Ley 21.719 y los datos de tus clientes: lo que debe revisar tu pyme antes de diciembre

Si tu empresa tiene un formulario de contacto en su web, envía newsletter, guarda datos de pago en un CRM o usa un proveedor externo de marketing, ya trata datos personales de clientes. La Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026 y exige poder demostrar cómo se recopilan, usan y protegen esos datos, con un régimen de multas que no existía hasta ahora.

¿Qué datos de clientes quedan regulados?

Todo lo que permite identificar a una persona: nombre, RUT, correo, teléfono, dirección, datos de pago o de navegación asociados a un usuario identificable. Si tu pyme tiene e-commerce, CRM, newsletter o formularios de contacto, ya maneja este tipo de información.

¿Necesito el consentimiento de mis clientes para enviarles marketing?

En general sí. El envío de comunicaciones comerciales —newsletter, promociones, recordatorios de carrito abandonado— requiere una base legal clara, y el consentimiento explícito suele ser la más segura para este tipo de tratamiento. La ejecución de un contrato de venta o servicio, en cambio, no requiere consentimiento adicional: ahí la base es el contrato mismo (por ejemplo, enviar la boleta o el estado del pedido).

Uso Mailchimp, un CRM o un proveedor de hosting: ¿tengo obligaciones con ellos?

Sí. Cualquier proveedor externo que acceda a datos de tus clientes —plataforma de email marketing, CRM, pasarela de pago, hosting, agencia de publicidad— pasa a ser un "encargado de tratamiento" bajo la ley. Eso implica que debe existir un contrato o cláusula que regule qué datos trata, con qué finalidad, por cuánto tiempo y qué medidas de seguridad aplica. Si ese proveedor no tiene esa cláusula, la responsabilidad ante una filtración recae igualmente sobre tu empresa.

¿Qué pasa si mi web usa cookies de analítica o publicidad (GA4, Meta Pixel)?

Estas herramientas también tratan datos personales —identificadores de navegación asociados a un usuario—. La ley exige informar con claridad qué cookies no esenciales se usan y dar al visitante una opción real de rechazarlas, no solo un botón de "aceptar" preseleccionado.

¿Qué pasa si sufro una filtración de la base de clientes?

La ley establece notificación obligatoria a la Agencia de Protección de Datos Personales dentro de las 72 horas desde que se toma conocimiento del incidente. Si la filtración involucra datos sensibles o expone a un número relevante de clientes, además debe informarse directamente a los afectados. No tener un protocolo mínimo definido —quién decide, a quién se notifica y en qué plazo— es en sí mismo un factor agravante ante una fiscalización.

¿Qué sanciones contempla la ley?

Un régimen de tres niveles:

• Infracciones leves: amonestación escrita o multa de hasta 5.000 UTM. Por ejemplo, una política de privacidad incompleta o no responder una solicitud de un cliente en plazo.

• Infracciones graves: multa de hasta 10.000 UTM. Por ejemplo, tratar datos de clientes sin base legal o mantener un contrato con un proveedor de marketing sin cláusula de protección de datos.

• Infracciones gravísimas: multa de hasta 20.000 UTM. Por ejemplo, una filtración de datos de pago o de salud tratados sin autorización.

En caso de reincidencia dentro de los 5 años siguientes, y solo para empresas que no califican como de menor tamaño, la multa puede triplicarse o aplicarse un porcentaje sobre los ingresos anuales por ventas y servicios en Chile (2% en infracciones graves, 4% en gravísimas), lo que resulte mayor. Las sanciones quedan además inscritas en un Registro Nacional por varios años, con el consiguiente efecto reputacional frente a clientes y socios comerciales.

Mi empresa es pequeña, ¿igual me pueden multar?

Sí, con un matiz: las empresas que califican como de menor tamaño según la Ley 20.416 cuentan con una ventana de gracia entre el 1 de diciembre de 2026 y el 1 de diciembre de 2027, durante la cual su primera infracción se sanciona con amonestación escrita en lugar de multa. Esto no exime de cumplir la ley, y la amonestación queda igualmente registrada para futuras fiscalizaciones. (Conviene contrastar este punto con la redacción exacta del artículo transitorio antes de usarlo como base de una asesoría concreta.)

¿Qué debería revisar mi pyme ahora, mirando solo el frente de clientes?

Tres focos concretos: primero, mapear qué datos de clientes recopila la empresa y a través de qué canal (web, redes, punto de venta); segundo, revisar los contratos con proveedores tecnológicos que acceden a esos datos (CRM, email marketing, pasarela de pago, hosting) e incorporar cláusula de protección de datos donde falte; tercero, definir un protocolo simple de respuesta ante una eventual brecha, con plazos y responsables claros.

Si necesitas orientación o representación sobre tu situación, puedes escribirnos a contacto@peabogados.cl o llamarnos al +56 22 676 7600 o +56 9 3397 9997.