Roadmap práctico: pasos clave para cumplir con la Ley 21.719 en tu eCommerce

La Ley 21.719, publicada en diciembre de 2024 y que entra en vigencia el 1 de diciembre de 2026, establece un nuevo marco regulatorio para la protección y tratamiento de los datos personales en Chile.

Para los eCommerce, prepararse para esta normativa puede parecer un desafío complejo. Sin embargo, un enfoque estructurado permite identificar brechas, priorizar acciones y avanzar en los cambios necesarios para adaptar procesos, políticas y sistemas.

Etapa 1: Diagnóstico inicial

El primer paso es entender qué datos personales trata tu eCommerce, para qué los utiliza, dónde se almacenan y quiénes acceden a ellos. Este diagnóstico también permite aplicar criterios de protección de datos desde el diseño y por defecto, revisando desde el inicio qué información es realmente necesaria para cada finalidad.

• Realiza un inventario de los datos personales tratados de clientes, prospectos, proveedores y otros titulares.

• Define la finalidad de cada tratamiento: ventas, logística, marketing, servicio al cliente u otros usos.

• Identifica las herramientas y sistemas donde se almacenan o procesan estos datos: ERP, CRM, email marketing, plataforma eCommerce y otras integraciones.

• Identifica qué áreas internas y proveedores acceden a ellos.

• Aplica criterios de minimización: revisa si cada dato solicitado es realmente necesario para la finalidad definida y evita recopilar información que no sea necesaria.

Beneficio: Tener un mapa claro permite revisar políticas, procesos y sistemas con mayor precisión, reducir tratamientos innecesarios y detectar riesgos que requieren atención.

Etapa 2: Actualización de políticas de privacidad

La política de privacidad es uno de los principales mecanismos para informar a las personas sobre el tratamiento de sus datos. La Ley 21.719 establece que esta información debe mantenerse disponible de manera clara, completa y accesible.

• Publica una política de privacidad accesible desde tu sitio web, indicando su fecha y versión.

• Identifica al responsable del tratamiento, su representante legal cuando corresponda y un medio de contacto.

• Informa qué categorías de datos personales se tratan, sus finalidades y las bases de licitud que permiten su tratamiento.

• Informa, cuando corresponda, destinatarios, transferencias internacionales, fuentes de los datos y plazos de conservación.

• Explica cómo las personas pueden ejercer sus derechos y retirar su consentimiento cuando el tratamiento se base en él.

• Informa sobre decisiones automatizadas o elaboración de perfiles cuando corresponda.

Beneficio: Una política clara facilita que las personas entiendan cómo se utilizan sus datos y contribuye a una gestión más transparente de la información.

Etapa 3: Base de licitud y consentimiento

El consentimiento es una de las bases que pueden permitir el tratamiento de datos personales, pero no es la única. Dependiendo de la finalidad, el tratamiento también puede fundarse, por ejemplo, en la ejecución de un contrato, el cumplimiento de una obligación legal o un interés legítimo, cuando se cumplan las condiciones establecidas por la ley.

Cuando el tratamiento se base en consentimiento, la Ley 21.719 establece que este debe ser libre, informado, específico, previo e inequívoco.

• Identifica y documenta la base de licitud correspondiente a cada finalidad para la que utilizas datos personales.

• Distingue los datos necesarios para gestionar una compra o solicitud de aquellos utilizados para finalidades adicionales, como comunicaciones promocionales.

• Cuando corresponda solicitar consentimiento, utiliza mecanismos que permitan expresar claramente la voluntad de la persona y evita casillas preseleccionadas.

• Mantén evidencia que permita acreditar el consentimiento cuando esta sea la base utilizada.

• Ofrece un mecanismo sencillo para revocarlo.

Beneficio: Definir correctamente por qué se trata cada dato ayuda a ordenar los procesos y permite demostrar cómo se están cumpliendo las obligaciones asociadas a cada tratamiento.

Etapa 4: Seguridad y gestión de incidentes

La Ley 21.719 exige adoptar medidas técnicas y organizativas adecuadas para proteger los datos personales, considerando la naturaleza del tratamiento, los riesgos involucrados y el estado de la técnica.

• Implementa controles de acceso y otras medidas de seguridad acordes al nivel de riesgo.

• Evalúa medidas como cifrado o seudonimización cuando sean apropiadas para el tratamiento realizado.

• Define protocolos para detectar, evaluar, contener y documentar incidentes de seguridad.

• Establece responsables y procedimientos internos para determinar cuándo una vulneración debe ser comunicada a la Agencia de Protección de Datos Personales.

• Cuando corresponda según los casos establecidos por la ley, comunica también la vulneración a los titulares afectados.

• Mantén registro de las vulneraciones de seguridad y de las medidas adoptadas.

La ley establece que las vulneraciones que generen un riesgo razonable para los derechos y libertades de las personas deben ser comunicadas a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas.

Beneficio: Contar con medidas y protocolos definidos permite responder de manera más ordenada ante incidentes y reducir sus posibles consecuencias para las personas y el negocio.

Etapa 5: Derechos de los titulares

La Ley 21.719 reconoce a las personas derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo respecto de sus datos personales, de acuerdo con las condiciones establecidas para cada uno.

• Habilita un canal visible y fácil de utilizar para recibir solicitudes.

• Define mecanismos adecuados para verificar la identidad de quien realiza la solicitud.

• Asigna responsables internos para gestionar y responder los requerimientos.

• Establece procesos para localizar, rectificar, eliminar, portar o bloquear información cuando corresponda.

• Registra cada requerimiento y su resolución.

• Considera también los datos almacenados en proveedores y sistemas integrados que deban ser alcanzados por la solicitud.

Como regla general, el responsable debe pronunciarse sobre la solicitud dentro de 30 días corridos, plazo que puede prorrogarse una sola vez hasta por otros 30 días corridos en los casos establecidos por la ley. Algunas actuaciones, como determinadas solicitudes de bloqueo temporal, tienen plazos específicos.

Beneficio: Contar con un proceso definido facilita responder adecuadamente a las solicitudes y mantener trazabilidad sobre su gestión.

Etapa 6: Relación con proveedores

Un eCommerce puede depender de múltiples terceros para operar: plataformas tecnológicas, pasarelas de pago, operadores logísticos, herramientas de marketing, CRM, servicios de analítica y otras aplicaciones.

Cuando un proveedor trata datos personales por cuenta de tu empresa, es necesario determinar correctamente las responsabilidades de cada parte y regular esa relación de acuerdo con la ley.

• Identifica qué proveedores acceden o tratan datos personales y con qué finalidad.

• Revisa los contratos y acuerdos relacionados con el tratamiento de datos.

• Cuando corresponda a una relación entre responsable y encargado, establece contractualmente el objeto y duración del tratamiento, su finalidad, los tipos de datos y categorías de titulares involucrados, además de los derechos y obligaciones de las partes.

• Revisa las condiciones aplicables a subencargados y terceros que puedan participar del tratamiento.

• Identifica dónde se procesan los datos y evalúa las transferencias internacionales cuando existan.

• Define procedimientos para gestionar incidentes y solicitudes de derechos que involucren a proveedores.

Beneficio: Conocer cómo circulan los datos entre los distintos actores permite gestionar mejor los riesgos y responsabilidades asociados a la operación digital.

Etapa 7: Cultura y capacitación

La protección de los datos personales también depende de las personas y procesos que participan en su tratamiento. Por eso, la formación interna es una parte importante de la preparación.

• Capacita a los equipos que trabajan con datos personales, incluyendo marketing, TI, atención al cliente y logística.

• Genera protocolos claros y accesibles para las personas que intervienen en su tratamiento.

• Define responsabilidades internas para la gestión de datos, derechos e incidentes.

• Incorpora criterios de privacidad y protección de datos al evaluar nuevos procesos, herramientas e integraciones.

• Mantén evidencia de las políticas, procedimientos y acciones implementadas.

Beneficio: Incorporar la privacidad en los procesos cotidianos ayuda a reducir riesgos operativos y facilita una gestión consistente de los datos personales.

Fortalecimiento y posicionamiento

Prepararse para la Ley 21.719 requiere revisar cómo se gestionan los datos personales a lo largo de la operación del eCommerce: desde su recopilación y uso hasta su almacenamiento, protección y eventual eliminación.

Este roadmap permite abordar algunos de los principales frentes de preparación, pero cada organización deberá evaluar las obligaciones que le corresponden según los datos que trata, sus finalidades, los sistemas que utiliza y los riesgos asociados.

Además de avanzar hacia el cumplimiento regulatorio, este proceso puede ayudar a ordenar la gestión de datos, reducir tratamientos innecesarios y fortalecer la confianza de clientes y usuarios.

Con la entrada en vigencia de la Ley 21.719 el 1 de diciembre de 2026, el momento para revisar qué está resuelto y qué todavía requiere implementación es ahora.