Qué exige realmente la Ley 21.719

La Ley se aplica al tratamiento de datos personales de personas ubicadas en Chile independientemente de dónde esté establecido el responsable o el encargado del tratamiento, y a los responsables y encargados ubicados en Chile independientemente de dónde estén ubicados los interesados. El ámbito territorial es por tanto amplio y capta a la mayoría de los editores que sirven a lectores chilenos, con el caso límite más común — un editor no chileno sin infraestructura chilena pero con visitantes chilenos — resuelto por referencia a si el responsable ha dirigido activamente servicios hacia Chile. Los datos personales se definen ampliamente como cualquier información relativa a una persona física identificada o identificable, con los datos personales sensibles — incluidos los datos relativos al origen racial, la opinión política, la creencia religiosa, la afiliación sindical, la salud, la vida sexual, la orientación sexual y los datos biométricos — sujetos a un umbral de consentimiento más alto y protecciones procedimentales adicionales.

La Ley establece bases legales para el tratamiento modeladas en el catálogo del Artículo 6 del GDPR pero con adiciones específicas de Chile para el tratamiento de interés público y el tratamiento judicial; el conjunto estándar de derechos de los interesados — acceso, rectificación, supresión, oposición, portabilidad y un derecho específico de Chile para bloquear la toma de decisiones automatizada; un marco de responsabilidad responsable-encargado con nombramiento obligatorio de delegado de protección de datos para las categorías de mayor riesgo; obligaciones de notificación de brechas a la nueva Personal Data Protection Agency en las 72 horas siguientes al conocimiento; controles de transferencias transfronterizas que dependen de las determinaciones de adecuación de la Agencia o de las garantías contractuales aprobadas; y un régimen de sanciones administrativas con multas categorizadas por gravedad de la infracción y que alcanzan las UTM 5.000 para las brechas más graves.

Cómo trata la Ley 21.719 el consentimiento de cookies

La Ley 21.719 no contiene una disposición separada al estilo de ePrivacy sobre las cookies; las cookies y las tecnologías análogas de almacenamiento y acceso caen dentro del marco general de consentimiento. El estándar es un acuerdo explícito, voluntario, específico, informado e inequívoco evidenciado por un acto afirmativo — la familia de requisitos que el GDPR estableció como línea de base global y que Chile ha importado con su propia capa procedimental. La Agencia de Protección de Datos Personales, el nuevo regulador independiente que establece la Ley, ha emitido orientación inicial durante el despliegue del periodo de gracia confirmando que las casillas prematiladas, el consentimiento implícito inferido de la navegación continuada y los banners de consentimiento agrupado no satisfacen el umbral de la Ley. Esto sitúa a Chile firmemente en línea con la trayectoria global y significa que la postura que los editores ya mantienen para el EEA es el punto de partida correcto para el tráfico chileno.

El efecto práctico es que las cookies y las tecnologías análogas que no son estrictamente necesarias para prestar el servicio que el visitante ha solicitado activamente no deben establecerse antes de que el visitante haya dado su consentimiento. Las cookies estrictamente necesarias — identificadores de sesión, contenidos del carrito, tokens de seguridad, cookies de equilibrio de carga — pueden establecerse sobre la base de que el visitante ha solicitado activamente el servicio. Todo lo demás — analítica, publicidad, personalización, pruebas A/B, reproducción de sesión y cualquier etiqueta de terceros — requiere consentimiento previo.

Cómo difiere la Ley 21.719 del GDPR en la práctica

Tres diferencias importan al configurar un CMP para el tráfico chileno. Primero, la Ley reconoce explícitamente un derecho a bloquear la toma de decisiones automatizada — incluida la elaboración de perfiles — que es más amplio que el equivalente del Artículo 22 del GDPR y se aplica siempre que el tratamiento produzca efectos significativos en el interesado, con el umbral para efectos significativos interpretado más generosamente que en la práctica europea. Para los editores que gestionan motores de personalización que segmentan a los visitantes en categorías comerciales, el derecho significa que debe estar disponible una vía de exclusión de la elaboración de perfiles automatizada incluso después de haberse otorgado el consentimiento de analítica. Segundo, el régimen de transferencias transfronterizas de la Ley requiere que la Agencia designe las jurisdicciones de destino; las transferencias a jurisdicciones no designadas requieren el consentimiento explícito del interesado, garantías contractuales aprobadas por la Agencia o una de las excepciones estrictas. Tercero, la Ley aplica un estándar más estricto al tratamiento de datos biométricos y datos genéticos que la línea de base del GDPR, requiriendo una vía de autorización separada para esas categorías que los editores que realizan autenticación biométrica o tratamiento similar deben incorporar a su arquitectura.

Cómo es un banner de cookies conforme bajo la Ley 21.719

Los requisitos técnicos convergen con lo que cada CMP moderno ya produce, pero el etiquetado, la documentación y el registro de consentimiento deben reflejar las especificidades chilenas. El banner de primera capa debe presentar al visitante una elección real — aceptar, rechazar, gestionar — donde la opción de rechazo sea al menos tan prominente como la opción de aceptación. El consentimiento agrupado está prohibido, por lo que la segunda capa debe permitir el opt-in por categoría cubriendo como mínimo la analítica, la publicidad, la toma de decisiones automatizada y cualquier tratamiento dependiente de transferencias transfronterizas. Las categorías deben estar por defecto en desactivado; el banner no debe cargar etiquetas hasta que el visitante las haya activado afirmativamente.

El aviso de privacidad accesible desde el banner debe identificar al responsable, el registro del responsable ante la Agencia donde sea aplicable, las categorías de datos personales recopilados, la base legal para cada finalidad de tratamiento, el periodo de conservación de datos, las categorías de destinatarios incluidos los subencargados ubicados fuera de Chile, los derechos del interesado bajo la Ley incluida la exclusión de la toma de decisiones automatizada, los datos de contacto del DPO donde el nombramiento del DPO sea obligatorio, y los datos de contacto de la Agencia para reclamaciones. Un aviso que cumple el estándar del Artículo 13 del GDPR se superpone sustancialmente pero las líneas de exclusión de la toma de decisiones automatizada y de contacto con la Agencia deben añadirse explícitamente.

El patrón de integración que supera una revisión de la Agencia

La implementación de referencia tiene cuatro partes móviles. La primera es un CMP que admite opt-in por categoría, desactivado por defecto, incluido un interruptor separado de toma de decisiones automatizada, y expone la elección del visitante mediante una cadena de consentimiento estructurada que el editor puede persistir. La segunda es una capa de carga de etiquetas — un gestor de etiquetas del lado del servidor o una puerta nativa de CMP — que aplica estrictamente el estado de consentimiento antes de que se establezca cualquier cookie no esencial. La tercera es un registro de consentimiento, almacenado en el lado del servidor, que registra para cada evento de consentimiento la elección del visitante por categoría, la marca de tiempo, la versión del banner, la versión de idioma que vio el visitante, y un identificador de IP truncado o hasheado de modo que el responsable pueda producir el registro a solicitud de la Agencia. La cuarta es una vía de retirada al menos tan fácil como la concesión original — un enlace permanente de reapertura del banner en el pie de página más una página de derechos de privacidad en español que presenta la exclusión de la toma de decisiones automatizada como una función separada.

• Etiquetas de analítica — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — solo deben cargarse tras haberse otorgado la categoría de analítica. Cada plataforma admite una configuración con puerta de consentimiento que impide cualquier escritura de cookies antes de que la puerta se active.
• Etiquetas de publicidad — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, pujadores programáticos de encabezado — deben estar igualmente controladas, y cuando el socio publicitario transfiere datos fuera de Chile a una jurisdicción que la Agencia no ha designado, la jurisdicción del destinatario y la base de la transferencia deben aparecer en el aviso de privacidad.
• Herramientas de reproducción de sesión y mapas de calor — Hotjar, Microsoft Clarity, FullStory, Contentsquare — deben estar detrás de una puerta separada y más estricta porque la Agencia se ha alineado con la orientación internacional que señala el renderizado de campos de entrada como una categoría que requiere consentimiento explícito y granular.
• Toma de decisiones automatizada y elaboración de perfiles — motores de personalización, precios dinámicos, sistemas de recomendación que segmentan a los visitantes en categorías comerciales — deben controlarse mediante un interruptor de exclusión separado que el visitante pueda activar independientemente del consentimiento de analítica o marketing, y la exclusión debe propagarse a cada sistema descendente que aplique decisiones automatizadas.

Validación, registro y postura de auditoría para 2026

Un despliegue chileno defendible en 2026 debe pasar cuatro comprobaciones técnicas. Primero, una sesión de navegador limpia servida desde una dirección IP chilena debe producir cero cookies no esenciales antes de que el banner haya sido accionado. Segundo, la vía de rechazo total debe resultar en la misma postura que una sesión sin acción — sin etiquetas de analítica, sin etiquetas de publicidad, sin scripts de reproducción de sesión, sin elaboración de perfiles automatizada. Tercero, un flujo de aceptación total debe producir solo las etiquetas para las que el visitante ha dado su consentimiento, y el registro de consentimiento debe contener un registro coincidente. Cuarto, un flujo de retirada debe detener inmediatamente los disparos de etiquetas adicionales, hacer caducar las cookies establecidas durante la sesión con consentimiento, desactivar cualquier toma de decisiones automatizada que afecte al visitante y activar cualquier señal de eliminación u opt-out descendente que requieran los socios destinatarios.

Más allá de las comprobaciones técnicas, la postura de registro y auditoría es lo que hace que un despliegue sea defendible. Los responsables que tratan datos personales de residentes chilenos por encima de los umbrales definidos por la Agencia deben completar los registros y notificaciones pertinentes, y el registro — junto con el registro de consentimiento, el aviso de privacidad, los resultados de la evaluación de impacto sobre la protección de datos para el tratamiento de mayor riesgo incluida la elaboración de perfiles, la documentación de nombramiento del DPO y las autorizaciones de transferencias transfronterizas — forma la documentación que la Agencia puede solicitar durante una revisión de cumplimiento. Un CMP correctamente configurado con un registro del lado del servidor, una capa de carga de etiquetas que aplique el estado de consentimiento, un aviso de privacidad que nombre cada destino de transferencia transfronteriza, una función de exclusión de la toma de decisiones automatizada y la documentación de registro en el expediente es lo que convierte la Ley 21.719 de una incógnita regulatoria en una parte defendible de la postura de consentimiento latinoamericana de un editor.