Ley 21.719 para ecommerce y retail: qué te obliga en serio
Actualizado el
Un ecommerce en Chile trata datos de clientes a gran escala, así que la Ley 21.719 le obliga a dos cosas concretas: firmar un DPA (contrato de encargo) con cada proveedor que toca esos datos (pasarela de pago, plataforma de marketing, courier y logística, analítica) y evaluar una EIPD por el volumen de clientes y el perfilamiento de compra (art. 15 ter). A eso se suma el consentimiento de cookies y trazadores: el banner por sí solo no basta, debe permitir aceptar o rechazar y dejar registro de la elección. La falta de DPA con proveedores es la brecha más frecuente del retail, y se remedia firmando, no cambiando de software. La ley rige desde el 1 de diciembre de 2026, sin gracia automática para empresas sobre 100.000 UF. Parta por mapear sus proveedores y cerrar los contratos: el Pack Remediación DPA cubre esa parte, y la EIPD ordena el resto del cumplimiento.
El art. 15 ter exige una evaluación de impacto cuando el tratamiento se realiza a gran escala o implica perfilamiento, supuestos habituales en un ecommerce por el volumen de clientes y el análisis de su comportamiento de compra.
Por qué un ecommerce es, por defecto, un tratamiento a gran escala
Una tienda online no procesa datos de forma ocasional. Registra clientes, guarda direcciones, historial de compras, medios de pago tokenizados, comportamiento de navegación y, muchas veces, datos que la ley chilena clasifica como sensibles, como la situación socioeconómica que se infiere del carrito o de la scoring crediticia.
Ese volumen y ese perfilamiento son exactamente los criterios que la Ley 21.719 usa para elevar tus obligaciones. No es que el retail tenga una ley distinta: es que casi todo ecommerce cae en las categorías de mayor exigencia por su propia operación.
- Datos de identificación y contacto de miles o millones de clientes.
- Datos de pago y facturación (aunque la pasarela los tokenice).
- Perfilamiento y recomendación automatizada de productos.
- Datos que pueden ser sensibles (situación socioeconómica, salud en pharma/óptica).
El gap más común: faltan los DPA con tus proveedores
La sorpresa para casi todos los ecommerce no es la política de privacidad del sitio. Es que decenas de proveedores externos tratan datos de tus clientes en tu nombre y no hay un contrato de encargo (DPA) que lo regule. La ley te hace responsable de esa cadena.
Piensa en cuántos servicios reciben datos personales de tu tienda: la pasarela de pago, el ERP, el proveedor de email marketing, el CRM, la herramienta de reviews, el pixel de publicidad, el courier que recibe nombre, dirección y teléfono para cada despacho. Cada uno de ellos necesita su DPA firmado.
El Pack Remediación DPA inventaría tus proveedores, identifica cuáles tratan datos y cierra los contratos que faltan, incluida la exigencia de trasferencia internacional cuando el proveedor está fuera de Chile.
Cookies y consentimiento: no basta con el banner
El banner de cookies que copiaste del template europeo no te cumple por sí solo. La Ley 21.719 pide una base de licitud clara para cada tratamiento y consentimiento libre e informado cuando corresponde, sobre todo para marketing, remarketing y perfilamiento.
En la práctica esto significa separar lo estrictamente necesario para operar la tienda de lo que requiere consentimiento previo, poder acreditar ese consentimiento y ofrecer una vía real para retirarlo y ejercer los derechos ARCO. Un pixel de publicidad que se dispara antes de que el usuario acepte es un problema concreto, no teórico.
¿Necesitas una EIPD?
La Evaluación de Impacto (EIPD, art. 15 ter) es obligatoria cuando el tratamiento es de alto riesgo: gran escala, datos sensibles, decisiones automatizadas o perfilamiento significativo. Un ecommerce mediano o grande suele gatillar al menos uno de esos criterios.
No es un trámite estético. No hacerla cuando corresponde es una infracción grave. Antes de encargarla conviene confirmar si realmente aplica a tu operación: eso es lo que resuelve necesito una EIPD, y si aplica, el EIPD Express la ejecuta a precio fijo.
Un punto importante: el DPO (delegado de protección de datos) no es obligatorio en Chile. El art. 50 dice que la empresa podrá designarlo, y solo se vuelve exigible si adoptas voluntariamente un Modelo de Prevención de Infracciones. No te dejes vender un DPO como si la ley lo impusiera.
Qué hacer antes del 1 de diciembre de 2026
La fecha de entrada en vigencia es firme y no hay periodo de gracia para empresas sobre 100.000 UF de ingresos. El orden sensato de trabajo es primero cerrar los DPA con proveedores, porque son muchos y dependen de terceros que también van a estar saturados cerca del plazo, y en paralelo resolver la EIPD si tu tratamiento la gatilla.
Nosotros somos implementación, no un estudio jurídico. Ejecutamos los entregables concretos y trabajamos junto a tu asesor legal para que las decisiones de fondo queden bien tomadas. Si quieres partir por lo que casi seguro te falta, empieza por el Pack Remediación DPA.
Preguntas frecuentes
¿La Ley 21.719 obliga a mi ecommerce a tener un DPO?
No. El DPO no es obligatorio en Chile. El art. 50 dice que la empresa podrá designarlo, y solo se vuelve exigible si adoptas de forma voluntaria un Modelo de Prevención de Infracciones (MPI). Un ecommerce puede cumplir la ley sin nombrar un delegado.
¿Cuál es el error más común de las tiendas online frente a esta ley?
Creer que basta con actualizar la política de privacidad del sitio. El gap real casi siempre son los contratos de encargo (DPA) que faltan con proveedores que tratan datos de clientes: pasarela de pago, email marketing, CRM, courier y pixels de publicidad. Cada uno necesita su DPA.
¿Todo ecommerce necesita una EIPD?
No todos, pero muchos sí. La EIPD (art. 15 ter) es obligatoria en tratamientos de alto riesgo: gran escala, datos sensibles, perfilamiento o decisiones automatizadas. Un ecommerce mediano o grande suele gatillar al menos un criterio. Conviene confirmarlo antes de encargarla en necesito una EIPD.
¿Puedo certificar un modelo de cumplimiento ahora para blindarme?
Hoy no. La Agencia de Protección de Datos (APDP) aún no está constituida, así que no existe ente que certifique un Modelo de Prevención de Infracciones. Lo que sí puedes hacer ya es tener los DPA firmados y la EIPD lista, que son obligaciones directas, no voluntarias.