Ley 21.719: lo que todo gerente de marketing en Chile debe saber antes de diciembre de 2026
Durante más de dos décadas, el marketing digital en Chile operó bajo una ley de protección de datos que tenía 25 años de antigüedad y dientes de papel. La Ley 19.628 de 1999 era tan laxa y difícil de fiscalizar que la industria aprendió a ignorarla sin mayores consecuencias. Se compraban bases de datos sin consentimiento, se enviaban correos masivos a listas de origen dudoso, se hacía remarketing con datos que nadie había autorizado explícitamente, y los formularios venían pre-marcados por defecto.
Ese período terminó el 13 de diciembre de 2024.
Ese día se publicó en el Diario Oficial la Ley 21.719, la nueva Ley de Protección de Datos Personales de Chile. Entra en vigor el 1 de diciembre de 2026 —exactamente 24 meses después de su publicación. Y con ella, casi todo lo que fue práctica habitual en marketing digital pasa a ser ilegal, documentable y sancionable con multas de hasta 20.000 UTM, más de 1.300 millones de pesos.
Este artículo no es para abogados. Es para gerentes de marketing, jefes de marketing digital, directores comerciales y CMOs que necesitan entender qué cambia en su trabajo cotidiano, qué prácticas deben abandonar y cuáles son las acciones concretas que deben tomar antes de que el reloj llegue a cero.
Qué es la Ley 21.719 y por qué importa ahora
La Ley 21.719 reemplaza la antigua Ley 19.628 y transforma el estándar chileno de protección de datos al nivel del GDPR europeo —la regulación de privacidad más exigente del mundo. No es una coincidencia: uno de los objetivos explícitos del gobierno fue que Chile sea reconocido por la Comisión Europea como “país con nivel adecuado de protección de datos”, lo que facilita transferencias internacionales de información. Era, además, uno de los compromisos pendientes del ingreso de Chile a la OCDE en 2010.
El cambio más importante no es técnico, es filosófico. La ley anterior permitía el consentimiento tácito —es decir, si alguien no decía que no, se asumía que sí. La nueva ley exige consentimiento explícito, libre, informado e inequívoco. El usuario tiene que decir que sí, conscientemente, para un propósito específico.
Para el marketing, esto no es un ajuste menor. Es una reconstitución de los fundamentos sobre los que se construyeron las bases de datos, los flujos de email, las audiencias de remarketing y los sistemas de automatización de las últimas dos décadas.
Las cinco implicaciones directas para marketing
1. Tu base de datos probablemente sea ilegal a partir de diciembre de 2026
Esta es la noticia más incómoda, y la que más equipos están evitando procesar.
Si tu empresa acumuló contactos a lo largo de los años mediante formularios con casillas pre-marcadas, compras de bases de datos, extracción de correos de páginas web, importaciones de tarjetas de visita sin consentimiento explícito, o listas heredadas de sistemas anteriores sin registro del origen, esa base no cumple con los estándares de la nueva ley.
La Ley 21.719 exige que el consentimiento sea documentado, trazable y específico. No basta con tener un email en un CRM. Se necesita saber cuándo se obtuvo el consentimiento, bajo qué condiciones, para qué usos específicos fue autorizado, y tener evidencia de ello.
Esto tiene una consecuencia práctica inmediata: muchas empresas van a tener que hacer una campaña de re-consentimiento antes de diciembre de 2026, contactando a su base existente para obtener autorización válida bajo el nuevo estándar. Y deben asumir que un porcentaje de esa base no va a responder o va a optar por no autorizar. Las empresas que construyeron su estrategia de marketing sobre el volumen de contactos en lugar de su calidad van a sentir ese impacto con fuerza.
2. El remarketing y el perfilamiento requieren autorización explícita
Una de las prácticas más comunes en marketing digital —y de las más potentes— es el perfilamiento. Con base en el comportamiento del usuario (páginas visitadas, productos consultados, frecuencia de visita, interacciones con emails), se construyen perfiles que permiten segmentar comunicaciones, personalizar anuncios y automatizar recorridos de compra.
La Ley 21.719 regula explícitamente el perfilamiento. Si la segmentación implica tratamiento automatizado de datos personales para tomar decisiones o construir perfiles sobre una persona, se necesita una base legal válida —que en la mayoría de los casos de marketing será el consentimiento explícito del titular.
Esto afecta directamente al remarketing: mostrar anuncios en Meta o Google a personas que visitaron tu sitio, basándose en su comportamiento de navegación, requiere que esas personas hayan consentido ese uso de sus datos. El banner de cookies que muchos sitios tienen hoy en Chile —donde basta con hacer clic en “aceptar” sin mayor granularidad— no es suficiente bajo el nuevo estándar. Se necesita especificar para qué se usan los datos y obtener consentimiento diferenciado para cada propósito.
3. El email marketing sin consentimiento documentado pasa a ser una infracción
El envío de correos electrónicos con fines comerciales sin consentimiento explícito y documentado es una de las prácticas más expuestas bajo la nueva ley.
El estándar que exige la Ley 21.719 implica varios cambios operativos concretos. Los formularios deben tener casillas de verificación desmarcadas por defecto —no puede haber un “aceptas recibir comunicaciones comerciales” que ya venga marcado. El usuario tiene que marcar activamente esa opción. Además, el consentimiento debe ser específico: no alcanza con un genérico “acepto los términos y condiciones”. Tiene que indicar explícitamente que autoriza el envío de comunicaciones de marketing.
Cada contacto debe tener registro de cuándo y cómo dio su consentimiento. Y cuando alguien pide darse de baja o ejercer su derecho de supresión, la empresa tiene plazos establecidos para cumplir, no puede simplemente ignorar la solicitud o tardar semanas en procesarla.
Los sistemas de email marketing —Klaviyo, HubSpot, ActiveCampaign, Mailchimp y similares— no fueron diseñados originalmente para registrar y gestionar consentimiento bajo este estándar. La mayoría guarda la información de suscripción, pero no necesariamente con el nivel de trazabilidad que exige la ley. Eso implica revisar cómo están configurados los flujos de captura de datos en cada plataforma.
4. Las plataformas externas son tu responsabilidad, no la de ellas
Aquí está uno de los puntos que menos se discute y que genera más exposición legal.
Cuando tu empresa contrata una agencia de marketing digital, un proveedor de CRM, una plataforma de email marketing o cualquier servicio que acceda y procese datos personales de tus clientes, la Ley 21.719 establece que tú —como empresa que decidió recolectar esos datos— eres el “responsable del tratamiento”. El proveedor es el “encargado del tratamiento”.
Eso significa que si tu proveedor sufre una filtración de datos, o si procesa la información de formas que no fueron autorizadas, la responsabilidad legal primaria cae sobre tu empresa, no sobre el proveedor. Y tienes la obligación de notificar ese incidente a la Agencia de Protección de Datos y a los afectados dentro de los plazos que fije la ley.
La implicancia práctica es clara: cada contrato con proveedores que manejan datos de tus clientes debe incluir cláusulas específicas de protección de datos. Debes saber dónde se almacenan esos datos, bajo qué condiciones de seguridad, qué ocurre en caso de incidente, y cómo se eliminan cuando termina la relación contractual. Eso aplica a tu agencia de marketing, al proveedor de mailing, al CRM, a la plataforma de automatización y a cualquier herramienta que tenga acceso a datos de tus clientes o prospectos.
5. Las multas son reales y proporcionales al tamaño de la empresa
La Ley 19.628 tenía sanciones tan bajas y difíciles de aplicar que funcionó como una declaración de intenciones sin dientes. La Ley 21.719 tiene una estructura sancionatoria completamente distinta, modelada sobre el GDPR europeo.
Las infracciones se clasifican en leves, graves y gravísimas, con estos topes por infracción:
| Infracción | Ejemplos | Multa máxima |
|---|---|---|
| Leve | No informar cómo tratas los datos, no responder a tiempo una solicitud de un titular | Amonestación o hasta 5.000 UTM |
| Grave | Tratar datos sin consentimiento ni otra base legal, cederlos sin autorización, pedir más datos de los necesarios | Hasta 10.000 UTM |
| Gravísima | Tratamiento fraudulento, usar datos de mala fe para otro fin, ocultar una filtración | Hasta 20.000 UTM (más de 1.300 millones de pesos) |
La reincidencia se castiga fuerte: en empresas que no son de menor tamaño, la multa por infracciones graves o gravísimas reiteradas puede triplicarse o llegar al 2 % o 4 % de los ingresos anuales, lo que sea mayor. Además, las sanciones quedan en un Registro Nacional de Sanciones público durante cinco años. La Agencia de Protección de Datos Personales tendrá facultades de fiscalización, investigación y sanción. No es un organismo decorativo.
Fíjate en qué categoría cae el marketing: la mayoría de las prácticas habituales (bases sin consentimiento válido, formularios que piden de más, datos que usa un proveedor para sus propios fines) son infracciones graves.
Para las empresas medianas y grandes, estas multas son suficientemente significativas como para afectar resultados. Y el riesgo reputacional de una sanción pública por mal manejo de datos de clientes —en un contexto en que las personas son cada vez más conscientes de sus derechos— puede ser incluso más costoso que la multa.
Las empresas de menor tamaño (según la Ley 20.416) tienen un período de gracia: durante el primer año de vigencia (diciembre 2026 a diciembre 2027) pueden recibir amonestaciones por escrito en lugar de multas. Pero las empresas medianas y grandes no tienen ese margen.
Lo que el marketing digital va a tener que dejar atrás
Hay prácticas que hoy son habituales en la industria y que van a requerir un cambio estructural, no solo cosmético.
Las bases de datos compradas a terceros son la primera. El modelo de “comprar una lista segmentada de gerentes de empresas de más de 50 empleados en Chile” no tiene base legal válida bajo la nueva ley, porque quien compra esos datos no tiene forma de verificar que el consentimiento de cada persona fue dado para ese uso específico. El riesgo recae sobre quien los usa.
El “opt-out por defecto” también desaparece. Cualquier formulario donde el consentimiento para comunicaciones comerciales venga marcado previamente, o donde se asuma que la sola descarga de un ebook equivale a autorizar el envío de newsletters indefinidos, no cumple con el estándar.
Las listas de email que llevan años sin limpieza y sin registro de consentimiento son otro punto crítico. Una base de datos que mezcla contactos de diversas fuentes y años, sin trazabilidad del origen de cada registro, es una base que en diciembre de 2026 se convierte en pasivo legal.
Y los flujos de automatización que procesan comportamiento del usuario para segmentar sin que éste haya autorizado explícitamente ese tratamiento también entran en zona gris, dependiendo de cómo estén configurados y bajo qué política de privacidad opere el sitio.
Lo que la ley exige construir
La otra cara de esta regulación es que obliga a construir capacidades que deberían haber existido desde hace años, y que en la práctica generan mejor marketing, no peor.
Lo primero es un sistema de gestión del consentimiento. Cada punto de captura de datos —formulario, landing page, registro, tienda online, app— debe tener integrado un mecanismo que registre cuándo, cómo y para qué usos el usuario dio su consentimiento. Eso incluye la capacidad de que el usuario modifique o revoque ese consentimiento en cualquier momento, y que la revocación se propague a todos los sistemas que usan esos datos.
Lo segundo es un registro de actividades de tratamiento. La ley exige documentar qué datos se recolectan, para qué, quién tiene acceso, con qué proveedores se comparten, y cuánto tiempo se conservan. No es un documento que se hace una vez y se archiva; es un registro vivo que debe reflejar la realidad operativa de cómo fluyen los datos en la organización.
Lo tercero es un proceso para atender derechos de los titulares. Los derechos ARCO —Acceso, Rectificación, Cancelación y Oposición— más los nuevos derechos de portabilidad y bloqueo, requieren procesos internos claros: quién recibe la solicitud, en qué plazo se responde, cómo se ejecuta técnicamente, y cómo se documenta la respuesta. Hoy la mayoría de las empresas no tiene ese proceso definido.
Lo cuarto es una revisión de contratos con proveedores para incluir cláusulas de protección de datos que distribuyan correctamente las responsabilidades entre responsable y encargado del tratamiento.
El ángulo estratégico que la mayoría ignora
Hay una lectura cortoplacista de esta ley —“más burocracia, más costos, menos bases de datos”— y una lectura estratégica que pocas empresas están teniendo.
En Europa, después de que el GDPR entró en vigor en 2018, pasó algo que sorprendió a muchos en la industria: las empresas que invirtieron temprano en construir estrategias de first-party data con consentimiento genuino no solo cumplieron con la ley. Terminaron con bases de datos más pequeñas pero sustancialmente más valiosas. Sus tasas de apertura de email subieron. Sus conversiones mejoraron. Su costo de adquisición bajó. Y su relación con los clientes se volvió más duradera.
La razón es conceptualmente simple: si alguien te dio su consentimiento explícito para recibir tus comunicaciones, sabe quién eres, tiene interés genuino en lo que ofreces, y confía en que usarás sus datos de forma responsable. Eso es un activo de marketing infinitamente más valioso que un correo obtenido sin contexto de una base de datos comprada.
La Ley 21.719 va a reducir el tamaño de muchas bases de datos en Chile. Las empresas que lo vean como una oportunidad para construir audiencias de calidad en lugar de volumen van a estar mejor posicionadas en 2027 que las que intenten mantener el status quo hasta el último momento.
El plan de acción para los próximos meses
El reloj ya está corriendo. La Agencia de Protección de Datos se constituye en octubre de 2026, y la ley entra en vigor en diciembre. Los reglamentos que detallan las obligaciones operativas se están publicando durante 2025 y 2026. No hay dos años libres; hay un plazo con hitos intermedios.
Para un gerente de marketing, las prioridades son claras en términos de secuencia.
Antes de que termine el primer semestre de 2026 debería estar completado el diagnóstico: un inventario de todas las bases de datos que usa el área de marketing, con el origen de cada una, el tipo de consentimiento que se obtuvo y la documentación disponible. Ese diagnóstico va a revelar cuáles son los registros que cumplen con el nuevo estándar y cuáles requieren re-consentimiento o eliminación.
En paralelo, todos los puntos de captura de datos activos deben ser revisados: formularios, landing pages, registros en ecommerce, descarga de contenidos. Cada uno debe quedar configurado con consentimiento explícito, casillas desmarcadas por defecto, y vinculación a una política de privacidad actualizada.
Antes de la segunda mitad del año debería estar definida la campaña de re-consentimiento para los contactos que no cumplen con el estándar. Esta campaña tiene que ser honesta —explicarle a los contactos el cambio y darles la opción de autorizar o no— y tiene que registrar los resultados de forma que quede documentado quién autorizó, cuándo y bajo qué términos.
Los contratos con proveedores de marketing que manejan datos de clientes deben revisarse e incluir cláusulas de tratamiento de datos antes de diciembre de 2026.
Y la designación del Delegado de Protección de Datos —o la definición de quién asume esa responsabilidad internamente— no puede postergarse hasta el último momento, porque esa persona necesita tiempo para entender la operación y preparar los procesos internos.
Conclusión: una ley que llega tarde pero llega en serio
Durante 25 años, la protección de datos en Chile fue en gran medida declarativa. La Ley 21.719 cambia eso de raíz. Crea una agencia con facultades reales, establece multas significativas, y exige a las empresas demostrar que cumplen, no solo declararlo.
Para los equipos de marketing, el mensaje es directo: las prácticas que construyeron muchas de las bases de datos que usamos hoy no tienen futuro legal. Y el tiempo para ordenar la casa es ahora, no en noviembre de 2026.
La buena noticia es que construir una estrategia de datos que cumpla con la ley y que sea efectiva para el marketing no son objetivos contradictorios. Los son si se aborda la regulación como un problema de compliance. Se convierten en ventaja competitiva si se aborda como una oportunidad para construir relaciones más honestas y duraderas con los clientes.
Si quieres saber dónde está parada tu empresa, empieza por nuestro diagnóstico gratis de la Ley 21.719: analiza tu política de privacidad y revisa tus prácticas de marketing en pocos minutos. Y si quieres adaptar tu estrategia de datos y de marketing a este nuevo contexto, conversemos en una asesoría de marketing digital.
Este artículo explica el impacto de la ley en el marketing y no constituye asesoría legal. Para decisiones de cumplimiento, valida con un abogado especialista en protección de datos. Texto oficial de la ley en la Biblioteca del Congreso Nacional.