Tu base de contactos, tus formularios de captura, tus flujos de automatización: todo eso opera sobre datos personales. La Ley 21.719 exige que cada uno tenga justificación, consentimiento y plazo. Esto es lo que hay que revisar.
Si haces email marketing en Chile, todo lo que lees a continuación te afecta directamente. No es una posibilidad futura. Es una fecha concreta: el 1 de diciembre de 2026, cuando entra en vigencia la Ley 21.719 de Protección de Datos Personales.
Este artículo no explica la ley en general. Eso ya lo cubrimos en el primer editorial de esta serie. Aquí vamos al detalle operacional: qué tienes que revisar, cambiar o eliminar en tu operación de email marketing antes de que la Agencia de Protección de Datos Personales (APDP) empiece a fiscalizar.
La base de datos con la que haces email marketing probablemente tiene contactos que llegaron de tres formas distintas: personas que compraron algo y dejaron su correo, personas que se registraron en un evento o descargaron un recurso, y personas que simplemente "estaban en una lista" que alguien heredó de un sistema anterior.
Bajo la LPDP, cada uno de esos contactos necesita una base legal que justifique que le envías correos. No basta con que hayan comprado una vez. No basta con que hayan dejado su correo en una feria hace tres años. La ley exige consentimiento específico, informado y demostrable.
¿Qué significa "demostrable" en la práctica? Que si la APDP te pregunta con qué permiso le enviaste un correo comercial a una persona, tienes que poder mostrar cuándo aceptó, qué aceptó exactamente, y cómo puede revocar ese permiso. Si no puedes, estás expuesto.
Si no puedes demostrar cuándo y cómo cada contacto aceptó recibir tus correos, esa base es una exposición legal, no un activo comercial.
Un formulario de contacto, un pop-up de suscripción, una landing page con descarga de contenido: todos capturan datos personales. Y bajo la LPDP, cada uno necesita cumplir requisitos que la mayoría no cumple hoy.
El consentimiento tiene que ser específico: no puede estar mezclado con la aceptación de términos y condiciones generales. Una casilla que dice "Acepto los términos y deseo recibir comunicaciones comerciales" no cumple, porque mezcla dos cosas distintas en un solo permiso.
Tiene que ser informado: la persona debe saber quién recopila sus datos, para qué los va a usar, cuánto tiempo los va a guardar y cómo puede pedir que los eliminen. Un formulario que pide nombre y correo sin explicar nada de esto es un formulario que no cumple.
Y tiene que ser libre: no puedes condicionar el acceso a un servicio o contenido a que la persona acepte recibir publicidad. Si tu landing dice "descarga el ebook gratis" pero obliga a suscribirse a la newsletter para acceder, eso no es consentimiento libre bajo la LPDP.
Si usas automatización de email marketing (y si estás leyendo esto, probablemente la usas), cada flujo que tienes activo opera sobre datos personales. Cada disparador, cada segmento dinámico, cada secuencia de nutrición usa información que la LPDP ahora regula con reglas específicas.
Los flujos más expuestos son los que se disparan por comportamiento: "si visitó la página de precios, enviar correo de seguimiento". Ese tipo de automatización usa datos de navegación, que son datos personales bajo la ley. Si la persona no consintió explícitamente a que su comportamiento en tu sitio web activara comunicaciones comerciales, ese flujo no tiene base legal.
Lo mismo pasa con los segmentos basados en historial de compras, en ubicación geográfica, en datos demográficos inferidos. Cada segmento necesita una justificación. Y "siempre lo hemos hecho así" no es una justificación.
El email marketing es el canal más visible, pero no es el único que opera sobre datos personales sin protocolo claro.
El WhatsApp corporativo es el más expuesto después del email. Los equipos comerciales comparten datos de clientes en chats sin control, sin política de retención, y sin que el área de TI tenga visibilidad sobre lo que se envía o se guarda. Si un vendedor se va de la empresa y se lleva su teléfono, ¿qué pasa con esos contactos? Bajo la LPDP, la empresa sigue siendo responsable.
Las planillas Excel dispersas son otro foco. Cada jefe de área tiene su propio archivo con datos de clientes "para el día a día". Esas planillas viajan por correo, se guardan en escritorios, se comparten sin control. Son el tipo de brecha que la APDP va a encontrar fácil.
Y los servicios en la nube no declarados que los equipos adoptan por su cuenta, un Google Drive compartido, un Notion con bases de contactos, un Trello con datos de prospectos, también cuentan. La ley dice que tu empresa es responsable de lo que tus proveedores y sistemas externos hacen con los datos que les confías.
Los datos no controlados fuera de sistemas formales son la primera fuente de exposición bajo la LPDP.
No es un proyecto de un día, pero tampoco es un proyecto infinito. Las empresas que empiezan ahora tienen tiempo suficiente para poner su operación de marketing en orden. Las que dejan esto para noviembre van a llegar corriendo a firmar papeles, igual que les pasó a las empresas en España y Brasil cuando entraron en vigencia leyes similares.
El primer paso es saber qué tienes. Un inventario real de todos los datos personales que maneja tu operación de marketing: dónde están, cómo llegaron, con qué permiso, cuánto tiempo los has guardado. A partir de ahí, cada dato tiene tres caminos posibles:regularizarlo (si lo necesitas pero te falta el consentimiento), limitarlo (si lo tienes por más tiempo del necesario) o eliminarlo (si no deberías tenerlo).
Lo segundo es ajustar la operación hacia adelante: formularios que cumplan, flujos con base legal documentada, políticas de retención con plazos reales, mecanismos de baja que funcionen. Eso no paraliza tu marketing. Lo hace más limpio, más eficiente y, según lo que hemos visto con clientes, más efectivo: las bases limpias convierten mejor que las bases infladas.
En FLAMA trabajamos con empresas que necesitan adaptar su operación de marketing a la LPDP sin dejar de operar. Auditamos la base, ajustamos los flujos, rediseñamos los formularios y documentamos todo para que el equipo pueda demostrar cumplimiento cuando se lo pidan. No somos abogados. Somos la consultora de marketing que entiende lo que la ley exige de tu operación comercial.
Treinta minutos en directo. Diagnosticamos qué parte de tu sistema comercial u operacional va a colapsar primero si el negocio empieza a crecer.
Agendar diagnóstico