Qué debe contener una política de privacidad según la Ley 21.719
El artículo 14 ter enumera doce puntos que deben estar permanentemente a disposición del público. La mayoría de las políticas de privacidad chilenas que circulan hoy cubren cuatro o cinco.
La obligación, textual
El responsable de datos debe facilitar y mantener permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente, al menos, la siguiente información […]
Tres palabras importan más de lo que parece. Permanentemente: no basta con mostrarla al registrarse. A disposición del público: accesible sin tener que crear una cuenta. Al menos: es un piso, no un techo.
Los doce puntos, uno por uno
La política de tratamiento, con su fecha y versión
- Qué exige
- No sólo el documento: también la fecha y versión del mismo. Eso implica versionarlo y poder mostrar qué decía antes de un cambio.
- Dónde suele fallar
- Publicar «Última actualización: 2023» y no tener historial. Si cambias la política, alguien debe poder saber qué cambió y cuándo.
Quién es el responsable y su representante legal
- Qué exige
- Individualización del responsable de datos y de su representante legal, además de la identificación del encargado de prevención, si existiere.
- Dónde suele fallar
- Poner sólo el nombre de fantasía. Se necesita la identificación real de quien responde.
El canal para que te contacten
- Qué exige
- Domicilio postal, correo electrónico, formulario de contacto o medio tecnológico equivalente, de uso común y fácil acceso, por el cual se notifican las solicitudes de los titulares.
- Dónde suele fallar
- Un formulario genérico de «contacto comercial» que nadie asocia al ejercicio de derechos, o un correo que rebota.
Qué datos tratas, de quiénes, para qué y con qué base
- Qué exige
- Las categorías, clases o tipos de datos; la descripción genérica del universo de personas; los destinatarios a los que se prevé comunicar o ceder; las finalidades; la base de legitimidad de cada tratamiento; y, si invocas interés legítimo, cuáles serían esos intereses.
- Dónde suele fallar
- Este es el punto más incumplido. Casi ninguna política chilena declara hoy la base de licitud por finalidad, y menos aún explicita en qué consiste su interés legítimo.
Tu política y medidas de seguridad
- Qué exige
- La política y las medidas de seguridad adoptadas para proteger las bases de datos que administras.
- Dónde suele fallar
- Describir medidas a nivel útil sin convertir el documento en un mapa de tus vulnerabilidades. Se puede indicar el enfoque —cifrado en tránsito, control de accesos por rol, respaldos— sin detallar configuraciones.
Los derechos que puede ejercer la persona
- Qué exige
- Acceso, rectificación, supresión, oposición y portabilidad, conforme a la ley.
- Dónde suele fallar
- Enumerarlos sin decir cómo se ejercen. Conviene enlazarlos con el canal del punto c).
El derecho a recurrir ante la Agencia
- Qué exige
- Que el titular puede recurrir ante la Agencia si el responsable rechaza o no responde oportunamente sus solicitudes.
- Dónde suele fallar
- Se omite casi siempre. Es de los puntos más simples de agregar.
Si los datos salen del país
- Qué exige
- La transferencia de datos a un tercer país u organización internacional, y si éstos ofrecen o no un nivel adecuado de protección. Si no lo ofrecen, si existen garantías que justifiquen la transferencia.
- Dónde suele fallar
- Usar hosting, correo, CRM o analítica en el extranjero y no declararlo. Es lo más común y lo más fácil de detectar desde afuera.
Cuánto tiempo conservas los datos
- Qué exige
- El periodo durante el que se conservarán los datos personales.
- Dónde suele fallar
- Escribir «el tiempo necesario para cumplir las finalidades». Eso no es un período: es una tautología. Se esperan plazos o criterios objetivos por categoría.
De dónde vienen los datos
- Qué exige
- La fuente de la cual provienen los datos personales y, en su caso, si proceden de fuentes de acceso público.
- Dónde suele fallar
- Relevante si compras bases, enriqueces datos con proveedores externos o los obtienes de registros públicos.
Que se puede retirar el consentimiento
- Qué exige
- Cuando el tratamiento se basa en el consentimiento, la existencia del derecho a retirarlo en cualquier momento, sin que ello afecte la licitud del tratamiento previo a su retirada.
- Dónde suele fallar
- Se menciona el consentimiento pero no su revocabilidad, ni cómo se ejerce en la práctica.
Si hay decisiones automatizadas
- Qué exige
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles. En tales casos, información significativa sobre la lógica aplicada y las consecuencias previstas del tratamiento para el titular.
- Dónde suele fallar
- Aplica a scoring crediticio, segmentación automática, priorización de postulaciones, precios dinámicos y sistemas de recomendación con efectos relevantes.
Qué pasa si falta algo
Incumplir total o parcialmente el deber de información y transparencia del artículo 14 ter es infracción leve art. 34 bis a): amonestación escrita o multa de hasta 5.000 UTM. No tener el canal de contacto operativo es una infracción leve adicional art. 34 bis b).
Conviene no leerlo sólo como riesgo de multa. Una política incompleta es también la primera evidencia que mira cualquiera —un cliente, un competidor, un periodista, la propia Agencia— para formarse una impresión sobre cómo tratas los datos.
Cómo escribirla sin copiar una plantilla europea
Explicado en simple
La tentación es buscar una política de privacidad en internet, cambiarle el nombre de la empresa y publicarla. El problema no es sólo legal: es que esa política describe una organización que no es la tuya.
La forma que funciona es al revés. Primero averiguas qué datos tienes de verdad, en qué sistemas y para qué. Después escribes lo que encontraste. Una política corta y verdadera vale más que una larga y prestada.
Una prueba simple: pídele a alguien de tu equipo que lea la política y te diga si reconoce a la empresa. Si no puede, está mal escrita.
Y algo que se olvida: la política tiene que seguir siendo cierta. Si el próximo mes conectas una herramienta nueva que manda datos afuera, la política quedó desactualizada ese mismo día.
Para equipos técnicos y legales
Recomendaciones de implementación:
- Derívala del registro de tratamientos, no al revés. Los puntos d), h), i) y j) son proyecciones directas de ese registro. Si mantienes ambos documentos por separado, divergen en semanas.
- Versiona en el repositorio. El punto a) exige fecha y versión. Publica un identificador de versión visible y conserva las versiones anteriores accesibles. Si registras consentimientos, guarda la versión del aviso vigente al momento de cada uno.
- Estructura por finalidad. Una tabla con finalidad → categorías de datos → base de licitud → destinatarios → conservación cubre d), i) y buena parte de h) de forma auditable, y evita el párrafo genérico.
- Punto h) con nombres. Declarar «usamos proveedores internacionales» no cumple. Hay que indicar la transferencia, si el país ofrece nivel adecuado según lo que determine la Agencia (art. 28) y, si no, qué garantía la ampara.
- Punto e) con criterio. Describe categorías de control, no configuraciones. «Cifrado en tránsito, control de acceso por rol, registro de accesos a datos sensibles y respaldos cifrados» informa sin exponer superficie de ataque.
- Punto l) exige explicabilidad. «Información significativa sobre la lógica aplicada» no significa publicar el modelo, pero sí describir qué variables lo alimentan y qué efecto puede tener sobre la persona. Si no puedes describirlo, tienes un problema anterior al de la política.
- Automatiza la detección de deriva. Un cambio de stack —una etiqueta nueva, un pixel, un CDN— puede volver falso el punto h) sin que nadie edite la política. Vale la pena revisar periódicamente qué terceros carga el sitio y contrastarlo con lo declarado.
Una advertencia sobre las plantillas
Se lee por ahí que basta con instalar un generador de políticas de privacidad para cumplir la ley.
Lo que dice la ley que el artículo 14 ter exige información sobre tu organización concreta: tus finalidades, tus bases de licitud, tus destinatarios, tus plazos, tus transferencias. Una plantilla puede darte la estructura, pero el contenido sólo puede salir de saber qué hace realmente tu empresa con los datos. Publicar una política que describe tratamientos que no realizas —o que omite los que sí— no te protege: documenta por escrito que no sabías lo que estabas haciendo.
Si quieres ver qué declara hoy tu sitio y qué terceros carga en realidad, esa comparación es precisamente uno de los hallazgos que entrega PixaPrivacy.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.