: tu empresa o quien te hizo la web?

Tu empresa. La ley distingue dos roles. El responsable es quien decide para qué se usan los datos y con qué medios: qué se pregunta en el formulario, a quién se le escribe, cuánto tiempo se guarda. Responde ante tus clientes y ante la Agencia de Protección de Datos Personales.

El encargado es quien trata los datos por cuenta del responsable y según sus instrucciones (art. 15 bis). Tu desarrollador, tu hosting, tu plataforma de agenda y tu servicio de correo son encargados. Trabajan para ti; no deciden por ti.

Ese es el cambio de mirada que casi nadie ha hecho: la responsabilidad no se externaliza, se documenta. Contratar a alguien no traspasa el problema. Lo que sí puedes hacer es dejar por escrito qué le encargaste, y eso es lo que te protege.

¿Y si el desarrollador hace algo que no le pediste?

La ley también lo resuelve. Si el encargado trata los datos para un fin distinto del convenido, o los entrega a otro sin tu autorización expresa, pasa a ser considerado responsable para todos los efectos legales: responde personalmente por la infracción y solidariamente contigo por los daños.

Fíjate en la palabra "solidariamente". Significa que responde junto contigo, no en tu lugar. Y hay un segundo detalle: ante un incidente de seguridad, el art. 14 quinquies pone la carga de mostrar las medidas adoptadas en el responsable. Si no hay contrato ni instrucciones escritas, es muy difícil probar dónde terminaba tu decisión y dónde empezaba la suya.

¿Cuál es el estado de la ley hoy?

La Ley 21.719 está publicada y su vigencia fijada es el 1 de diciembre de 2026. Existe un proyecto, ingresado el 1 de septiembre de 2026 y en la Comisión de Constitución del Senado sin votación, que la postergaría a diciembre de 2027. Mientras no se publique, la fecha vigente sigue siendo diciembre de este año.

La ley está publicada. La Agencia se está instalando. La fecha se discute. Que entra en vigencia, no se discute.

¿Cuáles son los 6 fantasmas que siguen a tu nombre?

Son cosas que probablemente instaló o dejó otra persona, pero que la ley lee como decisiones tuyas. Revísalos uno por uno; ninguno toma más de una conversación con tu proveedor.

1. El formulario viejo que sigue capturando

La landing de una promoción, el formulario de un evento, la página de "trabaja con nosotros". Ya no los usas, pero siguen publicados y mandan datos a un correo que nadie revisa. Cada envío es un dato que recolectas sin finalidad vigente. Qué hacer: lista todas las páginas con formulario y da de baja las que no tienen uso. Las que quedan necesitan su casilla de consentimiento sin premarcar, como explicamos en qué le falta a tu formulario.

2. El plugin abandonado

Un complemento de WordPress para el chat, un formulario de otro proveedor, un integrador con tu planilla. Se instaló para resolver algo puntual y nunca más se actualizó. Un plugin sin mantención es una puerta. Qué hacer: pide la lista de plugins activos con su fecha de última actualización, y desinstala lo que no se usa.

3. El ex colaborador que sigue con acceso

El desarrollador anterior, la persona que te ayudó con redes, el practicante que administraba el correo. Si sus usuarios siguen activos en el hosting, el dominio, el CRM o la base de datos, esas personas pueden ver datos de tus clientes hoy. Qué hacer: un usuario por persona, con nombre y apellido, y una revisión de accesos cada vez que alguien sale. Si el problema es mayor, revisa cómo recuperar tu sitio si tu desarrollador desapareció.

4. La copia de tu base en el computador de otro

Para probar cambios, muchos desarrolladores bajan una copia de la base real a su equipo o a un servidor de pruebas. Es práctico y casi nunca se borra. La ley es clara: terminado el encargo, el encargado tiene que suprimir o devolver los datos. Qué hacer: pregunta si existen copias fuera del servidor principal y pide por escrito que se eliminen al cerrar cada proyecto.

5. El píxel que nadie declaró

El píxel de Meta, la etiqueta de Google Analytics, el mapa de calor que alguien instaló "para medir". Si están en tu sitio y no aparecen en tu política de tratamiento, estás recolectando datos que no informas. El art. 14 ter exige publicar qué datos tratas y con qué finalidad. Qué hacer: pide la lista de etiquetas instaladas y compárala con tu política. Cómo seguir midiendo bien, en este artículo.

6. El proveedor que nadie autorizó

Tu desarrollador conectó el formulario a una herramienta de correo masivo, a un servicio de automatización o a una inteligencia artificial para responder consultas. Cada uno es un subencargo: alguien más tratando tus datos. La ley exige que el encargado tenga tu autorización específica y por escrito para sumar otro proveedor, y muchos de esos servicios guardan la información fuera de Chile. Qué hacer: pide la lista completa de servicios conectados y dónde guarda cada uno. El mapa completo, en dónde viven los datos de tus clientes.

¿Cómo se documenta quién responde por qué?

Con tres documentos simples, que cualquier proveedor serio puede entregarte:

• Un contrato de encargo (también llamado DPA, por Data Processing Agreement): fija el objeto, la duración, la finalidad, los tipos de datos y qué pasa con ellos al terminar. Las cláusulas que tiene que traer están en este artículo.
• La lista de proveedores autorizados: qué servicios tocan tus datos, para qué y en qué país los guardan. Cuando se suma uno nuevo, se actualiza y tú lo apruebas.
• El acta de entrega: los accesos a tu nombre, los formularios activos, las etiquetas instaladas y la confirmación de que no quedaron copias fuera. Detallamos qué tiene que incluir en qué te tienen que entregar cuando termina tu sitio.

Con esos tres papeles, la frontera queda trazada: lo que tú decidiste y lo que encargaste. Eso es cumplimiento documentado y acreditable, que es lo único honesto que se puede ofrecer. Nadie serio te promete "cero multas".

¿Por qué casi ningún negocio lo tiene resuelto?

Porque nadie te lo pidió hasta ahora. Durante años, contratar una web era un acuerdo de diseño y plazos, y los datos eran un detalle técnico. Según el estudio de LemonTech y la Asociación Chilena de Ética y Compliance (ACEC), publicado el 23 de septiembre de 2026 sobre 127 organizaciones, el 46% no ha implementado ninguna medida y solo el 34% tiene un Registro de Actividades de Tratamiento (RAT: el inventario de qué datos tratas, para qué y con quién).

No es descuido. Es que la pregunta cambió de dueño, y casi nadie se enteró. La buena noticia es que los seis fantasmas se resuelven con orden, no con un proyecto enorme.

¿Qué hace LPage y qué hace el abogado?

En LPage construimos y ordenamos la parte técnica: formularios que guardan el consentimiento, accesos a tu nombre, lista de proveedores, etiquetas declaradas y el acta de entrega. Lo legal lo visa Gian Piero Serafini San Celedonio, abogado de la Universidad Católica de Chile. Este artículo es contenido educativo y no reemplaza esa revisión.

Si quieres saber cuáles de los seis fantasmas tiene tu web, el diagnóstico gratis parte por ahí: qué está publicado, qué está conectado y quién tiene acceso.

Equipo LPage