En el marketing digital, la confianza es el motor que mueve cada clic. No se trata solo de enviar correos, sino de construir puentes sólidos entre las marcas y las personas.
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026.1 Desde ese día no basta con decir que protegemos la privacidad: hay que poder demostrar que tratamos los datos de forma lícita, y cada empresa responde por cumplir los principios de la ley.
Uno de los puntos más críticos de esta normativa es la relación entre quién posee los datos y quien presta servicios sobre ellos. Si tu empresa es de aquellas que contrata servicios externos (desde plataformas de comunicación hasta soporte TI), estás entrando en el terreno de la responsabilidad compartida.
1. ¿Quién es quién?
La ley define dos roles, y saber cuál es el tuyo es el primer paso:2
- Responsable: quien decide para qué y cómo se tratan los datos. Si tú decides enviarle un correo a tus clientes, tú eres el responsable.
- Encargado: quien trata datos personales por cuenta del responsable. Fidelizador, en este caso, es tu encargado.
La ley exige tratar los datos de manera lícita y leal, y que el responsable pueda demostrarlo.3 Por eso te conviene elegir un encargado que también cumpla.
2. Qué debe decir el contrato con tu proveedor
Uno de los cambios más grandes respecto de la Ley 19.628 original es la formalidad de la relación con tu proveedor. Si un tercero trata datos por ti, esa relación se rige por un contrato, y la ley fija lo que debe decir como mínimo: el objeto del encargo, su duración, la finalidad, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes.4
La ley también le pone reglas al proveedor:
- Solo puede tratar los datos según tus instrucciones. Si los usa para otra cosa, responde como si fuera el responsable.
- Debe cumplir los mismos deberes de confidencialidad y seguridad que tú.
- Solo puede subcontratar el encargo con tu autorización específica y por escrito.
- Si sufre una vulneración de seguridad, debe avisarte.
- Al terminar el servicio, debe suprimir tus datos o devolvértelos.
Recomendamos que el contrato diga también cómo te ayudará a responder las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. La Agencia publicará modelos tipo de contrato en su sitio.
3. Si tus datos salen de Chile
Muchos proveedores guardan o procesan datos fuera del país. La ley permite esa transferencia internacional cuando el país de destino tiene un nivel adecuado de protección, o cuando hay cláusulas contractuales u otros instrumentos con garantías adecuadas.5 Pregúntale a tu proveedor dónde están tus datos y con qué garantías. En Fidelizador, la infraestructura primaria está en Chile.
4. Riesgos y Multas: Lo que está en juego
La nueva Agencia de Protección de Datos Personales no vendrá solo a sugerir; vendrá a fiscalizar. El régimen sancionatorio se divide según la gravedad de la infracción:
- Infracciones leves: multas de hasta 5.000 UTM.
- Infracciones graves: multas de hasta 10.000 UTM (por ejemplo, tratar datos sin base legal).
- Infracciones gravísimas: multas de hasta 20.000 UTM (por ejemplo, tratar datos en forma fraudulenta u omitir a propósito el aviso de una vulneración de seguridad).
Si hay reincidencia, la multa puede triplicarse. En empresas que no son de menor tamaño y reinciden en una infracción grave o gravísima, puede llegar al 2% o al 4% de sus ingresos anuales.6
Nota: Al valor de la UTM en mayo de 2026, una multa gravísima podría superar los 1.300 millones de pesos chilenos.
5. Checklist de Cumplimiento para tu Empresa
Para transitar este 2026 con seguridad, te recomendamos comenzar a conversar con tus proveedores hoy mismo.
¿Cómo se están preparando?
- ¿Tendrán un DPA (Data Processing Agreement o Acuerdo de Procesamiento de Datos)?: No te conformes con los términos generales. Pídele que prepare el anexo específico de tratamiento de datos o ten tú uno en caso que no lo tengan. Si tu proveedor no está preparado, es mejor que pienses seriamente en cambiarlo.
- Verifica la “Seguridad desde el Diseño”: Asegúrate de que tu proveedor aplique medidas como el cifrado de datos y protocolos de acceso estricto.
- Protocolo de brechas: pregunta “Si sufren un incidente, ¿en cuántas horas me avisarán?”. La ley obliga a tu proveedor a avisarte si sufre una vulneración de seguridad. A ti te obliga a reportarla a la Agencia, sin dilaciones indebidas, cuando pone en riesgo los derechos de los titulares. A los titulares hay que avisarles solo cuando afecta datos sensibles, datos de menores de 14 años o datos sobre obligaciones económicas, financieras, bancarias o comerciales.7
La Ley N° 21.719 no es un obstáculo para el crecimiento, sino una oportunidad para profesionalizar el mercado chileno. Si quieres saber qué correos necesitan consentimiento, lo explicamos en Qué emails necesitan consentimiento según la Ley 21.719.
En Fidelizador, estamos adaptando toda nuestra infraestructura y procesos legales no solo para cumplir con la ley, sino para ser el aliado que garantice que tu empresa esté siempre del lado correcto de la normativa. Nos respaldan la certificación ISO 27001 y nuestra trayectoria en el mercado desde 2007.
Referencias
Footnotes
-
El 1 de septiembre de 2026, el Gobierno ingresó al Senado un proyecto para moverla al 1 de diciembre de 2027 (Boletín 18623-07). Es una propuesta, no un cambio. ↩
-
Los artículos citados son de la Ley 19.628, con el texto que le da la Ley 21.719. Texto oficial en LeyChile. Artículo 2: letra n), responsable, y letra x), encargado. ↩
-
Artículo 3, letra a): principios de licitud y lealtad. El responsable debe poder acreditar la licitud del tratamiento. ↩
-
Artículo 15 bis: tratamiento a través de un encargado, contenido mínimo del contrato, subcontratación, aviso de vulneraciones y supresión o devolución de los datos. El encargado debe cumplir los artículos 14 bis (confidencialidad) y 14 quinquies (seguridad). ↩
-
Artículo 27: transferencia internacional de datos. Artículo 28: países con nivel adecuado de protección y garantías adecuadas. ↩
-
Artículo 34 quáter: infracciones gravísimas. Artículo 35: multas y reincidencia. Artículo 36: la reincidencia como agravante. ↩
-
Artículo 14 sexies: deber de reportar las vulneraciones de seguridad a la Agencia y, en ciertos casos, a los titulares. ↩
