¿Qué cambia la Ley 21.719 para chatbots, CRM y marketing?
La Ley 21.719 modifica a fondo la Ley 19.628 sobre protección de la vida privada y eleva el estándar para cualquier empresa que trate datos personales en Chile. Para un chatbot, un CRM o una campaña, los cambios prácticos son cinco: cada uso de datos necesita una base legal, a menudo el consentimiento; debes informar para qué usas los datos; las personas tienen derechos ampliados que debes poder responder; los datos sensibles, como los de salud, tienen reglas más estrictas; y respondes por la seguridad y por lo que hagan tus proveedores con los datos.
La ley también crea la Agencia de Protección de Datos Personales, que fiscalizará, resolverá reclamos y aplicará sanciones. Se publicó en el Diario Oficial en diciembre de 2024 y, según su texto, entra en vigencia el 1 de diciembre de 2026. A octubre de 2026, el Congreso tramita un proyecto del Ejecutivo que propone postergar esa fecha. Revisa el estado vigente en la Biblioteca del Congreso Nacional (bcn.cl) antes de fijar tus plazos.
Esta es una guía informativa, escrita desde la experiencia técnica de implementar chatbots y CRM. No reemplaza la asesoría legal: para decisiones concretas sobre tu empresa, consulta a un abogado y revisa el texto oficial de la Ley 21.719 en la Biblioteca del Congreso Nacional.
Consentimiento y otras bases legales
Tratar datos personales requiere una base legal. El consentimiento es la más conocida, y la ley exige que sea libre, informado, específico para cada finalidad e inequívoco. La persona puede revocarlo cuando quiera, sin dar explicaciones. Hay otras bases, como la ejecución de un contrato o de medidas previas que la propia persona pidió, el cumplimiento de una obligación legal y el interés legítimo de la empresa, con los límites que fija la ley.
En un chatbot, la diferencia práctica es clara. Si alguien escribe a tu WhatsApp para pedir una cotización, usar su nombre y teléfono para responderle se apoya en su propia solicitud. Si después quieres enviarle promociones, esa es otra finalidad y, en general, necesitas su consentimiento. WhatsApp exige además que la persona haya aceptado recibir los mensajes que inicia la empresa.
- Pide el consentimiento para marketing por separado, nunca con una casilla marcada por defecto.
- Guarda en el CRM qué aceptó la persona, cuándo y con qué texto.
- Ofrece en cada campaña una forma simple de darse de baja y respétala de inmediato.
- No uses una base comprada o heredada sin verificar cómo se obtuvo el consentimiento.
Finalidad, proporcionalidad y aviso de privacidad
Los datos se recogen para fines concretos e informados, y solo se usan para esos fines o para otros compatibles. La ley exige también proporcionalidad: pedir solo lo necesario y guardarlo solo mientras haga falta.
Aplicado a un chatbot: si para agendar basta con nombre, teléfono y RUT, el agente no debería pedir la dirección ni la fecha de nacimiento. Al inicio de la conversación, un mensaje breve explica para qué se usarán los datos y enlaza a la política de privacidad. En el CRM, define cuánto tiempo guardas los leads que nunca compraron y elimínalos o anonimízalos al cumplirse el plazo. La política de privacidad debe informar, entre otros puntos, lo siguiente:
- Quién es el responsable de los datos y cómo contactarlo.
- Para qué se usan y con qué base legal.
- Con quién se comparten, incluidos proveedores en el extranjero.
- Cuánto tiempo se guardan.
- Cómo ejercer los derechos.
- Si hay decisiones automatizadas o elaboración de perfiles.
Derechos de las personas: cómo responderlos desde tu chat y tu CRM
La ley reconoce a cada persona los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. Incluye además el derecho a oponerse a decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, cuando le producen efectos jurídicos o la afectan de manera significativa.
Para una empresa con chatbot y CRM, esto se traduce en procesos concretos. Si alguien pide por WhatsApp que borren sus datos, tu equipo debe saber qué hacer: verificar que es la persona, eliminar o bloquear la información en todos los sistemas y responder dentro del plazo legal. La ley fija plazos breves, así que conviene tener el procedimiento listo antes de recibir la primera solicitud.
| Derecho | Qué pide la persona | Qué debe permitir tu sistema |
|---|---|---|
| Acceso | Saber qué datos tienes y para qué | Exportar la ficha del contacto y su historial |
| Rectificación | Corregir datos erróneos | Editar el contacto y dejar registro |
| Supresión | Que borres sus datos | Eliminar en CRM, chatbot y demás sistemas |
| Oposición | Que dejes de usar sus datos para un fin | Marcar el contacto y excluirlo de campañas |
| Portabilidad | Recibir sus datos en un formato utilizable | Exportar en un formato estructurado |
| Bloqueo | Suspender temporalmente el uso | Congelar el contacto sin borrarlo |
Datos sensibles: salud, biometría y otros
Son datos sensibles, entre otros, los de salud, los biométricos y los que revelan origen étnico, convicciones políticas o religiosas, vida sexual u orientación sexual. Como regla general solo pueden tratarse con el consentimiento expreso de la persona, salvo las excepciones que establece la ley, y exigen medidas de seguridad más estrictas.
Esto pesa en clínicas y centros médicos. Un chatbot de agenda puede necesitar saber qué prestación busca el paciente, pero no debería pedir diagnósticos ni historial clínico por WhatsApp si no es imprescindible. Cuando haga falta, se pide el consentimiento expreso, se limita quién accede y la información clínica se deriva al equipo de salud. El agente nunca diagnostica, receta ni recomienda medicamentos. Además, el sector salud tiene normas propias, como las que regulan la ficha clínica.
Seguridad y vulneraciones de datos
La ley exige medidas técnicas y organizativas de seguridad proporcionales al riesgo, y recoge los principios de protección desde el diseño y por defecto: la privacidad se considera al construir el sistema, no se agrega después.
Si ocurre una vulneración de seguridad que genera riesgo para las personas, el responsable debe informarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas y, en ciertos casos, también a los afectados. Tener un procedimiento escrito para ese momento es parte de la preparación.
- Accesos por rol: cada usuario ve solo lo que necesita.
- Doble factor de autenticación en el CRM y en la plataforma del chatbot.
- Registro de quién accede y qué cambia.
- Cifrado en tránsito y en reposo.
- Respaldos y un procedimiento de respuesta ante incidentes.
- Desactivar de inmediato los accesos de quienes dejan la empresa.
Proveedores y transferencias internacionales
Tu proveedor de chatbot, CRM o servidores trata datos por encargo tuyo, y tu empresa sigue siendo la responsable frente a las personas. Por eso el contrato con cada proveedor debe dejar claro que solo trata los datos según tus instrucciones, con qué medidas de seguridad, si puede subcontratar y qué pasa con los datos al terminar el servicio.
Muchas plataformas guardan datos en servidores fuera de Chile, lo que constituye una transferencia internacional. La ley la permite, por ejemplo, hacia países que la Agencia considere con un nivel adecuado de protección o con garantías como cláusulas contractuales, además de otros casos que el texto detalla. Pregunta a cada proveedor dónde están sus servidores e infórmalo en tu política de privacidad.
- Contrato de encargo con instrucciones, confidencialidad y seguridad.
- Lista de subproveedores y países donde se guardan los datos.
- Devolución o eliminación de los datos al terminar el contrato.
- Apoyo del proveedor para responder derechos y vulneraciones.
La Agencia, las sanciones y el modelo de prevención
La Agencia de Protección de Datos Personales podrá fiscalizar, atender reclamos y sancionar. La ley clasifica las infracciones en leves, graves y gravísimas, con multas que aumentan según la gravedad y, en los casos más serios, la posibilidad de suspender operaciones de tratamiento. Las sanciones se anotan en un registro nacional. Revisa montos y criterios en el texto oficial.
La ley contempla además un modelo de prevención de infracciones, de adopción voluntaria, que incluye designar a un delegado de protección de datos y que la Agencia puede certificar; un modelo certificado se considera una atenuante. Para una pyme, implementar lo esencial de esta guía es un buen punto de partida antes de evaluar un modelo completo.
Checklist para tu chatbot, tu CRM y tus campañas
Usa esta lista para revisar tu operación actual. Si alguna respuesta es "no sé", ahí está tu primera tarea.
- El chatbot informa al inicio para qué usa los datos y enlaza a la política de privacidad.
- El agente pide solo los datos necesarios para cada proceso.
- El consentimiento para marketing se pide por separado y queda registrado con fecha y texto.
- Cada campaña permite darse de baja y la baja se respeta en todos los canales.
- Hay un procedimiento para responder acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
- Los datos de salud u otros sensibles se piden solo si son imprescindibles y con consentimiento expreso.
- El CRM tiene accesos por rol, doble factor y registro de actividad.
- Existe un procedimiento escrito ante vulneraciones de seguridad.
- Cada proveedor tiene contrato de encargo y sabes dónde guarda los datos.
- Hay plazos de conservación definidos y se aplican.
Guía informativa actualizada a octubre de 2026. No reemplaza la asesoría legal. La fuente oficial es el texto de la Ley 21.719 en la Biblioteca del Congreso Nacional (bcn.cl/leychile).