Este artículo es una guía práctica para equipos comerciales, no una asesoría legal. Para decisiones concretas sobre tu empresa, consulta a un abogado especialista en protección de datos.
- La Ley 21.719 se publicó el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Moderniza la antigua Ley 19.628.
- Crea la Agencia de Protección de Datos Personales, que podrá fiscalizar, resolver reclamos y multar.
- Las multas llegan hasta 20.000 UTM por infracción gravísima.
- Para un equipo comercial, lo central es: tener una razón válida (por ejemplo, el consentimiento) para usar cada dato, responder a tiempo lo que pidan las personas y cuidar la base de clientes.
¿Qué es un dato personal en ventas?
Cualquier información que identifique a una persona o permita identificarla. En el día a día de un equipo comercial eso incluye:
- Nombre, correo, teléfono, WhatsApp y RUT de prospectos y clientes.
- Las notas que escribe el equipo («le interesa el plan anual, tiene dos hijos, vuelve a llamar en marzo»).
- El historial de compras, cotizaciones y conversaciones.
- Los identificadores de navegación y publicidad asociados a una persona.
Hay además datos sensibles, con reglas más estrictas: salud, origen racial o étnico, creencias religiosas, opiniones políticas, vida sexual, datos biométricos, entre otros. Si tu rubro los toca (por ejemplo, salud o estética), necesitas el consentimiento expreso de la persona, salvo las excepciones que fija la ley.
Necesitas una razón válida para usar cada dato
La ley exige que todo tratamiento de datos tenga una base que lo justifique. Las más comunes en ventas son:
- Consentimiento de la persona.
- Un contrato o las gestiones previas a firmarlo (por ejemplo, usar el correo de un cliente para enviarle la cotización que pidió).
- Una obligación legal (por ejemplo, emitir una factura).
- Un interés legítimo de la empresa, siempre que no pase por encima de los derechos de la persona.
Cómo debe ser el consentimiento
Según la ley, debe ser libre, informado, específico, inequívoco y previo. En la práctica:
- Específico: aceptar que te contacten por una cotización no es lo mismo que aceptar recibir publicidad, ni que sus datos se usen en campañas de Google o Meta. Pide cada cosa por separado.
- Inequívoco: una casilla que la persona marca, no una casilla ya marcada.
- Revocable: la persona puede retirarlo cuando quiera, y debe ser fácil hacerlo.
- Demostrable: tu empresa debe poder probar que lo obtuvo (cuándo, cómo y para qué).
Los derechos de las personas (y tu plazo para responder)
Cualquier persona puede pedirle a tu empresa:
| Derecho | Qué pide |
|---|---|
| Acceso | Saber qué datos suyos tienes, de dónde salieron y para qué los usas. |
| Rectificación | Corregir datos errados o desactualizados. |
| Supresión | Que borres sus datos, cuando corresponda. |
| Oposición | Que dejes de usar sus datos para ciertos fines, como publicidad. |
| Portabilidad | Recibir sus datos en un formato que pueda llevar a otra empresa. |
| Bloqueo | Que suspendas temporalmente el uso de sus datos mientras se resuelve una solicitud. |
El plazo general para responder es de 30 días corridos, prorrogables una vez por otros 30. Si la empresa no responde o rechaza la solicitud, la persona puede reclamar ante la Agencia.
Define desde ya quién recibe estas solicitudes, en qué correo, y cómo se encuentra a una persona en todos tus sistemas: CRM, planillas, correo, WhatsApp y listas de publicidad. El día que llegue la primera, no habrá tiempo para improvisar.
Publicidad, perfiles y decisiones automáticas
- Marketing: para enviar publicidad o subir tu base de clientes a plataformas como Google Ads o Meta, necesitas una base válida (normalmente el consentimiento) y debes informarlo en tu política de privacidad. Cada mensaje debe permitir darse de baja.
- Datos cifrados no es lo mismo que datos anónimos: subir correos «cifrados» a una lista de clientes sigue siendo tratar datos personales. Hazlo solo con quienes lo aceptaron.
- Perfilamiento: las personas pueden oponerse a decisiones basadas solo en tratamientos automatizados (incluidos los perfiles) que las afecten de forma significativa, y tienen derecho a una explicación y a que intervenga una persona.
Seguridad y filtraciones
Tu empresa debe tomar medidas de seguridad acordes al riesgo. Si ocurre una filtración o un acceso indebido que genere un riesgo razonable, debe avisar a la Agencia sin dilaciones indebidas. En ciertos casos (datos sensibles, datos de menores de 14 años o datos económicos, financieros o bancarios) también debe avisar a las personas afectadas.
Para un equipo comercial, eso se traduce en cosas concretas: cada persona con su propia cuenta, nada de planillas con datos de clientes enviadas por correo o guardadas en pendrives, quitar el acceso a quien deja la empresa, y usar sistemas que guarden los datos cifrados.
Las multas
| Tipo de infracción | Sanción máxima |
|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM |
| Grave | Hasta 10.000 UTM |
| Gravísima | Hasta 20.000 UTM |
En caso de reincidencia, la multa puede llegar al triple. Para empresas que no son de menor tamaño y que reinciden en infracciones graves o gravísimas, el tope puede calcularse además como un porcentaje de sus ingresos anuales (2 % o 4 %). Son topes, no montos automáticos: la Agencia gradúa la sanción según cada caso.
¿Y si mi empresa es pequeña?
La ley aplica a empresas de todos los tamaños. Para las empresas de menor tamaño hay algunas reglas especiales: por ejemplo, durante el primer período de vigencia la Agencia puede aplicar una amonestación escrita en lugar de una multa, y no se les aplica el tope por porcentaje de ingresos. Pero las obligaciones de fondo son las mismas.
Lista de revisión para tu equipo comercial
- Haz un inventario: dónde están los datos de tus clientes (CRM, planillas, correo, WhatsApp, celulares, plataformas de anuncios) y quién tiene acceso.
- Revisa tus formularios: que expliquen para qué usarás los datos y pidan por separado el permiso para publicidad, con una casilla sin marcar.
- Guarda la prueba del consentimiento: fecha, formulario y texto aceptado, junto a la ficha del cliente.
- Actualiza tu política de privacidad: qué datos recoges, para qué, con quién los compartes (incluidas las plataformas de anuncios) y cómo ejercer los derechos.
- Prepara la respuesta a solicitudes: un correo de contacto, un responsable y un procedimiento para cumplir en 30 días.
- Limpia tu base: elimina lo que ya no necesitas y no guardes datos sensibles en campos de notas si no son indispensables.
- Cuentas personales: cada persona con su usuario y contraseña; se quita el acceso el mismo día en que alguien deja el equipo.
- Fuera las planillas viajeras: nada de archivos con datos de clientes por correo, pendrive o chat.
- Revisa a tus proveedores: CRM, correo, plataformas de anuncios. Deben tratar los datos según tus instrucciones y con seguridad, idealmente con un contrato de encargo de tratamiento.
- Ten un plan para filtraciones: a quién se avisa, cómo se evalúa el riesgo y cómo se informa a la Agencia.
¿Se puede postergar la vigencia?
Existe un proyecto de ley que propone postergar la entrada en vigencia un año (boletín 18.623-07). Según la información disponible a fines de septiembre de 2026, seguía en tramitación, por lo que la fecha vigente sigue siendo el 1 de diciembre de 2026. Lo prudente es prepararse para esa fecha.
Cómo te ayuda LeiAI Hub
En LeiAI Hub cada persona del equipo entra con su propia cuenta, los datos de cada empresa viven en su propio espacio y se guardan cifrados, y la ficha de cada cliente registra si aceptó el uso de sus datos para publicidad. Feed my Pixel solo envía el correo y el teléfono (cifrados) a Google cuando esa casilla está marcada; sin ella, la venta se cuenta sin datos personales.
Fuentes: texto de la Ley 21.719 en LeyChile (Biblioteca del Congreso Nacional), buscando «Ley 21.719»; resúmenes de LexAlert y Pirani. Información revisada en octubre de 2026; verifica siempre el texto oficial vigente.
Tu equipo vende. Tu pixel aprende.
LeiAI Hub ordena las ventas de tu equipo y, con Feed my Pixel, envía cada venta real a Google Ads y Analytics para que tus campañas aprendan quién te compra.