Consentimiento y cookies bajo la Ley 21.719
Dos ideas ordenan todo este tema: no todo requiere consentimiento, y un banner de cookies no es cumplimiento. Ambas se malinterpretan con frecuencia y en direcciones opuestas.
Qué exige el consentimiento · artículo 12
El consentimiento del titular debe ser libre, informado y específico en cuanto a su finalidad o finalidades. El consentimiento debe manifestarse, además, en forma previa y de manera inequívoca, mediante una declaración verbal, escrita o expresada a través de un medio electrónico equivalente, o mediante un acto afirmativo que dé cuenta con claridad de la voluntad del titular.
Desglosado en requisitos verificables:
- Libre. Sin condicionar un servicio a aceptar tratamientos que no son necesarios para prestarlo.
- Informado. La persona sabe qué acepta antes de aceptarlo.
- Específico en cuanto a la finalidad. Un consentimiento genérico «para todos nuestros fines» no cumple. Finalidades distintas necesitan consentimientos distinguibles.
- Previo. Antes del tratamiento, no después.
- Inequívoco. Mediante declaración o acto afirmativo. El silencio, la inacción y las casillas premarcadas quedan fuera.
Y algo igual de importante, en el inciso cuarto: el titular puede revocar el consentimiento en cualquier momento y sin expresión de causa, utilizando medios similares o equivalentes a los empleados para otorgarlo. La revocación no tiene efectos retroactivos.
Ese «medios similares o equivalentes» es una regla de diseño: si aceptar tomó un clic, revocar no puede exigir enviar una carta certificada.
Cuándo NO necesitas consentimiento · artículo 13
Aquí está el malentendido más costoso. Muchas organizaciones intentan pedir consentimiento para todo, y terminan con consentimientos frágiles para tratamientos que tenían una base más sólida disponible.
| Base de licitud | Cuándo aplica | Ejemplo |
|---|---|---|
| Obligación legal 13 b) |
Cuando el tratamiento es necesario para cumplir una obligación legal o lo dispone la ley. | Datos de trabajadores para remuneraciones, cotizaciones y obligaciones tributarias. |
| Contrato 13 c) |
Cuando es necesario para celebrar o ejecutar un contrato con el titular, o para medidas precontractuales pedidas por él. | Dirección de despacho de un pedido. Datos de facturación de una compra. |
| Interés legítimo 13 d) |
Interés legítimo del responsable o de un tercero, siempre que no se afecten los derechos y libertades del titular. | Prevención de fraude; seguridad de la plataforma. Requiere ponderación documentada. |
| Obligaciones económicas 13 a) |
Datos de obligaciones económicas, financieras, bancarias o comerciales, conforme al Título III. | Régimen especial de datos comerciales, con reglas propias. |
| Consentimiento 12 |
Regla general, y necesario cuando ninguna de las anteriores cubre la finalidad. | Envío de comunicaciones comerciales no relacionadas; analítica y publicidad de terceros. |
Una regla práctica: si sin ese dato no puedes prestar el servicio, probablemente tu base es el contrato o la ley. Si el dato mejora tu negocio pero el cliente puede recibir el servicio sin él, probablemente necesitas consentimiento o una ponderación de interés legítimo bien hecha.
Cookies: lo que la ley dice y lo que no
La Ley 21.719 no tiene un artículo de cookies. No existe el equivalente chileno de la directiva europea de ePrivacy. Lo que hay es la aplicación de las reglas generales, y esas reglas alcanzan a las cookies por una vía muy simple: si el identificador permite vincular información a una persona identificable, directa o indirectamente, eso es un dato personal art. 2° f).
Se lee por ahí que «la Ley 21.719 obliga a poner un banner de cookies» o que instalar uno deja al sitio en regla.
Lo que dice la ley que la ley no menciona los banners. Lo que exige es que todo tratamiento tenga una base de licitud y que se informe conforme al artículo 14 ter —incluidas las transferencias internacionales y la existencia de perfilamiento—. Un banner puede ser el mecanismo para recoger consentimiento cuando esa sea la base aplicable, pero es un medio, no el fin, y no cubre ninguna de las otras obligaciones.
Cómo abordarlo bien
Explicado en simple
Antes de decidir si necesitas un banner, hay algo mucho más útil que hacer: averiguar qué carga realmente tu sitio.
La mayoría de las empresas se sorprende. Un sitio típico chileno carga entre cinco y quince servicios de terceros que nadie recuerda haber instalado: la analítica, el pixel de una campaña de hace dos años, el chat, el mapa, el video incrustado, la fuente tipográfica, el plugin de reseñas. Cada uno puede estar recibiendo información de tus visitantes.
Con esa lista en la mano, las preguntas se responden solas:
- ¿Esto lo sigo usando? Si no, se elimina. Es la solución más barata y la que más reduce riesgo.
- ¿Es necesario para que el sitio funcione? Entonces no depende de consentimiento.
- ¿Es para medir, perfilar o publicitar? Entonces sí necesitas base y, casi siempre, información clara y una opción real.
Un banner puesto encima de un sitio que nadie inventarió sólo documenta que no sabes qué está pasando.
Para equipos técnicos y legales
Implementación, en orden de valor:
- Inventario real, no declarado. Enumera cookies,
localStorage,sessionStorage, IndexedDB y peticiones salientes por dominio, capturadas en una carga real del sitio. El inventario que importa es el observado, no el que dice el proveedor. - Elimina lo que no se usa. Reduce superficie de tratamiento, mejora rendimiento y elimina obligaciones de información. Es la única medida que baja el riesgo a cero.
- Clasifica por finalidad —estrictamente necesaria, preferencias, medición, publicidad y perfilamiento— y asigna una base de licitud a cada grupo. La clasificación debe quedar reflejada en la política (art. 14 ter d)).
- Si usas consentimiento, que sea efectivo. El requisito «previo» del art. 12 implica que los scripts no esenciales no deben ejecutarse antes de la decisión. Un banner que sólo informa mientras la analítica ya corrió no recoge un consentimiento previo. Verifícalo comparando el estado del almacenamiento y las peticiones antes y después de aceptar.
- Revocación equivalente. Deja accesible de forma permanente el punto donde cambiar la decisión. Si aceptar fue un clic, revocar debe serlo.
- Registro de la decisión. Marca de tiempo, versión del aviso, categorías aceptadas y rechazadas. Sin eso no puedes acreditar el consentimiento (art. 3° a)).
- Cruza con el punto h) del art. 14 ter. Muchos de esos terceros implican transferencia internacional; hay que declararla y ampararla (ver transferencias).
Advertencia sobre soluciones «de una línea»: un script que inyecta un banner sin bloquear etiquetas no cambia el comportamiento del sitio. Produce la apariencia de consentimiento sin el consentimiento.
Consentimiento en formularios: errores frecuentes
- Casilla premarcada. No es un acto afirmativo del titular.
- Consentimiento agrupado. Una sola casilla para «acepto los términos y recibir publicidad» mezcla una condición contractual con una finalidad separable. El requisito de especificidad exige distinguirlas.
- Condicionar el servicio. Obligar a aceptar marketing para poder descargar un documento tensiona el requisito de libertad.
- Aviso enlazado pero no informativo. Un enlace a la política no sustituye decir, en el formulario, para qué se usarán esos datos.
- Sin trazabilidad. Guardar
acepta=1sin la fecha ni el texto mostrado hace imposible acreditar qué se consintió. - Sin vía de revocación. Especialmente en suscripciones a correos.
- Campos innecesarios. Pedir RUT, dirección o fecha de nacimiento en un formulario de contacto es tratamiento de datos innecesarios, infracción grave art. 34 ter c).
Preguntas frecuentes
¿Necesito consentimiento para todo tratamiento de datos?
No. El consentimiento es la regla general del artículo 12, pero el artículo 13 reconoce otras fuentes de licitud: obligación legal, ejecución de un contrato o medidas precontractuales, interés legítimo, y datos de obligaciones económicas, financieras, bancarias o comerciales.
¿La Ley 21.719 regula expresamente las cookies?
La ley no contiene un artículo dedicado a las cookies. Se aplican las reglas generales: si una cookie o tecnología similar permite identificar directa o indirectamente a una persona, la información asociada es un dato personal y su tratamiento necesita una base de licitud y debe informarse.
¿Un banner de cookies me deja en regla con la ley?
No. Un banner cubre, en el mejor de los casos, una parte del deber de información y del consentimiento para ciertos tratamientos. No sustituye la política del artículo 14 ter, el canal para ejercer derechos, el deber de seguridad, el registro de tratamientos ni las demás obligaciones.
¿Puedo dejar las casillas premarcadas?
No es compatible con el artículo 12, que exige un consentimiento previo e inequívoco, manifestado mediante una declaración o un acto afirmativo que dé cuenta con claridad de la voluntad del titular. Una casilla ya marcada no es un acto afirmativo del titular.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.