El 28 de octubre, el Senado aprobó por 33 votos contra 6 el proyecto que posterga la entrada en vigencia de la Ley 21.719 hasta el 15 de octubre de 2027. El proyecto está ahora en la Cámara de Diputados. Mientras no se publique como ley, la fecha vigente sigue siendo el 1 de diciembre de 2026.
El 1 de diciembre de 2026 entra en vigencia la Ley 21.719. Crea la Agencia de Protección de Datos Personales, una autoridad con facultades reales de fiscalización y sanción, y contempla multas de hasta 20.000 UTM para las infracciones más graves. Reemplaza un marco de 1999 que existía sin órgano de control, lo que en la práctica significaba que nadie revisaba nada.
Para una tienda Shopify el problema no es principalmente jurídico. Es operativo. Los datos personales de sus clientes no viven en un solo lugar: están repartidos entre la plataforma, el software de email, los píxeles de publicidad, la app de reseñas, el operador logístico y la pasarela de pago. Ninguna tienda tiene eso inventariado.
Dónde están realmente los datos de tu tienda
Antes de cualquier otra cosa, hay que saber qué se está tratando y dónde. En una tienda Shopify promedio los datos personales circulan por seis destinos como mínimo:
- Shopify. Nombre, correo, teléfono, dirección de despacho, historial de compra de cada cliente.
- Klaviyo u otra plataforma de email. La lista completa de suscriptores, más el comportamiento de navegación y de compra asociado a cada perfil.
- Píxeles de Meta, Google y TikTok. Comportamiento de navegación recogido desde el primer segundo de la visita y compartido con terceros para segmentación publicitaria.
- Apps instaladas. Reseñas, suscripciones, chat, programas de fidelización. Cada una recibe datos de clientes.
- Operador logístico. Nombre, dirección y teléfono de cada destinatario.
- Pasarela de pago. Datos de identificación y de transacción.
La revisión, punto por punto
1. Inventario de tratamientos
Un documento interno que identifique, para cada tipo de dato: qué dato es, con qué finalidad se usa, dónde se almacena, quién tiene acceso, cuánto tiempo se conserva y cuál es la base que autoriza ese tratamiento. No es público, pero tiene que existir y poder mostrarse si la Agencia lo requiere.
En una tienda de catálogo acotado este ejercicio toma una tarde. El problema es que casi nadie lo ha hecho, y sin inventario no se puede evaluar nada de lo que viene después.
2. El origen de la lista de correo
Esta es la que duele. Una tienda con dos o tres años de operación tiene entre 5.000 y 50.000 contactos acumulados. La pregunta concreta es cuántos de esos contactos tienen un consentimiento que se pueda acreditar y cuántos entraron por una casilla premarcada en el checkout, por un sorteo en Instagram o por una base importada de otra herramienta.
La ley exige un consentimiento libre, informado y específico. Ya no basta el consentimiento tácito que la norma anterior toleraba. Conviene separar la lista en tres grupos: los que se registraron voluntariamente con registro del momento y la fuente, los que entraron con una compra, y los de origen desconocido. El tercer grupo es el que exige una decisión.
3. Píxeles y seguimiento publicitario
El píxel de Meta, la etiqueta de Google y el píxel de TikTok recogen comportamiento desde que el visitante abre la página, antes de que entregue ningún dato de forma consciente. Ese tratamiento necesita una base de licitud y el visitante necesita saber que ocurre.
Además, la norma refuerza el derecho de oposición cuando los datos se usan para marketing directo y para construir perfiles comerciales. En términos operativos eso significa que la tienda debe poder dejar de perfilar a alguien que lo solicite, no solo dejar de enviarle correos.
El error más caro en esta materia no es incumplir. Es reaccionar con pánico en noviembre y borrar media lista de correo sin criterio. Una lista depurada con análisis vale más que una lista grande sin respaldo, pero una lista eliminada por susto es un activo comercial destruido sin necesidad.
4. Contratos con quienes procesan datos por ti
Cada app, cada agencia y cada operador logístico que recibe datos de tus clientes actúa como encargado de tratamiento. La relación necesita respaldo contractual que defina al menos el objeto y la duración del tratamiento, las categorías de datos involucradas, las finalidades autorizadas, las medidas de seguridad exigidas y qué pasa con los datos al terminar el servicio.
La mayoría de los proveedores internacionales ya tiene un anexo de tratamiento de datos disponible y basta aceptarlo. Los proveedores locales rara vez lo tienen, y ahí hay que redactarlo.
5. Canal para los derechos del titular
Un cliente puede pedir acceso a sus datos, rectificación, supresión, oposición al tratamiento y portabilidad. La tienda necesita un canal visible para recibir esas solicitudes y un procedimiento para responderlas dentro del plazo legal, que es acotado.
En la práctica son tres cosas: una dirección de contacto publicada, una persona responsable de revisarla y un registro de cada solicitud con su fecha y su respuesta.
6. Protocolo de brechas
Si se filtran datos de clientes, hay obligación de notificar a la Agencia. Los plazos son breves y empiezan a correr desde que se toma conocimiento del incidente, no desde que se termina de investigar. Tener escrito de antemano quién notifica, con qué información y por qué vía es la diferencia entre cumplir y no cumplir.
7. Política de privacidad real
La mayoría de las tiendas chilenas tiene una política de privacidad copiada de una plantilla que no describe lo que la tienda hace en realidad. Si el documento dice que no se comparten datos con terceros y el píxel de Meta está activo, el documento es falso. Conviene reescribirla a partir del inventario del punto 1, no al revés.
Sobre el calendario
El Senado aprobó el 28 de octubre de 2026 un proyecto que posterga la entrada en vigencia hasta el 15 de octubre de 2027, y la iniciativa sigue en la Cámara de Diputados. Puede aprobarse a tiempo o no. Planificar sobre el supuesto de que prosperará es una apuesta, no un plan de cumplimiento.
El trabajo real de una tienda de tamaño medio son algunas semanas: inventariar, revisar el origen de la lista, firmar los anexos con proveedores, habilitar el canal de derechos y reescribir la política. Nada de eso requiere detener la operación comercial ni entrar en Q4 con menos campañas.
Lo que esto significa para el marketing
La lectura pesimista es que la norma encarece la adquisición. La lectura operativa es distinta: una lista con consentimiento trazable tiene mejores tasas de apertura y de conversión que una lista inflada con contactos que nunca pidieron recibir nada. El cumplimiento y el rendimiento apuntan en la misma dirección con más frecuencia de la que se asume.
Las tiendas que lleguen a diciembre con el inventario hecho y la base depurada van a tener una ventaja operativa sobre las que lleguen improvisando, con independencia de si la Agencia las fiscaliza o no.
Este artículo describe obligaciones generales y no constituye asesoría legal para un caso particular. La calificación de cada tratamiento depende de la operación concreta de cada tienda.
¿Tu lista de correo
resiste una revisión?
Auditamos el origen de la base, el estado de los flujos y la configuración de seguimiento de tu tienda.
Solicitar auditoría →