Ley 21.719 en newsletter, WhatsApp y marketing

Si tienes una pyme que manda newsletter, escribe por WhatsApp a sus clientes y/o guarda una base de datos de clientes en Mailchimp, en Brevo o en una planilla, lo que la Ley 21.719 le pide a tu marketing tiene que ver sobre todo con poder explicar por qué le escribes a cada persona, o sea tener una base de licitud, que es la razón legal que te permite usar ese dato, que además tienes que poder mostrar contacto por contacto. Para promociones yo usaría casi siempre el consentimiento, eso sí, no soy abogado y esto es criterio de implementación, con los artículos citados de la Ley 19.628 tal como quedó tras la Ley 21.719. La vigencia sigue siendo el 1 de diciembre de 2026, pero desde el 1 de septiembre el Senado tramita un proyecto del Gobierno (boletín 18.623-07) que la movería al 1 de diciembre de 2027, la Comisión de Constitución lo aprobó en general el 19 de octubre y desde el 21 tiene discusión inmediata, aunque todavía no es ley y lo sigo en el post sobre qué es la Ley 21.719 y desde cuándo rige.

Tabla guía por canal

Canal	Base de licitud que yo usaría	Qué tienes que poder mostrar	Dónde se suele romper
Newsletter a suscriptores	Consentimiento (artículo 12)	Fecha, origen del alta, texto que aceptó la persona y su versión	Casilla premarcada en el checkout, o el correo de una cotización cargado a la lista
Correo comercial a quien ya compró	Consentimiento. La ley admite también interés legítimo, en condiciones estrechas	Si es interés legítimo, cuál es, que está informado en la política y que el envío calza con lo que se contrató	Se asume que “ya es cliente” alcanza para todo
WhatsApp para responder consultas	Medidas precontractuales o ejecución de contrato (artículo 13, letra c)	Que la conversación la inició la persona o es parte de un pedido	El mismo número termina en la lista de difusión de promociones
WhatsApp para promociones	Consentimiento, y por prudencia uno pedido aparte para ese canal	Que la persona aceptó recibir mensajes de tu negocio por WhatsApp	Se usa el permiso del correo para mandar WhatsApp
Base comprada, heredada o sacada de internet	Difícil de sostener con cualquier base	De dónde salió cada contacto (artículo 14 ter, letra j)	No se sabe el origen

¿Qué base de licitud corresponde a cada canal de marketing?

El artículo 12 pone la regla general: tratar datos es lícito con consentimiento libre, informado, específico en cuanto a su finalidad, previo e inequívoco. Del artículo 13, a una pyme que hace marketing le importan la letra c (ejecutar un contrato o las medidas precontractuales que la persona pidió) y la letra d (interés legítimo, siempre que no afecte sus derechos y libertades).

La letra c cubre bien lo operativo (responder una cotización, coordinar un despacho) pero a mi lectura no la promoción, porque el principio de finalidad del artículo 3 impide usar los datos para fines distintos a los informados al recolectarlos, salvo excepciones acotadas. Por eso el correo que llegó por el formulario de contacto no es una lista, como lo planteé en Ley 21.719 en tu sitio web, y el número que te escribió por WhatsApp para preguntar un precio tampoco.

Del artículo 12 hay dos detalles que en marketing pesan. Se presume que el consentimiento no fue libre cuando se pide dentro de un contrato o de un servicio en que no era necesario pedirlo, lo que en la práctica deja mal parada la casilla obligatoria de “acepto recibir promociones” para poder terminar la compra, mientras que una casilla opcional sin marcar no tiene ese problema. Y esa presunción no se aplica cuando lo único que pides a cambio de un beneficio es el consentimiento, lo que a mi lectura deja en pie el “descarga la guía a cambio de suscribirte” siempre que el trato se diga claramente. El consentimiento además es por finalidad. La ley no habla de canales, pero por prudencia yo pediría uno aparte para WhatsApp, porque la persona espera cosas distintas en el correo y en el teléfono y así es más fácil de probar.

¿Consentimiento o interés legítimo para la newsletter?

Acá hay menos certeza, porque la Agencia de Protección de Datos Personales, que es la autoridad que crea la ley para fiscalizar y sancionar, todavía no dictó instrucciones que lo aterricen, así que lo separaría en dos casos.

Suscriptores que llegaron por un formulario de suscripción. La base es el consentimiento y hay que guardarlo bien. Mailchimp, por ejemplo, registra cuándo la persona usó su formulario de alta y, con doble opt-in, cuándo confirmó, pero si el formulario está en tu sitio el texto exacto que aceptó vive ahí, y si lo cambias sin guardar la versión pierdes la prueba.

Clientes que compraron y nunca se suscribieron. Acá separaría lo que la ley permite de lo que yo haría. Por el lado de la finalidad, el artículo 3 admite un uso distinto dentro de una relación contractual siempre que se enmarque dentro de los fines del contrato o sea coherente con las tratativas, que es bastante menos que “productos parecidos a lo que compró”. Por el lado de la base, el interés legítimo de la letra d del artículo 13 es una base distinta, que hay que poder justificar caso a caso y que la Agencia todavía no ha interpretado. Además el artículo 8 da derecho a oponerse en cualquier momento al tratamiento basado en interés legítimo, y también al que se hace exclusivamente con fines de marketing directo, y el 14 ter te obliga a publicar cuál es ese interés.

Siendo sincero, para una pyme no creo que valga la pena sostener esa discusión, porque una casilla opcional en el checkout sale mucho más barata que defender un análisis de interés legítimo frente a un reclamo. La ley no te lo prohíbe, así que tómalo como una decisión de riesgo, y si igual quieres ir por el interés legítimo lo revisaría con un abogado antes del primer envío.

El enlace de baja no lo inventó la Ley 21.719. El artículo 28 B de la Ley del Consumidor ya exige que todo correo promocional indique la materia, el remitente y una dirección válida para pedir que se suspendan los envíos, que desde ese momento quedan prohibidos.

¿Qué hago con la base de datos de clientes que ya tengo?

Revisé las disposiciones transitorias de la ley y no encontré una regla especial para las bases que ya existían, así que entiendo que lo que ya tienes queda sujeto a las mismas reglas y vas a necesitar explicar de dónde salió cada contacto, porque el artículo 14 ter te pide informar la fuente de los datos y el 14 que provengan de fuentes de acceso lícitas.

Con una base heredada haría tres grupos:

1. Contactos con consentimiento demostrable. Se suscribieron en un formulario que puedes mostrar y la plataforma guarda la fecha de alta, así que siguen en la lista.
2. Clientes y personas que cotizaron, sin permiso de marketing registrado. Siguen en la base para lo operativo, pero salen de la lista de envíos hasta que den permiso. Para pedirlo mandaría un único correo, sin promoción, que solo pregunte si quiere seguir recibiendo tus envíos. Ese correo ya es un envío, por eso va sin oferta, y quien no responde queda fuera, porque el silencio cuenta como un no. Idealmente lo haría antes de la vigencia. Ojo con las cotizaciones que no prosperaron: el artículo 14, letra d, obliga a suprimir o anonimizar los datos obtenidos para medidas precontractuales, así que ese grupo necesita además un plazo de borrado.
3. Contactos de origen desconocido, comprados o sacados de internet. Los sacaría. No hay cómo sostener la fuente, Brevo prohíbe en su política antispam las listas compradas o extraídas de internet, y el artículo 15 declara nula la cesión hecha sin el consentimiento necesario.

Los tres grupos de la base heredada, según lo que puedes mostrar de cada contacto.

El grupo 2 es el que duele, porque en una pyme con algunos años de ventas probablemente sea el más grande.

WhatsApp a clientes, ¿qué cambia con la Ley 21.719?

El número de teléfono es un dato personal. Responder una consulta sigue funcionando igual que antes, lo que hay que mirar con más cuidado es qué haces con ese número después.

En este mismo sitio lo resolví así. En la política de privacidad, WhatsApp aparece con la misma base que el formulario, medidas precontractuales y ejecución del contrato (artículo 13, letra c), y con la misma finalidad, responder y coordinar el trabajo. No mando promociones por ese canal ni tengo newsletter, y si algún día lo hiciera sería una finalidad nueva, con su propia casilla.

La fila de WhatsApp en la política de este sitio: la misma base que el formulario y la misma finalidad, responder y coordinar el trabajo.

Pongámonos en un caso hipotético. Una tienda arma para el Cyber una lista de difusión con todos los números que le escribieron en el año, mezclando gente que solo preguntó un precio con gente que sí quiere ofertas. En su lugar yo preguntaría en la conversación, con la venta resuelta, si quiere recibir promociones por ahí y anotaría la respuesta con fecha.

La mayoría de las pymes usa la app WhatsApp Business desde el teléfono, sin API, y algunas usan la API de WhatsApp a través de un proveedor, pero la regla legal para promociones es la misma en las dos. Para la API, Meta ya pide algo parecido: un opt-in que nombre el negocio y deje claro que la persona acepta recibir sus mensajes, y entre sus recomendaciones está explicar cómo darse de baja y respetarlo. El mismo artículo 28 B pide una forma expedita de suspender promociones por mensajería telefónica, y aunque no nombra WhatsApp, yo lo leo incluido ahí.

Con los grupos tendría cuidado. Hasta donde sé, en un grupo común de WhatsApp los participantes normalmente ven el número de los demás, salvo quien use nombre de usuario, que WhatsApp está activando por países desde mediados de 2026 (las Comunidades funcionan distinto), así que meter a tus clientes en un grupo de ofertas es comunicarle el teléfono de cada uno a todos los otros, y sin un permiso que lo diga no lo haría.

Derechos del titular: baja, oposición y borrado

La persona puede pedirte acceso, rectificación, supresión, oposición y portabilidad (lo que muchos siguen llamando derechos ARCO), más el bloqueo temporal. En marketing llegan sobre todo dos solicitudes que conviene no confundir.

“No me escriban más”. Es oposición al marketing o revocación del consentimiento. El artículo 12 dice que se revoca por medios similares o equivalentes a los usados para dar el permiso, expeditos, gratuitos y siempre disponibles, o sea que si la suscripción se hizo con un clic, la baja debería poder hacerse con un clic también.

“Borren mis datos”. Es supresión, artículo 7. Procede, entre otros casos, cuando la persona revocó su consentimiento y no hay otro fundamento, o cuando los datos ya no son necesarios. No procede sobre lo que tienes que guardar por obligación legal o por un contrato vigente, como los datos de una boleta.

Los plazos de una solicitud de derechos, según los artículos 8 ter y 11.

El procedimiento está en el artículo 11:

Paso	Qué dice la ley (resumen)
Canal	Solicitud escrita al correo, formulario o medio electrónico que hayas establecido para esto
Costo para la persona	Rectificación, supresión y oposición siempre gratuitas (artículo 10)
Plazo	Acusar recibo y pronunciarte dentro de 30 días corridos, prorrogables una vez hasta por otros 30
Prueba	Guardar el respaldo de la respuesta, su fecha y su contenido íntegro
Bloqueo temporal	Si junto con la solicitud piden el bloqueo, la petición tiene que ser fundada y la respondes dentro de 2 días hábiles. Mientras tanto no tratas esos datos, aunque sí los guardas. Si lo concedes, el bloqueo dura hasta que resuelvas la solicitud de fondo (artículo 8 ter). Si lo rechazas, se lo informas a la Agencia por vía electrónica
Si la rechazas	Fundar la decisión e informar que tiene 30 días hábiles para reclamar ante la Agencia

Si borras a alguien de todas partes, la próxima planilla vieja que importes lo vuelve a meter en la lista. Mailchimp permite importar esas direcciones como lista de supresión para que no vuelvan a entrar como suscritas, y en mi opinión ese registro mínimo se justifica, dejándolo escrito en la política.

¿Cuánto tiempo puedo guardar los contactos?

Según el artículo 3 los datos se conservan solo el tiempo necesario para la finalidad y después se suprimen o anonimizan. El 14 ter obliga a publicar ese período, pero la ley no fija plazos por tipo de dato. Esta tabla es mi punto de partida, criterio mío y no plazo legal:

Dato	Plazo que propondría
Suscriptor activo de la newsletter	Mientras siga suscrito
Suscriptor que hace mucho no abre nada	Un correo preguntando si sigue interesado y, si no responde, baja. El umbral lo definiría con tus datos de apertura
Cotización que no prosperó	Un plazo corto y escrito, por la letra d del artículo 14
Cliente	Mientras dure la relación, más los plazos que exigen las normas tributarias y comerciales
Conversaciones de WhatsApp	Igual que las consultas del formulario (hasta que la consulta queda resuelta o piden su supresión, o lo del cliente si compró), revisando dónde quedan guardadas (teléfono, respaldo en la nube, CRM)

¿Mailchimp, Brevo o tu proveedor de WhatsApp son encargados de tratamiento?

Cuando subes tu base a una plataforma de envío, esa plataforma trata los datos por cuenta tuya y para la ley es un encargado. El artículo 15 bis pide un contrato que fije, entre otras cosas, el objeto del encargo, su duración, la finalidad y el tipo de datos. El encargado no puede usar los datos para un objeto distinto ni cederlos sin tu autorización, y si lo hace pasa a ser considerado responsable y responde solidariamente contigo por los daños. Tampoco puede delegar el encargo en otro sin una autorización tuya específica y por escrito.

Mailchimp tiene un anexo de tratamiento de datos incorporado a sus términos, donde se declara encargado que actúa por cuenta del cliente. Ese anexo trae una autorización general para que Mailchimp use subencargados, mientras el 15 bis pide para delegar una autorización específica y por escrito, y no estoy seguro de que una general alcance, así que es un punto que revisaría con un abogado.

Los datos además salen de Chile. La letra h del 14 ter te pide informar esa transferencia internacional, pero entiendo que informarla no basta y que la ley exige también un fundamento para transferir (un país con nivel adecuado de protección, cláusulas contractuales u otra garantía, en los artículos 27 y 28). Esto lo confirmaría con un abogado. Con la API de WhatsApp vía proveedor, en mi lectura, hay dos eslabones (el proveedor y Meta) y conviene tener a mano el contrato con cada uno.

Donde veo más riesgo, en mi opinión, es en lo chico, como el freelancer con acceso a la cuenta de Mailchimp o la planilla compartida con un enlace abierto, porque ahí normalmente no hay contrato de encargo y es difícil saber quién descargó qué.

Qué haría primero

Las multas y lo que se cuenta del “año de gracia” para pymes están en el post de vigencia que enlacé al principio. Casi todo lo de esta lista se puede hacer antes de la vigencia, sin esperar a que la Agencia dicte nada. Si me pasaran mañana la base de una pyme que hace newsletter y WhatsApp, lo trabajaría en este orden:

1. Inventario de dónde viven los contactos y separación en los tres grupos de más arriba.
2. Casilla de marketing opcional y sin marcar en cada formulario, distinta para WhatsApp, guardando fecha, origen, texto y versión del consentimiento.
3. Baja que cueste lo mismo que suscribirse, y un responsable para las solicitudes de derechos.
4. Plazos de conservación escritos y aplicados, y el contrato de encargo de cada proveedor identificado.
5. Recién ahí la política de privacidad, con la plantilla de política de privacidad con el checklist técnico de la Ley 21.719 que publiqué.

Dos usos de la lista que evitaría

No mandaría el correo de re-permiso con una oferta adentro, porque pasa a ser un envío promocional a alguien que no dio permiso.

No pasaría la lista de clientes a un socio para una campaña conjunta sin un consentimiento que lo diga. El artículo 15 trata eso como cesión y sin el consentimiento necesario la declara nula.

Preguntas frecuentes

¿Qué prohíbe la ley de protección de datos?

En mi opinión, para el marketing de una pyme lo que la ley prohíbe sale de sus reglas generales y no de una lista especial. No puedes tratar datos sin una base de licitud (artículos 12 y 13) ni usarlos para una finalidad distinta de la que informaste al recolectarlos, salvo las excepciones del artículo 3. Pasarle la base a otro sin el consentimiento necesario es una cesión nula (artículo 15). Si alguien se opone al marketing directo, tiene derecho a que dejes de usar sus datos para eso (artículo 8). A eso se suma la Ley del Consumidor, que desde que alguien pide suspender tus correos promocionales deja prohibidos los envíos siguientes (artículo 28 B).

¿Puedo seguir mandando la newsletter a mis suscriptores actuales?

Sí, si se suscribieron con un formulario que puedes mostrar y tienes la fecha de alta. A los clientes que compraron sin suscribirse la ley podría permitirte escribirles por interés legítimo, en condiciones estrechas, pero yo les pediría permiso antes.

¿Responder por WhatsApp a un cliente requiere consentimiento?

Para responder una consulta o coordinar un pedido no hace falta, porque la base es el contrato o las medidas precontractuales que pidió la persona. El consentimiento aparece cuando usas ese número para promociones.

¿Cuánto tiempo tengo para responder si alguien pide que borre sus datos?

Treinta días corridos desde que llega la solicitud, prorrogables una sola vez hasta por otros treinta, y tienes que guardar el respaldo de la respuesta con su fecha.

Revisión de tu base y tus permisos

El inventario de la base, la separación de permisos y la prueba del consentimiento son trabajo que hago en la implementación técnica de la Ley 21.719. Si quieres revisarlo primero, el diagnóstico de 30 minutos no tiene costo y lo pides en contacto. La validez jurídica de los textos la ve un abogado.

Fuentes:

• Ley 21.719, texto oficial en BCN / LeyChile, consultado el 6 de octubre de 2026 y reverificado el 21 de octubre de 2026 (artículos 3, 7, 8, 8 ter, 10, 11, 12, 13, 14, 14 ter, 15 y 15 bis de la Ley 19.628 en el texto que fija la Ley 21.719, y disposiciones transitorias)
• Senado de Chile, tramitación del boletín 18.623-07, consultado el 6 de octubre de 2026 y reverificado el 21 de octubre de 2026
• Carey, “Gobierno ingresa proyecto de ley que posterga en un año entrada en vigor de la Ley 21.719”, 3 de septiembre de 2026
• Ley 19.496 de protección de los derechos de los consumidores, en BCN / LeyChile, consultado el 6 de octubre de 2026 (artículo 28 B)
• Meta for Developers, obtener el opt-in para WhatsApp, consultado el 6 de octubre de 2026
• Mailchimp, campos de la exportación de contactos (OPTIN_TIME, CONFIRM_TIME), consultado el 6 de octubre de 2026
• Mailchimp, About Unsubscribes (lista de supresión), consultado el 6 de octubre de 2026
• Mailchimp, Data Processing Addendum, consultado el 6 de octubre de 2026
• Brevo, política antispam, consultado el 6 de octubre de 2026