Diciembre cambia las reglas de los datos que guarda tu negocio

La Ley 21.719 para pymes entra en vigencia el 1 de diciembre de 2026 y cambia las reglas chilenas sobre protección de datos personales. Una pyme que usa WordPress, WooCommerce, Analytics, un CRM o WhatsApp ya recopila información todos los días. El problema comienza cuando nadie puede explicar qué guarda, para qué lo usa, dónde termina ni quién puede verlo.

Prepararse no consiste en copiar una política de privacidad o instalar un banner de cookies. Consiste en ordenar procesos, proveedores y decisiones que muchas veces crecieron sin un diseño común. Esta guía traduce la nueva ley a preguntas operativas para una pyme digital. No reemplaza la revisión de un abogado ni determina la base jurídica adecuada para cada negocio; sirve para detectar brechas y llegar mejor preparado a esa revisión.

La ley mira el sistema completo y no solamente tu formulario

La Ley 21.719 define como dato personal cualquier información vinculada o referida a una persona natural identificada o identificable. Además de nombre, teléfono, correo y dirección, puede abarcar identificadores y registros que permitan reconocer a alguien.

La empresa que decide para qué y cómo se usarán es el responsable del tratamiento, aunque participe un proveedor. Contratar hosting, email marketing, CRM, una pasarela o un chatbot no traslada automáticamente toda la responsabilidad.

La ley incorpora principios de licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. En términos prácticos, una pyme debería ser capaz de responder cuatro preguntas por cada dato que conserva:

• ¿Para qué lo recopilamos?
• ¿Qué fundamento permite usarlo para esa finalidad?
• ¿Quiénes pueden acceder y a qué proveedores se comunica?
• ¿Cuándo se elimina, anonimiza o deja de utilizar?

La regulación reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Ante una solicitud válida, el responsable debe acusar recibo y pronunciarse dentro de treinta días corridos, prorrogables una vez. Una política sin un procedimiento para localizar y corregir datos será insuficiente.

El primer trabajo es dibujar por dónde viajan los datos

Antes de comprar plugins o redactar documentos, crea un inventario. Una planilla puede registrar canal, datos recogidos, finalidad, fundamento utilizado, almacenamiento, accesos, proveedores y plazo de conservación.

Este mapa revela duplicados. Un lead puede quedar en WordPress, correo, CRM y Excel. Ante una solicitud de acceso o supresión, alguien deberá localizar cada copia y saber cuáles deben conservarse legalmente.

Los formularios necesitan una finalidad concreta

Un formulario de contacto no debería pedir fecha de nacimiento, RUT o dirección si basta con un nombre y un medio de respuesta. El principio de proporcionalidad exige limitar los datos a lo necesario, adecuado y pertinente para la finalidad informada.

También hay que separar acciones distintas. Responder una cotización no equivale a incorporar a la persona a una campaña. Para marketing, el negocio debe definir el fundamento aplicable, informarlo y conservar evidencia. Si utiliza consentimiento, debe ser previo, libre, informado, específico e inequívoco, y revocable mediante un mecanismo expedito y gratuito.

En WordPress hay que revisar algo menos visible: muchos plugins guardan envíos dentro de la base de datos aunque el mensaje también llegue por correo. Otros registran IP, trazas antispam o copias de archivos. Desactivar un plugin no elimina necesariamente esos registros.

WooCommerce concentra más información de la que muestra el pedido

Una tienda puede tratar datos necesarios para ejecutar una compra, cumplir obligaciones tributarias, cobrar y despachar. La ley contempla fundamentos distintos del consentimiento, entre ellos la ejecución de un contrato y el cumplimiento de una obligación legal. Eso significa que no todo se resuelve agregando casillas de aceptación, ni que todos los datos puedan borrarse de inmediato si existe un deber de conservación aplicable.

Documenta cada finalidad. El correo puede ser necesario para confirmar el pedido, pero usarlo después en publicidad es otra decisión. La dirección puede requerirse para despachar, pero no para un producto digital. Los documentos tributarios y registros de pago tienen obligaciones específicas.

Revisa quién recibe información desde WooCommerce: hosting, pasarela, facturación, logística, email, soporte y desarrolladores. El contrato con un tercero encargado debe establecer objeto, duración, finalidad, tipos de datos, categorías de titulares y obligaciones. El acuerdo de tratamiento de datos de SuperPyme muestra por qué esta relación debe ser explícita.

Un banner de cookies no arregla una implementación que nadie conoce

Analytics, Meta Pixel, Google Ads, mapas, videos embebidos y herramientas de chat pueden enviar identificadores y eventos a terceros. Antes de decidir cómo gestionarlos, hay que saber cuáles están activos. En sitios antiguos es habitual encontrar el mismo píxel instalado por el tema, un plugin y Google Tag Manager, generando datos duplicados y una exposición innecesaria.

No todas las cookies cumplen la misma función. El negocio debe determinar el fundamento de cada tratamiento. Si se apoya en consentimiento, debe cumplir las condiciones legales y permitir retirarlo con facilidad equivalente. Un botón “aceptar” después de cargar etiquetas publicitarias no demuestra por sí mismo consentimiento previo e informado.

La política debe ser accesible, estar versionada e identificar categorías de datos, finalidades, destinatarios, fundamento, conservación y transferencias internacionales. La configuración técnica debe coincidir con el documento. Cambiar Analytics, Meta o añadir grabación de sesiones exige actualizar el inventario y la información al usuario.

El CRM y WhatsApp no son una zona aparte

WhatsApp puede empezar como conversación y terminar como base comercial. Número, chat, archivos, comuna, presupuesto, pedidos y etiquetas pueden quedar repartidos entre celulares, una bandeja, el proveedor del bot y el CRM.

Que el cliente escriba primero no resuelve todo. Atender una solicitud, informar un pedido, elaborar un perfil y enviar promociones no son necesariamente el mismo tratamiento. La guía de SuperPyme sobre automatización de WhatsApp Business explica cómo ordenar flujos; la capa de datos debe diseñarse al mismo tiempo.

Si un chatbot usa IA, revisa quién procesa las conversaciones, si conserva registros, si los usa para mejorar modelos y cómo se eliminan. Para decisiones automatizadas con efectos jurídicos significativos, la ley contempla información, explicación, intervención humana y revisión. Informar horarios no presenta el mismo riesgo que aceptar o rechazar una solicitud.

La seguridad debe poder demostrarse

La Ley 21.719 exige medidas apropiadas al riesgo, considerando tecnología disponible, costos, naturaleza de los datos y características del tratamiento. Para una pyme con WordPress y WooCommerce, una base razonable incluye actualizaciones controladas, autenticación de dos factores, accesos por función, respaldos restaurables, cifrado cuando corresponda, registros de actividad, eliminación de usuarios antiguos y revisión de las copias utilizadas en desarrollo.

La mantención de WordPress forma parte de esa disciplina, pero seguridad y cumplimiento no son sinónimos. Un sitio actualizado puede conservar datos sin finalidad; una política impecable puede convivir con cuentas compartidas y respaldos expuestos.

También hace falta un plan de incidentes. Si una vulneración causa destrucción, filtración, pérdida, alteración o acceso no autorizado y existe riesgo razonable para las personas, debe reportarse a la Agencia sin dilaciones indebidas. Hay que registrar efectos, datos y afectados aproximados, además de las medidas. En ciertos casos también corresponde avisar a los titulares.

Un plan realista para llegar a diciembre

1. Nombra un responsable interno. Alguien debe coordinar decisiones y mantener el inventario.
2. Levanta los tratamientos. Revisa WordPress, WooCommerce, correo, CRM, WhatsApp, planillas, respaldos, analítica y ambientes de prueba.
3. Asigna finalidad y fundamento. Distingue consentimiento, contrato, obligación legal, interés legítimo y otras bases con apoyo profesional.
4. Reduce lo innecesario. Elimina campos, plugins, exportaciones, usuarios y copias sin necesidad vigente.
5. Revisa proveedores. Identifica ubicación, subencargados, gestión de incidentes y destino de los datos al terminar.
6. Publica información coherente. La política de privacidad, los avisos y la configuración deben contar la misma historia.
7. Habilita derechos. Define canal, validación de identidad, búsqueda, corrección, registro y plazos.
8. Prueba un incidente. Simula una cuenta perdida o una exportación filtrada y comprueba la respuesta.

La ley contempla estándares diferenciados según datos, tamaño, actividad, volumen y finalidad. También establece amonestaciones y multas con topes de 5.000, 10.000 o 20.000 UTM según gravedad, medidas correctivas y un registro público. El objetivo es evitar que el primer inventario se haga después de una denuncia o filtración.

La mejor preparación empieza con una pregunta incómoda

¿Podría tu empresa explicar hoy el recorrido completo de los datos de un cliente? Si la respuesta depende de revisar cinco plugins, preguntarle al desarrollador y buscar una planilla antigua, ya existe una tarea pendiente.

La Ley 21.719 convierte la privacidad en práctica operativa: recopilar menos, informar mejor, limitar accesos, ordenar proveedores y responder derechos. La tecnología, los contratos y la comunicación deben decir lo mismo.

Si tu WordPress, WooCommerce o automatización creció sin ese mapa, SuperPyme puede realizar una auditoría técnica de formularios, etiquetas, bases, integraciones y accesos. Después, un profesional jurídico puede definir la interpretación y los documentos adecuados. Revisa nuestros planes para sitios WordPress o las opciones de automatización de WhatsApp según el canal que necesites ordenar.

Fuentes oficiales

• Texto de la Ley 21.719 en la Biblioteca del Congreso Nacional.
• Publicación de la Ley 21.719 en el Diario Oficial.
• Guía práctica de implementación de la Secretaría de Gobierno Digital. La guía está dirigida a la Administración del Estado, pero su metodología de inventario, hallazgos, políticas y protocolos es una referencia útil para organizar el trabajo.

Contenido informativo actualizado en agosto de 2026. No constituye asesoría jurídica ni reemplaza la revisión de las obligaciones específicas de cada empresa, industria o tratamiento de datos.

Escrito por superpyme.cl

Compartimos guías claras para que tu pyme tome mejores decisiones digitales.