Chile aprobó una nueva ley de datos, México reemplazó la suya y Brasil convirtió a su autoridad en agencia reguladora. Las tres reformas exigen que cada contacto comercial tenga una base de licitud y una finalidad demostrables. La evidencia europea sugiere que cumplir reduce el volumen de datos, pero no necesariamente su valor comercial.
Tres reformas, tres puntos de partida
| País | Norma y autoridad | Consentimiento | Estado |
|---|---|---|---|
| Chile | Ley 21.719; Agencia de Protección de Datos Personales | Específico en cuanto a la finalidad, o interés legítimo | Entra en vigencia el 1 de diciembre de 2026, salvo aplazamiento |
| México | LFPDPPP 2025; Secretaría Anticorrupción y Buen Gobierno | Tácito con aviso de privacidad; expreso para datos financieros y sensibles | Vigente desde marzo de 2025 |
| Brasil | LGPD; ANPD | Libre, informado e inequívoco, o interés legítimo | Vigente; multa de hasta 2 % de la facturación (tope: 50 millones de reales) |
Fuente: elaboración propia a partir de los textos legales citados.
Chile pasa de una ley de 1999 sin autoridad a un régimen con agencia. Lo más concreto para el marketing es el derecho de oposición al tratamiento «exclusivamente con fines de mercadotecnia o marketing directo» (Ley 21.719, art. 8), y quien invoque el interés legítimo debe informar cuál es (art. 14 ter). El 31 de agosto de 2026, el Ejecutivo propuso aplazar la vigencia al 1 de diciembre de 2027 (Presidencia de la República de Chile, 2026). A la fecha de corte, ese proyecto no es ley.
México cambió más la institución que la regla. La nueva LFPDPPP mantiene el consentimiento tácito, pero el aviso debe distinguir las finalidades que requieren consentimiento (art. 15) y toda finalidad no informada exige pedirlo de nuevo (art. 11). La supervisión pasó del INAI, autónomo, al Ejecutivo, con multas de hasta 320.000 UMA (art. 59).
Brasil modificó al supervisor: la Lei 15.352 (2026) incorpora a la ANPD a la lista legal de agencias reguladoras.
Bases de leads, correo y WhatsApp
Las tres leyes obligan a saber de dónde viene cada dato y para qué se obtuvo. En Brasil, la prueba del consentimiento corresponde al responsable, las autorizaciones genéricas son nulas (LGPD, art. 8) y los datos públicos deben tratarse según la finalidad y la buena fe de su publicación (art. 7). En México, quien recibe datos transferidos asume las obligaciones de quien los transfirió (LFPDPPP, art. 35). En Chile, el consentimiento debe ser específico en cuanto a su finalidad (Ley 21.719, art. 12).
De ahí se infiere, sin evidencia empírica directa, que una lista comprada sin registro del consentimiento original difícilmente se sostiene en estos países, y el riesgo recae en quien la usa.
El interés legítimo tampoco es automático. La ANPD (2024) lo rechaza para publicidad dirigida a niños, por falta de expectativa legítima, y lo acepta en un ejemplo de promociones a estudiantes que incluye un mecanismo de baja de la lista de envíos.
Ninguna ley menciona WhatsApp ni el correo, pero el número y la dirección identifican a una persona: valen las mismas reglas, incluida una baja que se respete en todos los sistemas conectados.
Qué dice la evidencia sobre regular la privacidad
No hay todavía estudios causales sobre estas reformas. La mejor evidencia procede del GDPR europeo.
| Estudio | Muestra o método | Hallazgo |
|---|---|---|
| Aridor et al. (2023) | Intermediario de viajes en línea | El opt-in redujo un 12,5 % los consumidores observados; los restantes valían más para los anunciantes |
| Goldberg et al. (2024) | 1.084 empresas | Caída cercana al 12 % en páginas vistas e ingresos registrados, en parte por menor registro |
| Johnson et al. (2023) | Más de 27.000 sitios web | El uso de proveedores cayó un 15 % y la concentración subió un 17 % |
| Godinho de Matos y Adjerid (2022) | Experimento en una operadora europea | El consentimiento conforme al GDPR aumentó el opt-in, las ventas y la eficacia del marketing |
Fuente: elaboración propia a partir de los estudios citados.
Se pierde alcance medible, pero quienes consienten valen más (Aridor et al., 2023), y un consentimiento bien diseñado puede mejorar resultados (Godinho de Matos y Adjerid, 2022). El costo es desigual: los proveedores pequeños pierden más que las grandes plataformas (Johnson et al., 2023). Trasladar estas cifras a Latinoamérica es una inferencia.
Aplicaciones prácticas
- Auditar el origen de cada base: fecha, formulario, texto aceptado y finalidad.
- Separar finalidades en el formulario, con casillas no premarcadas para comunicaciones comerciales.
- Ofrecer una baja sencilla en correo y WhatsApp, sincronizada con el CRM.
- Medir la base por calidad: conversión por lead, no tamaño.
Para RCKT, la implicación es que los flujos de captación y automatización deberían registrar el consentimiento y su finalidad como un dato más del lead.
Caso simulado (no representa a ninguna empresa real): una escuela de idiomas de Santiago y Ciudad de México descubre que un tercio de su base viene de una feria sin registro de autorización. La excluye de campañas, pide reconfirmación a sus antiguos alumnos y compara durante tres meses la conversión de ambas bases.
Limitaciones
No es asesoría jurídica. La vigencia chilena puede cambiar en semanas; su tramitación se contrastó con prensa, no con el sistema del Senado. No se verificaron las multas chilenas ni se analizan reglamentos o políticas de WhatsApp. La evidencia empírica es europea.
Conclusión
Chile, México y Brasil convergen en un estándar común para sus leyes de datos: una base de leads vale lo que vale su trazabilidad. La pregunta para una pyme ya no es si pedir consentimiento, sino cómo diseñarlo para conservar a quienes sí quieren comprar, sin perder por el camino el valor comercial de la base.
Referencias
Aridor, G., Che, Y.-K., & Salz, T. (2023). The effect of privacy regulation on the data industry: Empirical evidence from GDPR. The RAND Journal of Economics, 54(4), 695–730.
Autoridade Nacional de Proteção de Dados. (2024). Guia orientativo: Hipóteses legais de tratamento de dados pessoais. Legítimo interesse (Versão 1.0).
Godinho de Matos, M., & Adjerid, I. (2022). Consumer consent and firm targeting after GDPR: The case of a large telecom provider. Management Science, 68(5), 3330–3378.
Goldberg, S. G., Johnson, G. A., & Shriver, S. K. (2024). Regulating privacy online: An economic evaluation of the GDPR. American Economic Journal: Economic Policy, 16(1), 325–358.
Johnson, G. A., Shriver, S. K., & Goldberg, S. G. (2023). Privacy and market concentration: Intended and unintended consequences of the GDPR. Management Science, 69(10), 5695–5721.
Lei n.º 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). (2018). Diário Oficial da União.
Lei n.º 15.352, de 25 de fevereiro de 2026. (2026). Diário Oficial da União.
Ley 21.719 que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. (2024, 13 de diciembre). Diario Oficial de la República de Chile, 44.023.
Ley Federal de Protección de Datos Personales en Posesión de los Particulares. (2025, 20 de marzo). Diario Oficial de la Federación. Texto vigente, Cámara de Diputados.
Presidencia de la República de Chile. (2026). Mensaje N.º 110-374: Proyecto de ley que modifica la Ley N.º 21.719 (Boletín N.º 18.623-07).
