Ley 21.719 para eCommerce: cookies, datos y clientes

Tu tienda online ya trata datos personales, aunque no lleves un “registro” formal de ellos: el banner de cookies, el píxel de Meta, Google Analytics, el carrito que guarda dirección y RUT, la lista de correos para tus campañas. La Ley 21.719 —la nueva ley de protección de datos de Chile, con vigencia plena el 1 de diciembre de 2026— cambia las reglas para todo eso. Y para un eCommerce, que vive de capturar, segmentar y reimpactar clientes, el impacto es directo.

Esta guía traduce la Ley 21.719 para eCommerce a lo concreto: qué datos tratas sin darte cuenta, cómo quedan las cookies y el remarketing, qué pasa con las bases de clientes que ya tienes y qué exige la ley cuando ese dato termina en un servidor fuera de Chile. Sin tecnicismos y con los pasos para llegar a diciembre en regla.

¿Recién partiendo con la ley? Parte por la guía de la Ley 21.719 para pymes. Si quieres saber en minutos qué le falta a tu tienda, usa el test gratuito de cumplimiento.

Qué le cambia la Ley 21.719 a tu eCommerce

La ley aplica apenas tratas datos que identifican o hacen identificable a una persona. En un eCommerce eso es casi todo: nombre, RUT, correo, teléfono y dirección de despacho; pero también la IP, el identificador de dispositivo, las cookies y el historial de navegación y compra. Que no pidas el nombre no significa que no trates datos personales: una cookie que sigue a la misma persona entre visitas es dato personal.

La Ley 21.719, que reforma la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales, exige que cada tratamiento tenga una base de licitud: consentimiento, ejecución de un contrato, obligación legal o interés legítimo, entre otras. Traducido a tu tienda: procesar el pago y despachar el pedido se apoya en el contrato; perseguir a un visitante con anuncios, no.

Cookies y píxeles: el consentimiento dejó de ser un banner de adorno

El banner que solo dice “usamos cookies, sigue navegando” ya no sirve. La Ley 21.719 exige un consentimiento libre, informado, específico e inequívoco, dado por una acción afirmativa. Para tu tienda eso significa cuatro cosas:

• Nada de casillas premarcadas ni “consentimiento por seguir navegando”. El usuario acepta activamente o no hay permiso.
• Consentimiento granular. Separar las cookies necesarias (que no requieren permiso) de las de analítica, publicidad y remarketing (que sí).
• Tan fácil rechazar como aceptar, y poder retirar el permiso cuando quiera, con un mecanismo siempre disponible.
• Informar de verdad: qué hace cada cookie, cuánto dura y con qué terceros se comparte.

En la práctica, esto obliga a un modelo opt-in con privacidad por defecto —la misma línea que el SERNAC ya recomendaba para los banners de cookies—. Y hay un detalle que casi todos olvidan: el píxel y las etiquetas no deben dispararse hasta que la persona consienta. Un banner bonito que igual carga Meta Pixel y Google Ads al entrar no cumple: el dato ya salió.

Remarketing y perfilamiento: consentimiento o interés legítimo

El remarketing —volver a mostrarle a alguien el producto que miró— se apoya en seguir su comportamiento y armar perfiles. Bajo la Ley 21.719 eso necesita una base clara. Para la publicidad personalizada con terceros (Meta, Google), la base realista es el consentimiento: sin él, cargar el píxel y construir audiencias es tratamiento sin permiso.

El interés legítimo es una base nueva y útil, pero no es un comodín. Sirve, por ejemplo, para recomendar productos a tus propios clientes dentro de la relación comercial, y exige un análisis de ponderación documentado (que tu interés no pase por encima de los derechos de la persona). No cubre datos sensibles ni el rastreo publicitario de terceros.

Y hay un límite que aplica siempre: la persona puede oponerse al marketing directo y al perfilamiento (artículo 8 bis). Si alguien dice “no me sigan con anuncios”, tienes que poder apagar ese tratamiento para esa persona. Es uno de los derechos ARCO que tu web debe implementar con un canal real, no un correo que nadie revisa.

Tus bases de clientes: de dónde salieron y qué puedes hacer con ellas

Aquí está el riesgo más silencioso de un eCommerce: la base de correos. La pregunta que hará la fiscalización no es cuántos contactos tienes, sino de dónde salió cada uno y con qué finalidad lo capturaste.

• Listas compradas o importadas sin consentimiento del titular: no las puedes usar para campañas. El envío masivo “a ver quién compra” se acabó.
• Finalidad específica. Si pediste el correo para emitir la boleta, no puedes asumir que autorizó recibir promociones. Marketing es otra finalidad.
• Plazo de conservación. No puedes guardar datos “para siempre por si acaso”: defines cuánto los conservas y luego los eliminas.
• Consentimiento demostrable. Tienes que poder probar cuándo y cómo la persona aceptó (checkbox con fecha, doble opt-in). “Confía en mí” no es evidencia.

Ordenar esto no es solo cumplir: una base limpia y segmentada con permiso rinde más que una lista inflada que termina en la carpeta de spam. Es la misma lógica del checklist de adecuación a la Ley 21.719: lo que puedes demostrar, existe; lo que no, es riesgo.

Cuando el dato cruza la frontera: Meta, Google y tu proveedor de mailing

Casi ningún eCommerce chileno procesa todo “en casa”. Tu píxel manda datos a Meta, tu analítica a Google, tus campañas a una plataforma de email —muchas con servidores en EE.UU.—. La Ley 21.719 mira dos cosas al mismo tiempo:

1. Son encargados de tratamiento. Cada proveedor que trata datos por ti necesita un contrato de encargo (DPA) que fije qué puede hacer con esos datos y qué no.
2. Es una transferencia internacional. Sacar datos de Chile se permite si el país de destino tiene un nivel adecuado de protección, o si hay garantías apropiadas (las cláusulas contractuales tipo que publicará la Agencia, reglas corporativas vinculantes), o con consentimiento expreso, o porque es necesario para el contrato.

No tienes que dejar de usar Meta ni tu plataforma de mailing. Tienes que saber qué proveedor toca cada dato, tener el contrato que corresponde y poder explicarlo. Ese mapa —qué dato entra, en qué herramienta termina, quién lo procesa y cuánto dura— es justo lo que la ley espera que tengas ordenado.

Qué arriesgas y cómo adecuar tu tienda antes de diciembre 2026

Las infracciones de la Ley 21.719 se clasifican en tres niveles, con multas en UTM: leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM (tratamiento ilícito de datos sensibles). En reincidencia pueden triplicarse, y la Agencia puede llegar a suspender el tratamiento. Hay un respiro acotado: durante los primeros 12 meses, a las empresas de menor tamaño se les puede aplicar una amonestación por escrito en vez de multa —pero queda registrada—. El detalle fino está en cuánto arriesga realmente tu pyme.

La buena noticia: adecuar un eCommerce es acotado si lo haces por partes. Un plan realista:

1. Mapea tus datos y cookies. Qué capturas, dónde vive y quién lo procesa. Ese inventario es la base de todo.
2. Cambia el banner a opt-in real, con consentimiento granular y bloqueo de píxeles hasta aceptar (vía tu gestor de etiquetas).
3. Revisa la base de correos: separa lo que tiene consentimiento demostrable y limpia lo que no.
4. Actualiza formularios y política de privacidad: finalidad clara y checkbox con registro de fecha.
5. Habilita el canal ARCO para acceso, oposición y supresión, con trazabilidad.
6. Firma los contratos de encargo con tus proveedores y ordena las transferencias.

Nada de esto exige rehacer la tienda. Buena parte se resuelve en la capa de configuración y en un par de integraciones —el mismo trabajo que hacemos al construir o adecuar un eCommerce y al ordenar operaciones de retail y comercio electrónico.

Llega a diciembre con tu tienda en regla

La Ley 21.719 no busca cerrar tiendas: busca que sepas qué datos tratas y que puedas demostrarlo. Para un eCommerce son tres frentes concretos —cookies con consentimiento real, bases de clientes con permiso y trazabilidad, y proveedores con contrato— más un canal para responderle al cliente.

En Softdigital ayudamos a tiendas chilenas a resolver su adecuación a la Ley 21.719 sin frenar las ventas: banner opt-in, formularios con consentimiento, canal ARCO y las integraciones para que todo quede trazable. Parte por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso y con propuesta a precio fijo en menos de 24 horas.