Ley 21.719 de datos personales: qué debe hacer una tienda online

La Ley 21.719 cambia las reglas para cualquier tienda online que guarde datos de sus clientes: exige una base legal para cada uso de los datos, consentimiento libre, informado y específico cuando corresponde, una política de privacidad clara y responder en 30 días corridos cuando alguien pide ver, corregir o borrar su información. Según su texto, entra en vigencia el 1 de diciembre de 2026. A noviembre de 2026 hay una prórroga en trámite al 15 de octubre de 2027, pero mientras no se publique en el Diario Oficial, la fecha que rige es la original.

Esta guía resume lo que una tienda online debería revisar. No es asesoría legal: para tu caso, confirma con un abogado o en el texto oficial de la ley.

¿Cuándo entra en vigencia la Ley 21.719?

La ley se publicó en el Diario Oficial el 13 de diciembre de 2024. Su artículo primero transitorio dice que entra en vigencia el primer día del mes vigésimo cuarto posterior a su publicación: el 1 de diciembre de 2026.

La prórroga en trámite

El Gobierno ingresó un proyecto para postergar la vigencia (boletín 18.623-07). Su estado a la fecha de este artículo:

Lo prudente es planificar como si la ley rigiera el 1 de diciembre de 2026. Si la prórroga se publica, ganas tiempo; si no, ya estás preparado. Revisa el estado actualizado en el sitio del Congreso antes de tomar decisiones.

¿Qué datos personales maneja una tienda online?

Más de los que parece:

• Nombre, RUT, correo y teléfono del cliente.
• Dirección de despacho y, a veces, de facturación.
• Historial de compras y carritos abandonados.
• Suscripciones a tu boletín.
• Datos de navegación recogidos por cookies, píxeles de publicidad y herramientas de analítica.
• Mensajes de atención al cliente por correo o WhatsApp.

Todo eso es tratamiento de datos personales y queda bajo la ley.

Bases legales: cuándo necesitas consentimiento

La regla general de la ley (artículo 12 de la Ley 19.628, en su nuevo texto) es que el tratamiento es lícito cuando el titular da su consentimiento. Ese consentimiento debe ser:

• Libre: no puede ser una condición escondida.
• Informado: la persona sabe para qué usarás sus datos.
• Específico: uno por finalidad.
• Previo e inequívoco: antes de tratar los datos y con una acción clara, como marcar una casilla.

Pero el artículo 13 reconoce otras fuentes de licitud sin consentimiento. Para una tienda, la más relevante es que el tratamiento sea necesario para celebrar o ejecutar un contrato con el titular, y también cuando lo exige una obligación legal.

La tabla es orientativa. El encaje exacto de cada uso conviene revisarlo con un abogado, sobre todo en marketing.

Los derechos de tus clientes

El nuevo artículo 4 reconoce a toda persona los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. Son personales e irrenunciables: ningún término y condición puede quitarlos.

Lo que esto significa en la operación diaria:

1. Debes tener un canal para recibir solicitudes, sencillo de usar. Un correo dedicado o un formulario sirve.
2. Rectificación, supresión y oposición son siempre gratuitas. El acceso también, al menos una vez por trimestre.
3. Debes acusar recibo y responder dentro de 30 días corridos, prorrogables una sola vez por otros 30.
4. La respuesta va por escrito al domicilio o correo que indique el titular, y debes guardar respaldo de que la enviaste.
5. Si rechazas la solicitud, tienes que fundamentarlo e informar que la persona puede reclamar ante la Agencia de Protección de Datos Personales en 30 días hábiles.

Política de privacidad: qué debería incluir

Tu política debe ser fácil de encontrar y de entender. Como mínimo, conviene que diga:

• Quién es el responsable de los datos (razón social, RUT y contacto).
• Qué datos recoges y de dónde.
• Para qué los usas y con qué base legal cada uso.
• Con quién los compartes: courier, pasarela de pago, proveedor de boletas, herramientas de correo y publicidad.
• Cuánto tiempo los guardas.
• Cómo ejercer los derechos y en qué plazo respondes.
• Si hay transferencias de datos fuera de Chile, por ejemplo a servidores de herramientas extranjeras.

La ley también incorpora el principio de proporcionalidad: solo puedes pedir los datos necesarios para el fin, y guardarlos solo mientras se necesiten. Si tu checkout pide fecha de nacimiento «por si acaso», es momento de sacarla.

¿Y las cookies?

La Ley 21.719 no trae un capítulo específico sobre cookies. Sin embargo, cuando una cookie o un píxel permite identificar a una persona y seguir su comportamiento, eso es tratamiento de datos personales y le aplican las mismas reglas de base legal y consentimiento.

Lo prudente para una tienda:

• Separar las cookies necesarias (carrito, sesión) de las de analítica y publicidad.
• No activar píxeles de publicidad antes de que la persona acepte.
• Ofrecer «aceptar» y «rechazar» con la misma facilidad.

Confirma con un abogado cómo aplicarlo a tus herramientas concretas.

Checklist para tu tienda online

1. [ ] Hice un inventario de qué datos pido, dónde se guardan y quién accede.
2. [ ] Eliminé del checkout los campos que no necesito.
3. [ ] Cada uso de datos tiene una base legal identificada.
4. [ ] Las casillas de consentimiento están sin marcar por defecto y separadas por finalidad.
5. [ ] La suscripción al boletín es opcional y aparte de la compra.
6. [ ] Los píxeles de publicidad se activan solo tras el consentimiento.
7. [ ] Publiqué una política de privacidad actualizada y enlazada desde el pie y el checkout.
8. [ ] Tengo un canal para solicitudes y un responsable de responderlas en 30 días corridos.
9. [ ] Revisé qué hacen con los datos mis proveedores: courier, pagos, correo, boletas.
10. [ ] Definí cuánto tiempo guardo cada dato y cómo lo borro.
11. [ ] Las cuentas de administración tienen contraseñas robustas y doble factor.

Lo que no conviene hacer

• Comprar bases de datos de correos para enviar promociones.
• Marcar por defecto la casilla de publicidad.
• Usar los datos del pedido para fines que el cliente no espera.
• Ignorar una solicitud de supresión porque «es un trámite».

El consentimiento para marketing también influye en estrategias como los recordatorios de compra; lo vemos en carrito abandonado: cómo recuperar ventas. Y como la privacidad se suma a otras obligaciones con el consumidor, revisa también el derecho a retracto en compras online.

Primer año: qué cambia para las pymes

Un artículo transitorio de la ley dispone que, durante los primeros doce meses de vigencia, la Agencia podrá sancionar con una amonestación por escrito a las empresas de menor tamaño, según la clasificación de la Ley 20.416, cuando proceda una sanción. La amonestación queda registrada. No es una licencia para incumplir: es un margen para ordenarse.

Si estás por abrir tu tienda, es más fácil partir con estas reglas que corregir después. Tiendo, la plataforma chilena que hoy está en acceso anticipado, está pensada para pymes que parten desde cero; aun así, la política de privacidad y las bases legales de tu negocio son tu responsabilidad y conviene revisarlas con un abogado.

Este artículo refleja el estado de la ley y de la prórroga al 11 de noviembre de 2026. Confirma siempre la versión vigente en BCN Ley Chile.