Ley 21.719: la prospección que sobrevive es la que ya funcionaba

Desde el 1 de diciembre de 2026, prospectar con datos de personas exige una base legal. Qué pide la ley en cada etapa de la prospección y por qué empuja hacia lo que ya daba resultados.

Desde el 1 de diciembre, prospectar con datos de personas exige una justificación legal que puedas demostrar. Hay dos opciones: que la persona te haya dado su consentimiento, o un interés legítimo tuyo que no pase a llevar sus derechos. La ley no prohíbe prospectar. Lo que exige se parece bastante a lo que ya distinguía a la prospección que daba resultados.

Un caso para empezar

Una agencia de marketing de Santiago quiere conseguir clientes en el retail. Un martes en la tarde arma su campaña así:

Montar algo así hoy puede hacerse en una tarde, sin equipo técnico. ¿Puede la agencia seguir haciéndolo desde el 1 de diciembre? Cada paso de ese flujo cae en una sección de este artículo, y al final volvemos a él.

¿Qué cambia el 1 de diciembre?

Desde esa fecha rige la Ley 21.719 de protección de datos personales, publicada en diciembre de 2024. Aplica a toda persona o empresa que trate datos personales, sin importar su tamaño, incluidas agencias, consultoras e independientes.

Dos definiciones bastan para seguir el resto del artículo:

• Dato personal es cualquier información sobre una persona identificada o identificable. El nombre de una gerenta, su cargo y su correo laboral lo son. La razón social o el RUT de la empresa, no.
• Tratar datos es cualquier cosa que hagas con ellos: extraerlos, guardarlos, ordenarlos, puntuarlos o enviarles mensajes.

En el caso de la agencia, los cuatro pasos son tratamiento de datos personales.

¿Por qué esto no es solo un tema legal?

Porque la prospección masiva ya rendía poco antes de la ley. En el estudio State of Digital Agencies 2025 de SparkToro (una empresa que vende software de investigación de audiencias; su encuesta reunió 376 respuestas entre el 5 de septiembre y el 31 de octubre de 2025), solo 9% de las agencias calificó como muy efectivos los resultados de su prospección activa, y un tercio dijo que no le funcionaba. Los referidos de clientes actuales y antiguos siguen siendo, por lejos, la principal fuente de clientes nuevos.

Del lado de quien compra, una encuesta de Gartner (una firma que vende asesoría a áreas comerciales) a 632 compradores B2B, hecha entre agosto y septiembre de 2024, encontró que 73% evita activamente a los proveedores que le envían mensajes irrelevantes.

Ambas cifras son internacionales: no sabemos si se repiten en Chile.

Las herramientas de IA abarataron mucho escribirle a miles de personas. Cuando cualquiera puede hacerlo, el volumen deja de ser una ventaja, y lo que distingue a una empresa es elegir bien a quién le escribe y tener algo útil que decirle. La ley llega a exigir justamente eso.

Hoy cualquier empresa puede escribirle a 2.000 personas en una tarde. Lo difícil es saber cuáles 50 deberían recibir ese mensaje.

¿De dónde salen tus contactos?

Que un dato esté visible en internet no significa que puedas usarlo libremente. La ley reconoce las fuentes de acceso público, como el Diario Oficial, los medios de comunicación o los registros públicos, pero aclara que usar esos datos también queda sujeto a sus reglas. Eso tiene tres consecuencias:

1. Necesitas una base legal aunque el dato venga de una fuente pública.
2. La persona puede oponerse a que uses un dato sacado de una fuente pública si no tienes otra base legal.
3. Debes poder decirle de dónde obtuviste su dato.

Con los correos enriquecidos hay un problema adicional. Si una herramienta te entregó un correo, ¿sabes de dónde lo sacó? Si no puedes responder eso, tampoco podrás responderle a la persona cuando te lo pregunte.

Las dos bases legales que sirven para prospectar son estas:

Sea cual sea la base, deja por escrito cuál usas para cada finalidad y por qué. La ley te pide poder demostrarlo.

¿A quién deberías contactar?

El interés legítimo se sostiene con pertinencia, no con volumen. Para defenderlo, conviene poder mostrar dos cosas antes de escribir:

• Pertinencia: lo que ofreces tiene relación directa con el rol de la persona. Ofrecer servicios de marketing a una gerenta de marketing de retail es pertinente. Ofrecérselos a todo el directorio de la empresa, no.
• Proporcionalidad: usas solo los datos necesarios. Nombre, cargo, empresa y correo laboral suelen bastar. Su teléfono personal o información de su vida privada, no.

Coincidir con un cargo es un punto de partida, no una justificación. Mientras más grande y menos filtrada sea la lista, más difícil es sostener que cada contacto era pertinente.

Si usas IA para puntuar o perfilar

Hay dos reglas que conviene conocer:

• Si una herramienta decide sola algo que afecta de manera importante a una persona, esa persona puede exigir que lo revise un humano. Un puntaje para decidir a quién llamar primero probablemente no llega a ese nivel (lectura nuestra).
• Armar perfiles de personas con fines de marketing le da a cada una el derecho a oponerse. Si una herramienta de IA arma esos perfiles por ti, tienes que poder explicar qué hace.

¿Qué tiene que estar publicado antes de escribir?

Una política de tratamiento de datos, siempre accesible en tu sitio. Cuando tu mensaje le diga a alguien cómo ejercer sus derechos, la política es el lugar al que lo envías. Como mínimo debe indicar:

• quién es el responsable y cómo contactarlo, con la fecha y la versión de la política;
• qué datos tratas, de quiénes, para qué y con qué base legal (si usas interés legítimo, cuál es);
• de dónde provienen los datos, incluido si salen de fuentes públicas;
• cuánto tiempo los conservas y qué medidas de seguridad aplicas;
• los derechos de las personas, incluido el de reclamar ante la Agencia de Protección de Datos Personales;
• si envías datos a otros países, y con qué garantías.

¿Qué debe decir tu primer mensaje?

Mencionar el cargo y la empresa no es lo mismo que ser transparente. La ley chilena no fija qué debe decir el primer mensaje, pero sí exige que la fuente de los datos esté informada de forma permanente en tu sitio web (artículo 14 ter, letra j) y que la entregues a quien te la pida (artículo 14 bis). El reglamento europeo (RGPD, artículo 14) va más lejos: pide informar la fuente a más tardar en el primer contacto. Por eso lo más seguro es que el primer mensaje diga quién eres, por qué le escribes a esa persona en particular, de dónde sacaste su dato y cómo puede pedir que no la contactes más.

El primero aparenta personalización, pero no dice de dónde salió el dato, no explica por qué le escribe a esa persona y no le ofrece una salida.

Si no puedes explicar en una línea por qué le escribes a esa persona, probablemente no deberías escribirle.

¿Qué haces con quien dice que no o no responde?

Si alguien pide que no lo contactes, dejas de hacerlo en todas tus herramientas. La ley da derecho a oponerse cuando prospectas basado en tu interés legítimo, cuando el contacto es de marketing directo y cuando el dato viene de una fuente pública sin otra base legal. El caso de la agencia calza en las tres situaciones.

Necesitas tener resuelto lo siguiente:

1. Una lista de supresión única. Es el registro de quienes pidieron no ser contactados, y se aplica al correo, al CRM, a LinkedIn y a WhatsApp. Si el “no” detiene la secuencia de correo pero no la de LinkedIn, no cumpliste.
2. Un canal para solicitudes, como un correo o un formulario, con una persona responsable y un plazo de respuesta definido. No responder o responder tarde es una infracción leve. Obstaculizar el derecho de la persona es una infracción grave.
3. Plazos de conservación. Decide cuánto tiempo guardas a quien no respondió, y bórralo cuando se cumpla.

¿Hay un camino que la ley no estorba?

Sí: que el prospecto llegue a ti. Cuando alguien se suscribe a tu boletín, descarga un informe o pide una cotización, el consentimiento surge en ese momento y la persona ya sabe quién eres. Es la base legal más sólida y la que menos fricción genera.

No reemplaza a la prospección activa en todos los casos, pero agrega una pregunta. Además de preguntarte a quién le escribes, conviene preguntarte qué publicas para que te escriban a ti. Los datos de SparkToro apuntan en la misma dirección: los referidos siguen siendo la principal fuente de clientes nuevos de las agencias.

¿Y cuando prospectas por encargo de tus clientes?

Muchas empresas de servicios, como las agencias, no solo buscan clientes para sí mismas. También arman bases, campañas y automatizaciones para sus clientes. En ese caso tratas datos por cuenta de otro, y tienes obligaciones propias, como seguir las instrucciones del cliente y proteger los datos que recibes.

¿Qué arriesgas si no cumples?

El monto en pesos está calculado con la UTM de octubre de 2026 ($72.151), del Servicio de Impuestos Internos y es un máximo. La Agencia fija cada multa según la gravedad, el daño y la capacidad económica del infractor, entre otros criterios. Reincidir permite multas mayores, mientras que autodenunciarse o colaborar con la investigación las atenúa.

Volvamos a los 2.000 perfiles

Con la ley vigente, ese flujo tiene un problema en cada paso. Los perfiles salen de una plataforma que prohíbe extraerlos, los correos tienen un origen desconocido, la lista se eligió solo por cargo, el mensaje no dice de dónde salió el dato y las secuencias no se detienen en todos los canales.

Si el flujo fuera tuyo, esto puedes hacer:

1. Revisa tu base. Quédate con los contactos cuyo origen puedes explicar y cuyo cargo tiene relación directa con lo que ofreces. El resto, bórralo.
2. Documenta tu interés legítimo para esa lista más corta: por qué es pertinente y proporcional.
3. Reescribe el mensaje con la estructura transparente y envíalo desde un flujo que respete la lista de supresión en todos los canales.
4. Publica tu política de datos antes del primer envío, incluidas las herramientas que guardan datos fuera de Chile.

Lo más probable es que termines con unos pocos cientos de contactos en vez de 2.000. A cambio, tendrás una lista que puedes defender, y algo concreto que decirle a cada persona en ella.

Lista de verificación

Lo que todavía no sabemos

• Las instrucciones de la Agencia. La Agencia de Protección de Datos Personales debe dictar instrucciones generales, con estándares distintos según el tamaño de la empresa. De ellas dependen muchos detalles prácticos.
• Cómo se interpretará el interés legítimo en la prospección B2B. Todavía no hay criterios de la Agencia ni casos resueltos.
• Cuánto saben las empresas de servicios chilenas de la ley. Es una de las preguntas del estudio de este año del Observatorio Comercial, cuyos resultados se publicarán en marzo de 2027.

Fuentes

• Ley 21.719 – Biblioteca del Congreso Nacional (Ley Chile)
• Valor de la UTM 2026 – Servicio de Impuestos Internos (SII)
• SparkToro – Digital Agency New Business Still a Concern (17 feb 2026): informe de un proveedor de software de investigación de audiencias. Datos internacionales. El tamaño de la muestra (376 respuestas, 5 de septiembre al 31 de octubre de 2025) está en su informe The 2025 State of Digital Agencies (2 dic 2025).
• Gartner – Sales Survey Finds 61% of B2B Buyers Prefer a Rep-Free Buying Experience (25 jun 2025): comunicado de una firma que vende asesoría a áreas comerciales. Datos internacionales.