La Ley 21.719 también aplica a tu WhatsApp
Si atiendes a tus clientes por chat, estás tratando datos personales. La ley dice qué queda fuera de ella, y atender clientes no está en esa lista.
Qué cambia el 1 de diciembre de 2026
La Ley 21.719 reemplaza el marco de protección de datos que regía en Chile desde 1999 y crea la Agencia de Protección de Datos Personales, un organismo autónomo que puede investigar por iniciativa propia, aplicar multas, ordenar la suspensión de operaciones de tratamiento y publicar un registro de sanciones.
El cambio de fondo no es que ahora haya reglas. Es que ahora hay alguien encargado de hacerlas cumplir, y que las personas pasan a tener derechos que pueden ejercer directamente contigo: pedirte los datos que tienes de ellas, corregirlos, llevárselos o hacer que los borres.
Y aplica sin importar el tamaño de tu empresa. Lo que cambia según el tamaño es la sanción durante el primer año, no la obligación.
Lo que tienes que poder hacer
Diez obligaciones, en el orden en que suelen aparecer en un negocio que atiende por chat. Las que citan artículo salen del texto de la ley.
Consentimiento explícito
Antes de escribirle a alguien con fines comerciales necesitas su autorización expresa y libre. La firma de un contrato genérico no alcanza.
Mecanismo de baja
La persona puede oponerse a que trates sus datos y pedirte que dejes de escribirle, en cualquier momento (artículo 8).
Trazabilidad
Tienes que poder demostrar quién trató esos datos, con qué autorización y por cuánto tiempo.
Acceso y rectificación
Si alguien te pide ver los datos que tienes de él, o corregirlos porque están errados o desactualizados, tienes que poder hacerlo (artículos 5 y 6).
Supresión
Si te piden que borres sus datos, tienes que poder hacerlo dentro del plazo que fija la ley y dejar constancia de que lo hiciste (artículo 7).
Portabilidad
La persona puede pedirte sus datos en un formato que le sirva para llevárselos a otro lado.
Bloqueo del tratamiento
Mientras resuelves una solicitud de rectificación o supresión, la persona puede pedirte que suspendas temporalmente el uso de sus datos (artículo 8 ter).
Control de acceso
No cualquiera de tu equipo debería poder ver los datos de todos tus clientes. Y tienes que poder demostrar quién vio qué.
Medidas de seguridad
Tienes que adoptar medidas para proteger los datos que guardas, no solo tenerlos (artículo 14 quinquies).
Aviso de vulneraciones
Si esas medidas se vulneran y los datos quedan expuestos, hay que reportarlo ante la Agencia (artículo 14 sexies).
Cuatro cosas que la app de WhatsApp no puede hacer
No es un defecto de WhatsApp. La aplicación fue diseñada para conversar, no para demostrarle a una autoridad cómo tratas los datos de tus clientes.
Todos ven todo
La aplicación de WhatsApp Business no tiene roles ni permisos. Cualquiera con acceso al teléfono ve las conversaciones de todos tus clientes, y no queda registro de quién entró.
No sabes quién respondió
No hay asignación de conversaciones. Si dos personas contestan el mismo chat, el cliente recibe mensajes duplicados y tú no puedes reconstruir quién atendió qué.
El historial vive en el aparato
Si el teléfono se pierde, se rompe o se va con quien renunció, se van los datos de tus clientes con él. Eso es una filtración de datos personales y hay que avisarla.
No puedes responder una solicitud
Cuando alguien te pida que borres sus datos o que se los entregues, no hay forma de sacar solo los suyos ni de emitir una constancia de que lo hiciste.
Cómo se ve la diferencia
El teléfono del negocio
- Un aparato con todas las conversaciones
- Todos los que lo usan ven todo
- No queda registro de quién atendió
- Los datos se van si el teléfono se va
- Borrar los datos de una persona significa borrar el chat, sin constancia
Una plataforma de atención
- El número es de la empresa, no de una persona
- Cada quien entra con su usuario y ve lo que le corresponde
- Queda registrado quién respondió y cuándo
- El historial no depende de ningún aparato
- Los datos de un cliente se pueden buscar, exportar y borrar por separado
Con SurGira llegas en regla
SurGira es la plataforma de atención por WhatsApp que deja tu operación ordenada como la ley la pide. El número es de la empresa y no de una persona. Cada quien entra con su usuario y ve solo lo que le corresponde. Queda registrado quién respondió cada conversación y cuándo. Y el historial vive en la plataforma, así que no se pierde ni se va con nadie.
Sobre esa base va el resto de lo que la ley exige: el registro del consentimiento de cada cliente, la baja cuando alguien pide dejar de recibir mensajes, y el borrado con constancia cuando alguien ejerce su derecho de supresión.
Si implementas ahora, llegas al 1 de diciembre de 2026 con todo funcionando. Ese es el compromiso, y por eso conviene partir con tiempo y no en noviembre.
La primera conversación no es sobre software. Es sobre qué datos tienes hoy, dónde están y quién los ve. Esa media hora suele ordenar más que cualquier demo.
Preguntas frecuentes
¿Desde cuándo rige la Ley 21.719 en Chile?
Desde el 1 de diciembre de 2026. La ley fue publicada el 13 de diciembre de 2024 y su artículo primero transitorio difiere la entrada en vigencia hasta el primer día del mes vigésimo cuarto posterior a la publicación, que es esa fecha. Reemplaza el marco de la Ley 19.628, que regía desde 1999, y crea la Agencia de Protección de Datos Personales, que además administra un Registro Nacional de Sanciones y Cumplimiento, público, electrónico y de acceso gratuito.
¿Me afecta si solo atiendo a mis clientes por WhatsApp?
Sí, y conviene ver por qué. El artículo 1° define el objeto de la ley y también dice qué queda excluido, que son dos cosas: el tratamiento que se hace ejerciendo las libertades de opinión e información, o sea los medios de comunicación, y el que efectúan las personas naturales en relación con sus actividades personales, por ejemplo en sus redes sociales. Atender clientes de un negocio no está en ninguna de las dos. Y el artículo 2° define dato personal como cualquier información vinculada o referida a una persona natural identificada o identificable, lo que incluye el nombre y el teléfono de quien te escribe.
Uso mi teléfono personal para el negocio, ¿eso me deja fuera?
No. La exclusión de las actividades personales del artículo 1° se refiere a lo que haces como persona, no a la atención de tu negocio desde un aparato que además es tuyo. Lo que define si te aplica la ley no es de quién es el teléfono, sino para qué usas los datos. Si el intercambio es comercial, es tratamiento de datos y te aplica. Y en la práctica ese caso es el más expuesto de todos, porque los datos de tus clientes quedan mezclados con los tuyos en un aparato que nadie audita.
¿La ley prohíbe usar WhatsApp para atender clientes?
No, no lo prohíbe. Lo que exige es que puedas cumplir y demostrar ciertas cosas: que tienes el consentimiento, que la persona puede darse de baja, que sabes quién trató sus datos, y que puedes borrarlos si te lo piden. La aplicación común de WhatsApp Business no fue diseñada para eso, así que cumplir con ella es difícil y demostrarlo es prácticamente imposible.
Soy una empresa chica, ¿la ley me trata igual?
La obligación es la misma, sin importar el tamaño. Lo que cambia es el techo de la sanción: las infracciones leves pueden resolverse con amonestación escrita o con multa de hasta 5.000 UTM, mientras que el cálculo sobre la facturación anual, entre 2% y 4%, la ley lo reserva para las grandes empresas, entendidas como las que no califican como empresa de menor tamaño según la ley 20.416. Ser chico baja el monto posible, no te saca de la ley.
¿De cuánto son las multas?
El artículo 35 fija tres niveles: infracciones leves con amonestación escrita o multa de hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM. Hay dos agravantes que conviene conocer: si no implementas las medidas que la Agencia te indique dentro de 60 días, la multa lleva un recargo del 50%, y en caso de reincidencia la Agencia puede aplicar hasta tres veces el monto. Para las grandes empresas, la sanción puede calcularse como 2% de los ingresos anuales si la infracción es grave, o 4% si es gravísima.
¿Qué pasa con los datos de salud o las huellas digitales?
Tienen reglas propias y más estrictas. La ley trata los datos personales sensibles con una norma general en el artículo 16, una específica para los que se vinculan con la salud y el perfil biológico humano en el artículo 16 bis, y una dedicada a los datos biométricos en el artículo 16 ter. Hay además reglas especiales para datos de niños, niñas y adolescentes (artículo 16 quáter) y para geolocalización (artículo 16 sexies). Si tu negocio atiende pacientes o controla la asistencia de tu equipo con huella, este punto te toca de lleno y conviene revisarlo con un abogado.
¿Cuánto tarda ponerse al día?
Los especialistas del área estiman entre seis y doce meses para una adecuación seria, sobre todo porque el primer paso es saber qué datos tienes y dónde están. Una encuesta de PwC Chile a 87 gerentes y ejecutivos encontró que solo el 13% se consideraba muy preparado y que el 74% no tenía visibilidad completa de sus tratamientos de datos. Si estás leyendo esto, ya estás mejor que ese 74%.
¿Por dónde conviene empezar?
Por saber dónde están tus datos. En la mayoría de los negocios que atienden por chat, la respuesta es "en el teléfono de alguien", y ese es exactamente el problema. Centralizar la atención en una plataforma con usuarios, permisos e historial propio resuelve de una vez la trazabilidad, el control de acceso y la continuidad, que son tres de las diez obligaciones.
De dónde sale cada dato
Las cifras, los plazos y los números de artículo de esta página salen del informe oficial de la Biblioteca del Congreso Nacional sobre la ley. Lo que proviene de análisis de especialistas o de encuestas de la industria está dicho como tal en el texto, y lo puedes verificar acá.
- BCN — Descripción y síntesis de la ley N° 21.719 (Informe Serie N° 12-25)Fuente oficial. De acá salen la escala de sanciones del artículo 35, los derechos de los artículos 5 a 8 ter, la fecha de vigencia del artículo primero transitorio, el recargo del 50% a los 60 días, la regla de reincidencia y el porcentaje sobre ingresos para grandes empresas.
- BCN Ley Chile — texto oficial de la Ley 21.719El texto completo y actualizado de la ley, para consultar cualquier artículo directamente.
- Ley 20.416 — Estatuto de las empresas de menor tamañoDefine qué se entiende por empresa de menor tamaño, que es la distinción que usa la Ley 21.719 para el cálculo de multas sobre la facturación.
- Ferrada Nehme — Datos biométricos en la relación laboralAnálisis especializado sobre biometría, consentimiento y control de asistencia bajo el nuevo marco.
- Factor — Estado de preparación de las empresas chilenasRecoge la encuesta de PwC Chile a 87 gerentes y ejecutivos que se cita en las preguntas frecuentes.
Esta página es informativa y no constituye asesoría legal. Fue revisada en agosto de 2026 contra las fuentes de arriba. La ley entra en vigencia el 1 de diciembre de 2026 y sus reglamentos pueden precisar algunos puntos, así que para decisiones de cumplimiento en tu empresa consulta con un abogado.