Ley 21.719: qué cambia para una empresa que hace marketing

La nueva ley chilena de datos personales entra en vigencia el 1 de diciembre de 2026. Qué exige, qué multas trae y cuáles de sus ocho obligaciones se resuelven en tus formularios, tu CRM y tus plataformas publicitarias.

El 1 de diciembre de 2026 entra en vigencia general la Ley N° 21.719, que moderniza el regimen chileno de proteccion de datos personales establecido en la Ley N° 19.628 y crea la Agencia de Proteccion de Datos Personales, el organismo encargado de fiscalizar y sancionar. Si tu empresa hace marketing digital, esa fecha te toca antes de lo que parece: los formularios, el CRM, las audiencias personalizadas y las automatizaciones son, casi todos, tratamientos de datos personales.

Este articulo no es asesoria juridica. Es la traduccion operativa de lo que la ley exige a los sistemas con los que trabajamos todos los dias. Para el analisis legal de como aplica a tu empresa, hablá con un abogado.

Que cambia exactamente

El cambio de fondo no es una obligacion nueva en particular, es el modelo de cumplimiento. La ley se construye sobre la responsabilidad proactiva, o accountability: no basta con cumplir, la empresa tiene que poder demostrarlo con politicas, procedimientos, registros y evidencia objetiva.

Esa diferencia es la que ordena todo lo demas. Una empresa puede estar tratando datos de forma razonable y aun asi no cumplir, simplemente porque no tiene como probarlo. En marketing eso se nota rapido: casi nadie guarda evidencia de como se construyo una base de datos, y esa base termina siendo la que alimenta las campanas.

Queda sujeta cualquier organizacion que trate informacion vinculada a personas naturales: clientes, trabajadores, proveedores o usuarios. Lo que cambia segun el tamano de la empresa es la proporcionalidad de las medidas, no si le aplican.

Las sanciones estan graduadas segun la gravedad de la infraccion:

• Infracciones leves: multas de hasta 5.000 UTM.
• Infracciones graves: multas de hasta 10.000 UTM.
• Infracciones gravisimas: multas de hasta 20.000 UTM.

A eso se suman medidas correctivas, cese de operaciones de tratamiento, acciones judiciales de los titulares, indemnizaciones y dano reputacional. Dejamos los montos en UTM a proposito: convertirlos a pesos los deja desactualizados el mes siguiente.

Las ocho obligaciones, y las cuatro que pegan en marketing

La ley se articula en ocho obligaciones centrales:

Las ocho aplican a la empresa entera. Pero si tu operacion de marketing corre sobre formularios, CRM, email y plataformas publicitarias, hay cuatro que se resuelven —o se rompen— ahi: la 1 (saber que datos tenes y de donde salieron), la 2 (con que base legal los tratas), la 3 (que dice tu formulario antes de que alguien lo complete) y la 6 (que firmaste con las plataformas y agencias que los tocan).

Tus formularios: el consentimiento no es la unica base

El error mas comun es asumir que todo se resuelve pidiendo consentimiento. La ley reconoce cuatro bases de licitud —consentimiento del titular, ejecucion de un contrato, cumplimiento de una obligacion legal e interes legitimo— y gran parte de los tratamientos laborales y de facturacion se fundan en contrato u obligacion legal, no en consentimiento.

Cuando si corresponde consentimiento, la exigencia es concreta:

• Casillas no pre-marcadas.
• Evidencia de la autorizacion, no solo la afirmacion de que existio.
• Revocacion simple: retirar el consentimiento tiene que costar lo mismo que darlo.

Y cuando se invoca interes legitimo, hay que hacer y documentar un analisis de ponderacion previo. No es una casilla que se marca: es un documento que justifica por que el interes de la empresa no aplasta los derechos de la persona.

Traducido a lo que tenes en pantalla: cada formulario de tu sitio deberia poder responder tres preguntas sin que nadie tenga que investigar. Que datos pide, para que, y con que base legal. Si el formulario alimenta una audiencia personalizada de una plataforma publicitaria, esa finalidad tambien tiene que estar informada.

Tu CRM y tus plataformas de ads son proveedores

La obligacion 6 es la que suele tomar por sorpresa. Los proveedores que acceden o tratan datos por cuenta de tu empresa —nube, software de RR.HH., CRM, herramientas de marketing, call centers, soporte tecnico— necesitan un Acuerdo de Tratamiento de Datos (DPA) incorporado al contrato.

Ese acuerdo tiene que regular como minimo:

1. Objeto y duracion del tratamiento.
2. Finalidades autorizadas.
3. Instrucciones del responsable.
4. Confidencialidad.
5. Medidas de seguridad.
6. Subcontratacion.
7. Gestion de incidentes.
8. Transferencias internacionales.
9. Devolucion o eliminacion de los datos al terminar el servicio.

Ese ultimo punto es el que casi nadie tiene resuelto. Cuando termina una relacion con una agencia o se cambia de herramienta, los datos rara vez se devuelven o se eliminan: quedan. Y hay que verificar si algun proveedor almacena o procesa datos fuera de Chile, porque eso es una transferencia internacional y hay que informarla en la politica de privacidad.

Incidentes: el reloj de 72 horas

La empresa debe notificar a la Agencia de Proteccion de Datos dentro de 72 horas desde que toma conocimiento de un incidente, cuando este pueda causar un dano significativo a los titulares.

Setenta y dos horas es poco tiempo para improvisar un procedimiento. Lo que hace falta es previo: responsables definidos, un canal interno para que alguien pueda avisar, y un registro de incidentes que exista aunque nunca haya pasado nada. Lo mismo vale para los derechos ARSOP-B —acceso, rectificacion, supresion, oposicion, portabilidad y bloqueo—: hay que tener el canal y el procedimiento habilitados desde el primer dia de vigencia, no desde la primera solicitud.

Por donde empezar si todavia no empezaste

La adecuacion se puede hacer de forma gradual y proporcional, priorizando los tratamientos de mayor riesgo. Si tu punto de partida es cero y lo tuyo es marketing, este es el orden que mas ordena:

1. Designar a alguien. Una persona que coordine, aunque no sea su unico trabajo. Sin responsable, la adecuacion no avanza.
2. Levantar que datos tenes. Formularios, planillas, CRM, plataformas, listas de email, audiencias. De donde salio cada base y con que finalidad. Esto es el inventario o RAT, y es el insumo de todo lo demas.
3. Asignarle una base legal a cada uno. Y documentar por que.
4. Revisar los formularios y la politica de privacidad. Que digan lo que realmente pasa con el dato, incluidas las plataformas de terceros por las que pasa.
5. Revisar los contratos de proveedores. Empezando por los que tienen acceso real: CRM, email, plataformas publicitarias, agencia.

Ninguno de esos cinco pasos requiere comprar software. Requieren tiempo y decisiones, que es justamente por lo que conviene no dejarlos para noviembre de 2026.

Preguntas frecuentes

• Cuando entra en vigencia la Ley 21.719? Su entrada en vigencia general esta prevista para el 1 de diciembre de 2026. Moderniza el regimen establecido por la Ley 19.628 y crea la Agencia de Proteccion de Datos Personales, que fiscaliza y sanciona los incumplimientos.
• Aplica a una empresa chica? Toda organizacion que trate informacion vinculada a personas naturales —clientes, trabajadores, proveedores o usuarios— queda sujeta a estas obligaciones. Lo que cambia con el tamano es la proporcionalidad de las medidas, no si aplican o no.
• Alcanza con el consentimiento para cubrir todo? No. Hay cuatro bases de licitud: consentimiento, ejecucion de un contrato, cumplimiento de una obligacion legal e interes legitimo. Gran parte de los tratamientos laborales y de facturacion se funda en contrato u obligacion legal, no en consentimiento.
• De cuanto son las multas? Estan graduadas segun la gravedad: infracciones leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravisimas hasta 20.000 UTM. Ademas hay medidas correctivas, cese de operaciones de tratamiento, acciones judiciales de los titulares, indemnizaciones y dano reputacional.