Tu CRM y la Ley 21.719: qué revisar en los datos de clientes
Tener CRM no significa cumplir. Qué mirar en tus contactos, listas, notas, automatizaciones y proveedor para ordenar la información según la Ley 21.719.
En este artículo
“Tenemos CRM, así que eso ya está resuelto.”
No tanto. La Ley 21.719 aplica a lo que tu empresa hace con los datos, no al software que usa. La ley no contempla un sello para productos de software: la certificación que regula es la de modelos de prevención de cada responsable. Un CRM puede ayudarte harto a ordenarte, pero también puede guardar años de contactos que nadie revisa.
Si un proveedor te promete un “CRM que cumple la ley”, pregúntale qué parte cubre él y cuál te sigue tocando a ti.
Quién responde: tú y tu proveedor
Por lo general, tu empresa es la responsable: decides para qué usas los datos. El proveedor del CRM suele ser encargado: los trata por encargo tuyo.
Eso tiene tres consecuencias prácticas:
- Debes tener un contrato con el contenido que pide el artículo 15 bis. Suele ser el acuerdo de tratamiento de datos (DPA) del proveedor.
- Si los datos se alojan fuera de Chile, revisa las reglas de transferencia internacional e infórmalo en tu política.
- Si el proveedor sufre una vulneración, debe avisarte. Lo que venga después hacia la Agencia y las personas te puede tocar a ti.
Lo que conviene revisar
Las listas importadas
Esa base de una feria, la que compró alguien, o los 800 contactos que bajaste de un directorio. Es donde suele estar el mayor problema.
La ley exige recoger los datos de fuentes lícitas y con fines específicos. Que un correo esté publicado en internet no te da vía libre: los datos de fuentes de acceso público también se rigen por la ley. Y si te cedieron una base sin el consentimiento necesario, esa cesión es nula y quien la recibió debe suprimir los datos.
Qué hacer: filtra por fecha de importación y fuente. Si no puedes explicar de dónde salió una lista, no la uses para campañas hasta revisarla.
Los campos y las notas
Muchos CRM tienen campos que alguien creó en 2021 y nadie usa. Y las notas libres son un riesgo: “está en tratamiento médico”, “se está separando”, “problemas de plata”.
La ley pide tratar solo lo necesario, y parte de eso puede ser dato sensible. Además, una persona tiene derecho a acceder a sus datos.
Qué hacer: elimina campos que no uses, da una pauta simple al equipo para las notas y busca palabras como “enfermedad”, “licencia”, “deuda” o “embarazo”.
El marketing
Un contacto entró para pedir una cotización. ¿Puedes meterlo al newsletter?
Hay que mirar el fin que le informaste. La ley permite fines compatibles o coherentes con una relación o negociación previa, pero no conviene estirarlo. Un consentimiento específico es la vía más clara. Y la oposición al marketing directo es un derecho de la persona, cualquiera sea tu estrategia.
Qué hacer: ten un campo de base o permiso para marketing, con fecha y origen. Y asegúrate de que una baja llegue a todas las herramientas conectadas.
Lead scoring y automatizaciones
Un puntaje para priorizar a quién llamar primero probablemente no afecta mucho a una persona. Otra cosa es usarlo para negar un crédito, cobrar distinto o descartar a alguien sin que nadie lo revise.
Si una decisión automatizada, incluidos los perfiles, produce efectos jurídicos o afecta significativamente a la persona, entra el artículo 8° bis: derecho a explicación, intervención humana y revisión. En esos casos, revisa también si necesitas una evaluación de impacto. Además, si haces perfiles, debes informarlo en tu política.
Qué hacer: anota qué automatizaciones deciden algo sobre personas y quién puede corregirlas.
Los accesos
Vendedores que se fueron, licencias compartidas, permisos de administrador para todos y exportaciones sin control.
Qué hacer: da de baja usuarios el mismo día que alguien sale, usa roles, activa la verificación en dos pasos, limita las exportaciones y revisa qué aplicaciones están conectadas.
Los contactos antiguos
Leads de hace seis años, con cargos que ya no existen. Los datos deben estar actualizados y guardarse solo el tiempo necesario. Tratar datos inexactos o innecesarios puede ser una infracción grave.
Qué hacer: define cuándo un contacto queda inactivo y qué pasa con él: se elimina o se anonimiza, salvo que debas guardarlo.
La prueba de la solicitud
Haz este ejercicio con un contacto de tu base. Imagina que escribe: “Quiero saber qué datos tienen de mí, de dónde los sacaron y a quién se los pasaron”.
La ley le da derecho a saber sus datos y su origen, los fines, los destinatarios y el plazo. ¿Podrías contestarle en 30 días corridos, revisando también el correo masivo, WhatsApp y las planillas exportadas?
Después imagina que pide corregir o borrar sus datos. Si los compartiste con otros, también debes comunicarles los cambios. Si no sabes qué sistemas están conectados, ya encontraste tu primera tarea.
Eso sí, hay casos en que no procede borrar, por ejemplo, si debes conservar el dato por una obligación legal o por un contrato vigente. Lo importante es poder explicarlo.
Preguntas frecuentes
¿Los contactos B2B también cuentan?
Sí, si identifican a una persona. [email protected] es un dato personal aunque sea un correo de trabajo. Los datos de la empresa como tal, como su razón social, no lo son.
¿Tengo que pedir consentimiento de nuevo a toda mi base?
No necesariamente. Depende de cada uso y de su base legal. Si tus campañas se apoyan en un consentimiento antiguo que no puedes demostrar, conviene revisarlo con un abogado antes de pedirlo a todos.
¿Tengo que cambiar de CRM?
Probablemente no por la ley. Revisa si el actual te permite controlar accesos, exportar y borrar datos, registrar permisos y si su contrato cubre lo necesario. Si no puede, ahí sí vale la pena evaluarlo.
¿Y si mi CRM es una planilla?
Te sirve esta guía de Excel.
Fuentes
¿Qué proceso te gustaría simplificar?
Cuéntanos dónde se repite el trabajo en tu empresa y vemos un primer paso concreto, sin costo.