Respuesta corta: la Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y aplica a cualquier negocio que trate datos de personas, sin importar su tamaño. Para una pyme, lo que más cambia es cómo junta contactos para vender: listas de WhatsApp, formularios, sorteos y bases de clientes.
Esta ley no es solo para el retail grande
La Ley 21.719 se publicó el 13 de diciembre de 2024 y moderniza la antigua Ley 19.628, vigente desde 1999. Entra en vigencia el 1 de diciembre de 2026 y crea la Agencia de Protección de Datos Personales, un organismo nuevo con facultad para fiscalizar y sancionar.
El artículo 35 fija las sanciones. Las infracciones leves se castigan con amonestación escrita o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM.
Para las pymes hay un respiro, pero corto. Durante los primeros doce meses de vigencia, la Agencia puede aplicar a las empresas de menor tamaño una amonestación por escrito en vez de multa (artículo sexto transitorio). Ojo: esa amonestación igual queda en el registro público de sanciones. El primer año te pueden amonestar en público. Después, te pueden multar.
La mayoría de las guías que vas a encontrar están escritas por estudios jurídicos y hablan de “bases de licitud” y “responsables del tratamiento”. Esta no. Acá revisamos lo que tu pyme ya hace para vender y qué tiene que ajustar.
Esto es orientación práctica de marketing, no asesoría legal. Si tu negocio trata datos sensibles (salud, por ejemplo), consulta con un abogado.
1. Tu lista de difusión de WhatsApp necesita respaldo
El número que un cliente te dio para coordinar un despacho no es una autorización para mandarle promociones. El artículo 12 exige que el consentimiento sea libre, informado, específico en cuanto a su finalidad, previo e inequívoco. Y dice que corresponde al negocio probar que lo obtuvo.
Esto no es un detalle. Usar datos sin consentimiento, o con una finalidad distinta de la original, es infracción grave según el artículo 34 ter, con tope de 10.000 UTM. Mandar ofertas al número que te dieron para un despacho calza justo ahí.
Acción concreta: desde hoy, cuando alguien te escriba, pregúntale si quiere recibir ofertas por ese canal. Guarda la respuesta en el mismo chat, que te sirve como respaldo. A la lista que ya tienes, mándale un mensaje pidiendo confirmación: “¿Quieres seguir recibiendo nuestras ofertas? Responde SÍ”. Quien no responda, sale de la lista. Si vendes solo por WhatsApp, revisa también cómo aparecer en Google sin tener sitio web.
2. Los sorteos de Instagram que piden datos
“Comenta, etiqueta a tres amigos y déjanos tu correo” es recolección de datos personales. Si después usas esos correos para mandar ofertas, necesitas haberlo dicho antes de que participaran.
Acción concreta: en las bases del sorteo, escribe en una línea para qué vas a usar los datos y por cuánto tiempo. Si quieres sumar a los participantes a tu newsletter, pide esa autorización aparte. Participar en el sorteo no puede estar condicionado a aceptar publicidad.
3. La base que compraste o heredaste
Comprar una base de correos “segmentada por rubro” siempre fue mala idea por entregabilidad. Ahora además es un riesgo legal: esa base no te sirve para demostrar que esas personas aceptaron recibir tus correos. Y tratar datos sin consentimiento es infracción grave, la misma categoría del punto 1.
Acción concreta: si tienes una base comprada, no la uses. Si heredaste la base de un negocio anterior o de un socio, trátala como una lista nueva: un solo correo pidiendo confirmación, y te quedas solo con quienes aceptan.
4. El formulario de tu sitio y la planilla donde caen los datos
El artículo 14 ter obliga a tener publicada, antes de que nadie la pida, la información sobre cómo tratas los datos: quién eres, para qué los usas, con quién los compartes, si salen de Chile, cuánto tiempo los guardas y cómo se ejercen los derechos. En la práctica, eso es una política de privacidad enlazada desde el formulario. No tenerla es infracción leve (artículo 34 bis).
El otro punto es dónde terminan esos datos. Una planilla de Google Sheets compartida con todo el equipo, o con el link abierto a cualquiera, es un problema de seguridad.
Acción concreta: en el formulario, pon dos casillas sin marcar. Una para aceptar la política de privacidad, obligatoria. Otra para recibir novedades, opcional. Y revisa quién tiene acceso a la planilla. Si todavía no tienes formulario, parte por cómo crear un lead magnet gratis.
5. Tus proveedores también tratan datos por ti
Tu tienda online, tu plataforma de correo, tu CRM y tu sistema de agendamiento guardan datos de tus clientes. La ley los considera encargados del tratamiento, y el artículo 15 bis exige que la relación esté en un contrato que diga qué datos tratan, para qué y por cuánto tiempo. Si además guardan los datos fuera de Chile, tienes que informarlo.
Acción concreta: haz una lista de las herramientas que usas con datos de clientes. Para cada una, busca en su sitio el “acuerdo de tratamiento de datos” (DPA, por sus siglas en inglés) y guárdalo. Las plataformas grandes lo tienen disponible para aceptar en línea. Si alguna no lo tiene, es señal para cambiarla. Si estás eligiendo tus primeras herramientas, revisa cómo digitalizar tu negocio paso a paso.
6. Prepárate para cuando un cliente te pida sus datos
Tus clientes van a poder pedirte acceso a sus datos, corregirlos, borrarlos, oponerse a que los uses, llevárselos a otro proveedor o bloquearlos temporalmente. El artículo 11 te da 30 días corridos para responder, prorrogables una sola vez por otros 30. No responder, o responder tarde o incompleto, es infracción leve.
Y si alguien te dice “no me manden más publicidad”, no hay discusión. El artículo 8 le da derecho a oponerse siempre que el uso de sus datos sea solo para marketing directo.
Acción concreta: crea un correo específico para esto, por ejemplo [email protected], y ponlo en tu política. Anota en una planilla cada solicitud con su fecha de llegada. Es lo mínimo para demostrar que respondiste. No tener un correo de contacto operativo para estos casos es, por sí solo, infracción leve.
Conclusión: cumplir también vende
La lectura habitual de esta ley es defensiva: evitar multas. Hay otra. Una pyme que dice claro qué hace con los datos genera más confianza que el retail grande, donde nadie lee la letra chica. “Te escribimos solo si nos autorizas y te borramos cuando quieras” es una frase que se puede poner en el mismo formulario, y convierte.
Además, una lista donde todos confirmaron es una lista que abre tus correos. Vas a tener menos contactos, pero mejores.
Y un dato que pocas guías mencionan: el artículo 14 ter manda a la Agencia fijar estándares diferenciados según el tamaño de la empresa. A la pyme no se le va a exigir lo mismo que a un banco. Lo que sí se le va a exigir es lo básico de esta lista.
Herramienta recomendada: Brevo, en su plan gratis. Incluye formularios con doble confirmación, que es la forma más simple de respaldar el consentimiento, y guarda los datos en servidores de la Unión Europea. Para lo legal, la guía gratuita de protección de datos para pymes de la Cámara de Comercio de Santiago es el mejor punto de partida.
Una hoja, seis preguntas, y sabes qué te falta antes del 1 de diciembre. Deja tu correo, confírmalo y la autoevaluación se abre al instante.