La Ley 21.719 y Contact Center forman una combinación cada vez más relevante para las empresas que gestionan llamadas, conversaciones digitales, grabaciones, documentos y datos personales de clientes. En un centro de atención, cada interacción puede incluir nombres, teléfonos, correos electrónicos, direcciones, información financiera, antecedentes de salud o registros de voz.
La Ley 21.719 fue publicada el 13 de diciembre de 2024 y su entrada en vigencia está prevista para el 1 de diciembre de 2026. La norma moderniza el marco chileno de protección de datos personales, crea una Agencia de Protección de Datos Personales y establece nuevas obligaciones para quienes recopilan, almacenan, utilizan o comparten información personal.
Para un call center o Contact Center, prepararse no consiste únicamente en actualizar una política de privacidad. También implica revisar dónde se almacenan los datos, quién puede acceder a ellos, qué proveedores intervienen, cómo se registran las actividades y qué procedimientos existen para responder ante incidentes.
Qué establece la Ley 21.719 para un Contact Center
La nueva regulación amplía las responsabilidades de las organizaciones que actúan como responsables del tratamiento y de los proveedores que procesan información por encargo. En la práctica, una empresa puede definir la finalidad de una campaña, mientras que su plataforma de Contact Center administra llamadas, grabaciones, tickets, mensajes y datos de clientes.
Esto exige ordenar claramente los roles, las instrucciones, los permisos y las responsabilidades contractuales. El proveedor tecnológico no debería operar como una caja negra. La empresa necesita conocer qué información se procesa, durante cuánto tiempo se conserva, en qué infraestructura se aloja y qué medidas se aplican para protegerla.
La Ley 21.719 incorpora principios y obligaciones vinculados con la protección desde el diseño y por defecto. También exige medidas técnicas y organizativas adecuadas para preservar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas. Entre las medidas mencionadas por la norma se encuentran el cifrado, la seudonimización, la recuperación ante incidentes y la evaluación periódica de los controles de seguridad.
Ley 21.719 y Contact Center: por qué importa la ubicación de los datos
La localización de los datos no es el único elemento que determina el cumplimiento legal, pero sí puede facilitar el control operativo, contractual y regulatorio. Cuando una empresa conoce el país, la región y la infraestructura donde se almacenan sus datos, puede evaluar mejor los riesgos asociados al acceso, las transferencias internacionales y la continuidad del servicio.
En un Contact Center se deben considerar distintos tipos de información: fichas de clientes, grabaciones de llamadas, transcripciones, conversaciones por WhatsApp, historiales de atención, documentos adjuntos, datos de autenticación y registros de actividad de los agentes.
Una arquitectura instalada en infraestructura propia o en una nube nacional puede entregar mayor visibilidad sobre el entorno donde se alojan esos activos. También puede simplificar la definición de políticas de acceso, la revisión de proveedores, la respuesta ante auditorías y la coordinación con los equipos internos de seguridad.
Sin embargo, es importante hacer una precisión: la Ley 21.719 no establece que todos los datos deban alojarse obligatoriamente dentro de Chile. La norma regula las transferencias internacionales y permite realizarlas bajo determinadas condiciones, como niveles adecuados de protección, cláusulas contractuales, normas corporativas vinculantes u otros mecanismos autorizados.
Por eso, la localización nacional debe entenderse como una decisión estratégica de control y reducción de riesgos. No reemplaza el análisis legal, pero puede ayudar a disminuir la complejidad asociada a jurisdicciones extranjeras, subcontratistas y accesos transfronterizos.
Base de datos exclusiva: menos exposición y más control
Una de las decisiones más importantes para un Contact Center consiste en definir si la información de cada cliente se mantiene aislada o comparte recursos con otras organizaciones. Una base de datos exclusiva permite separar los registros, configuraciones, permisos y políticas de retención de una empresa respecto de los datos de otros clientes.
El aislamiento no elimina todos los riesgos, pero reduce la superficie de exposición y facilita la trazabilidad. También ayuda a responder preguntas relevantes durante una auditoría:
- ¿Qué datos pertenecen a cada cliente?
- ¿Qué usuarios tienen acceso a esa información?
- ¿Qué sistemas pueden consultar la base?
- ¿Cuándo se modificó o exportó un registro?
- ¿Qué información debe eliminarse al terminar el servicio?
En Omnis, este enfoque puede complementarse con una implementación en infraestructura propia o en una nube nacional, de acuerdo con los requisitos de cada organización. La posibilidad de operar con bases de datos exclusivas y sin servidores compartidos permite diseñar un entorno más alineado con las necesidades de empresas que manejan información sensible o que deben cumplir exigencias estrictas de sus clientes.
La exclusividad del servicio también puede ser relevante para sectores como banca, seguros, salud, retail, telecomunicaciones, educación y servicios públicos. En estos ámbitos, la separación lógica y operativa de los datos debe acompañarse de controles documentados, gestión de identidades y procedimientos de revisión.
Cómo puede ayudar Omnis a preparar un Contact Center
La tecnología no garantiza por sí sola el cumplimiento de la Ley 21.719. No obstante, una plataforma diseñada con controles de seguridad, trazabilidad y flexibilidad de infraestructura puede facilitar la implementación de un programa de cumplimiento.
Omnis Contact Center CX puede apoyar esta preparación mediante una arquitectura adaptable a distintos modelos de operación:
1. Implementación en infraestructura propia
Algunas empresas necesitan mantener la plataforma dentro de sus propios centros de datos o bajo una infraestructura administrada directamente por sus equipos. Este modelo puede ser conveniente cuando existen políticas internas de soberanía de datos, restricciones sectoriales o exigencias de auditoría.
La instalación en infraestructura propia permite definir con mayor precisión los controles de red, los accesos administrativos, las ventanas de mantenimiento, los respaldos y la integración con las herramientas corporativas de seguridad.
2. Nube nacional con control del entorno
La nube nacional puede combinar flexibilidad, escalabilidad y una ubicación conocida de los recursos tecnológicos. Para un Contact Center, esto facilita ampliar capacidad durante campañas, temporadas de alta demanda o contingencias sin perder visibilidad sobre la infraestructura contratada.
Antes de elegir este modelo, conviene solicitar información sobre la ubicación física de los servidores, los subcontratistas, los respaldos, los accesos privilegiados y el procedimiento de eliminación de información.
3. Bases de datos exclusivas del cliente
La separación de las bases de datos permite establecer políticas específicas de acceso, retención, respaldo y eliminación. También ayuda a diferenciar las operaciones de cada empresa y a reducir el riesgo de exposición accidental entre ambientes.
4. Trazabilidad y auditoría
Un Contact Center debe poder demostrar quién accedió a un registro, qué operación realizó y cuándo ocurrió. Los logs, reportes de actividad y controles de administración son fundamentales para investigar incidentes y responder solicitudes de auditoría.
La Ley 21.719 establece que, ante un incidente o controversia, el responsable debe poder acreditar la existencia y funcionamiento de las medidas de seguridad adoptadas según los riesgos y la tecnología disponible.
Procedimientos de seguridad que debería tener un Contact Center
La infraestructura es solo una parte del cumplimiento. También es necesario documentar procedimientos que involucren a tecnología, operaciones, recursos humanos, legal y proveedores externos.
Entre los controles recomendables se encuentran:
- Clasificación de datos: identificar información pública, interna, confidencial y sensible.
- Gestión de accesos: asignar permisos según la función del usuario y aplicar el principio de mínimo privilegio.
- Autenticación robusta: utilizar contraseñas seguras, multifactor y controles para accesos administrativos.
- Cifrado: proteger los datos durante la transmisión y el almacenamiento cuando el análisis de riesgo lo justifique.
- Retención definida: conservar grabaciones, transcripciones y tickets solo durante el periodo necesario.
- Respaldos protegidos: asegurar copias recuperables, segregadas y sometidas a pruebas periódicas.
- Monitoreo: detectar accesos anómalos, exportaciones masivas y cambios no autorizados.
- Gestión de incidentes: establecer responsables, plazos, canales de comunicación y criterios de escalamiento.
- Capacitación: formar a agentes, supervisores y administradores sobre privacidad y seguridad.
Respuesta ante incidentes y filtraciones de datos
En un Contact Center, un incidente puede originarse por una credencial robada, una configuración incorrecta, una exportación no autorizada, un malware, un error humano o una vulnerabilidad en un sistema integrado.
La Ley 21.719 contempla el deber de reportar vulneraciones de seguridad cuando exista un riesgo razonable para los derechos y libertades de los titulares. Además, exige registrar información sobre la naturaleza del incidente, sus efectos, las categorías de datos involucradas, la cantidad aproximada de personas afectadas y las medidas adoptadas.
Por eso, un proveedor de Contact Center debe contar con procedimientos claros para informar al cliente, preservar evidencias, contener el incidente, recuperar la operación y colaborar en la evaluación de impacto. La velocidad de respuesta es importante, pero también lo es la calidad de los registros generados durante la investigación.
Ventajas frente a plataformas con infraestructura compartida
Las soluciones basadas en infraestructura compartida pueden ser eficientes para ciertos escenarios, pero requieren una evaluación detallada de los controles de aislamiento, las políticas de acceso y la visibilidad disponible para cada cliente.
Cuando una organización necesita mayor control, una arquitectura con bases exclusivas, servidores no compartidos o despliegue en infraestructura propia puede ofrecer ventajas concretas:
- Mayor separación entre ambientes de clientes.
- Más control sobre la ubicación y administración de los datos.
- Menor dependencia de configuraciones generales del proveedor.
- Mayor facilidad para definir políticas específicas de respaldo y retención.
- Mejor preparación para auditorías internas, contractuales o regulatorias.
- Mayor claridad sobre los accesos administrativos y los subcontratistas.
Estas ventajas no deben presentarse como una garantía automática de cumplimiento. La empresa debe complementar la plataforma con contratos adecuados, políticas internas, evaluaciones de riesgo, capacitación y procedimientos de respuesta.
Checklist para preparar tu Contact Center antes del 1 de diciembre de 2026
Las organizaciones pueden comenzar con una revisión práctica de su ecosistema de atención:
- Inventariar todos los datos personales tratados por voz, chat, correo, WhatsApp y redes sociales.
- Identificar dónde se almacenan las bases de datos, grabaciones y respaldos.
- Revisar si existen transferencias internacionales y qué proveedores participan.
- Definir responsabilidades entre la empresa, el proveedor tecnológico y los encargados de tratamiento.
- Verificar los controles de acceso, autenticación, cifrado y monitoreo.
- Establecer plazos de conservación y eliminación segura.
- Documentar el procedimiento de gestión y notificación de incidentes.
- Solicitar evidencias de auditoría, continuidad operativa y recuperación ante desastres.
- Evaluar si conviene una implementación propia, una nube nacional o una arquitectura híbrida.
- Actualizar contratos, políticas de privacidad y acuerdos de nivel de servicio.
Conclusión: cumplir requiere control, evidencia y prevención
La relación entre la Ley 21.719 y Contact Center no debe abordarse como un simple cambio documental. Las empresas necesitan revisar la arquitectura tecnológica, la localización de los datos, la exclusividad del entorno, los permisos de acceso y la capacidad de responder ante incidentes.
Una plataforma como Omnis puede contribuir a este proceso mediante alternativas de implementación en infraestructura propia o nube nacional, bases de datos exclusivas del cliente, ausencia de servidores compartidos cuando el proyecto lo requiera y herramientas para mejorar la trazabilidad operativa.
El objetivo final es que el Contact Center pueda entregar una atención eficiente sin perder control sobre la información. Prepararse con anticipación permite detectar brechas, ordenar responsabilidades y construir una operación más segura, auditable y alineada con las exigencias de protección de datos en Chile.
Este artículo tiene fines informativos y no constituye asesoría legal. Cada organización debe evaluar su situación con sus asesores jurídicos, de privacidad y de ciberseguridad.
