La protección de datos personales está entrando en una nueva etapa en Chile. La Ley N° 21.719, publicada el 13 de diciembre de 2024, modifica profundamente la Ley N° 19.628 y eleva los estándares que deberán cumplir las organizaciones que recopilan, almacenan, utilizan o procesan datos personales.
Su régimen principal entra en vigencia el 1 de diciembre de 2026, por lo que las empresas chilenas tienen un período limitado para revisar sus procesos, contratos y sistemas tecnológicos.
Y uno de los sistemas que merece especial atención es el CRM.
Un CRM puede contener nombres, teléfonos, correos electrónicos, cargos, empresas, conversaciones, actividades comerciales, cotizaciones, reuniones e incluso perfiles o comportamientos asociados a clientes y prospectos.
Por eso surge una pregunta cada vez más relevante:
¿Qué CRM cumple con la Ley N° 21.719 de protección de datos personales en Chile?
Primero: ningún CRM garantiza por sí solo el cumplimiento de la ley
Este es probablemente el punto más importante.
No existe actualmente una certificación oficial que permita afirmar simplemente que determinado CRM está “aprobado por la Ley N° 21.719”.
El cumplimiento depende de una combinación entre tecnología, procesos internos, contratos, políticas, seguridad y la forma en que la empresa utiliza los datos.
La nueva regulación establece, entre otros, principios de proporcionalidad, calidad, responsabilidad, seguridad, transparencia y confidencialidad. Además, obliga a las organizaciones responsables del tratamiento a poder acreditar la licitud con la que utilizan los datos personales.
Por lo tanto, más que preguntar solamente qué CRM cumple la ley, una empresa debería preguntarse:
¿Mi CRM me permite implementar correctamente las obligaciones que establece la Ley N° 21.719?
¿Qué cambia con la Ley N° 21.719?
La nueva normativa entrega mayores derechos a las personas respecto de sus datos.
Los titulares podrán ejercer derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales. La ley además establece que las empresas deberán implementar mecanismos y herramientas tecnológicas que permitan ejercer estos derechos de manera expedita, ágil y eficaz.
Esto tiene consecuencias prácticas para un CRM.
Por ejemplo, si una persona solicita conocer qué información mantiene una empresa sobre ella, corregir un dato incorrecto o solicitar su eliminación cuando legalmente corresponda, la organización debería ser capaz de identificar esa información y gestionarla adecuadamente.
Cuando los datos están distribuidos entre planillas Excel, correos electrónicos, celulares de vendedores, WhatsApp personales y distintos sistemas sin integración, responder a este tipo de solicitudes puede transformarse en un problema operacional importante.
Un CRM centralizado puede ayudar precisamente a establecer mayor control sobre esa información.
¿Qué debería tener un CRM preparado para la Ley N° 21.719?
Al evaluar un CRM en Chile, las empresas deberían considerar al menos las siguientes capacidades:
- Control de usuarios, perfiles y permisos, evitando que cualquier persona pueda acceder innecesariamente a toda la información.
- Trazabilidad de acciones y registros, para conocer cómo se administra la información dentro de la plataforma.
- Capacidad para localizar, actualizar y eventualmente eliminar información, conforme a las políticas y obligaciones aplicables.
- Exportación y acceso estructurado a los datos, especialmente frente al ejercicio de derechos de los titulares.
- Medidas adecuadas de seguridad y control de acceso.
- Gestión centralizada de clientes y prospectos, disminuyendo la dispersión de información en sistemas y dispositivos personales.
- Procedimientos relacionados con conservación y eliminación de información, de acuerdo con las finalidades del tratamiento.
- Contratos adecuados entre la empresa y sus proveedores tecnológicos, cuando estos últimos participan en el tratamiento de los datos.
La ley incorpora además expresamente el concepto de protección de datos desde el diseño y por defecto, exigiendo adoptar medidas técnicas y organizativas y procurando que sólo sean tratados los datos estrictamente necesarios para cada finalidad.
Seguridad de la información: un elemento central
La Ley N° 21.719 establece que las empresas responsables del tratamiento deberán adoptar medidas adecuadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas utilizados para tratar información personal.
También contempla medidas como cifrado o seudonimización cuando correspondan según el riesgo, capacidad de restauración frente a incidentes y evaluaciones periódicas de la eficacia de las medidas de seguridad.
Esto significa que utilizar un CRM ya no debería evaluarse solamente desde una perspectiva comercial.
La seguridad, administración de accesos y gobernanza de datos pasan a formar parte de los criterios para seleccionar una plataforma.
¿Dónde entra IMPULSA Suite?
En este escenario, soluciones como IMPULSA Suite permiten avanzar desde una gestión comercial dispersa hacia un modelo más centralizado, con información de clientes y prospectos administrada dentro de un CRM, junto con usuarios, permisos, actividades y trazabilidad de procesos.
Esto puede facilitar significativamente la implementación de políticas internas relacionadas con protección de datos.
Sin embargo, es importante hacer la distinción: utilizar IMPULSA CRM, Salesforce u otra plataforma no significa automáticamente que una empresa cumple la Ley N° 21.719.
La empresa que utiliza el CRM continúa teniendo responsabilidades respecto de las finalidades para las cuales recopila la información, las bases que legitiman su tratamiento, los accesos entregados a sus colaboradores, sus políticas de conservación y la forma en que responde a los derechos de los titulares.
El proveedor tecnológico, por su parte, puede tener la calidad de encargado del tratamiento dependiendo de la relación existente entre las partes.
La propia ley establece que el tratamiento realizado por un tercero encargado debe regularse mediante un contrato que determine, entre otras materias, el objeto y duración del encargo, finalidad del tratamiento, tipos de datos personales, categorías de titulares y derechos y obligaciones de las partes.
Por eso, al contratar un CRM, también resulta relevante revisar las condiciones contractuales relacionadas con privacidad y tratamiento de datos.
¿Qué pasa con las automatizaciones y la Inteligencia Artificial?
Otro punto especialmente relevante para los CRM modernos son las automatizaciones, scoring, Inteligencia Artificial y elaboración de perfiles.
La nueva legislación reconoce derechos relacionados con determinadas decisiones individuales automatizadas, incluyendo la elaboración de perfiles cuando estas decisiones produzcan efectos jurídicos o afecten significativamente al titular.
En los casos regulados por la ley deben existir salvaguardas que permitan, entre otras cosas, obtener información y explicaciones, solicitar intervención humana, expresar un punto de vista y solicitar la revisión de determinadas decisiones.
Esto no significa que las empresas no puedan utilizar automatización o Inteligencia Artificial.
Significa que deberán entender qué datos utilizan, para qué los utilizan y qué decisiones están tomando automáticamente sobre las personas.
Las multas también cambian el nivel de riesgo
La Ley N° 21.719 crea además una nueva institucionalidad encabezada por la Agencia de Protección de Datos Personales y establece un régimen sancionatorio considerablemente más relevante que el existente anteriormente.
Las infracciones podrán clasificarse como leves, graves y gravísimas, con multas que pueden llegar hasta 5.000, 10.000 o 20.000 UTM, respectivamente.
En determinadas situaciones de reincidencia aplicables a empresas que no sean consideradas empresas de menor tamaño, una infracción grave o gravísima puede incluso generar multas de hasta el 2% o 4% de los ingresos anuales, según corresponda.
La protección de datos, por lo tanto, deja de ser únicamente una discusión tecnológica o jurídica.
También se transforma en un asunto de gobierno corporativo y gestión de riesgos.
Entonces, ¿qué CRM cumple la Ley N° 21.719?
La respuesta correcta sería:
Un CRM puede entregar las herramientas necesarias para facilitar el cumplimiento, pero el cumplimiento de la Ley N° 21.719 corresponde al conjunto de procesos, políticas, contratos y medidas adoptadas por cada organización.
Por eso, al evaluar un CRM para una empresa en Chile, no basta con revisar funcionalidades comerciales.
También deberíamos preguntarnos dónde están almacenados nuestros datos, quién puede acceder a ellos, qué información realmente necesitamos conservar, cómo respondemos frente a una solicitud de un titular, qué sucede cuando un trabajador deja la empresa, qué proveedores procesan nuestra información y qué mecanismos tenemos frente a un eventual incidente de seguridad.
La entrada en vigencia de la nueva regulación el 1 de diciembre de 2026 convierte este período en una buena oportunidad para revisar no solamente las políticas legales, sino también la arquitectura tecnológica utilizada para administrar clientes y prospectos.
Centralizar correctamente esa información en un CRM puede ser una pieza importante de esa estrategia.
Nota importante: Este contenido tiene fines exclusivamente informativos y generales. No constituye asesoría legal ni reemplaza la revisión de un abogado o especialista en protección de datos respecto de las circunstancias particulares de cada empresa.
