Que esixe realmente a Lei 21.719

A Lei aplícase ao tratamento de datos persoais de persoas situadas en Chile independentemente de onde estea establecido o responsable ou o encargado do tratamento, e aos responsables e encargados situados en Chile independentemente de onde estean situados os interesados. O ámbito territorial é polo tanto amplo e capta á maioría dos editores que serven a lectores chilenos, co caso límite máis común — un editor non chileno sen infraestrutura chilena pero con visitantes chilenos — resolto por referencia a se o responsable dirixiu activamente servizos cara a Chile. Os datos persoais defínense amplamente como calquera información relativa a unha persoa física identificada ou identificable, cos datos persoais sensibles — incluídos os datos relativos á orixe racial, á opinión política, á crenza relixiosa, á afiliación sindical, á saúde, á vida sexual, á orientación sexual e aos datos biométricos — sometidos a un limiar de consentimento máis alto e proteccións procedimentais adicionais.

A Lei establece bases legais para o tratamento modeladas no catálogo do Artigo 6 do GDPR pero con adicións específicas de Chile para o tratamento de interese público e o tratamento xudicial; o conxunto estándar de dereitos dos interesados — acceso, rectificación, supresión, oposición, portabilidade e un dereito específico de Chile para bloquear a toma de decisións automatizada; un marco de responsabilidade responsable-encargado con nomeamento obrigatorio de delegado de protección de datos para as categorías de maior risco; obrigas de notificación de violacións á nova Personal Data Protection Agency nas 72 horas seguintes ao coñecemento; controis de transferencias transfronteirizas que dependen das determinacións de adecuación da Axencia ou das garantías contractuais aprobadas; e un réxime de sancións administrativas con multas categorizadas por gravidade da infracción e que alcanzan as UTM 5.000 para as violacións máis graves.

Como trata a Lei 21.719 o consentimento de cookies

A Lei 21.719 non contén unha disposición separada ao estilo de ePrivacy sobre as cookies; as cookies e as tecnoloxías análogas de almacenamento e acceso encádanse dentro do marco xeral de consentimento. O estándar é un acordo explícito, voluntario, específico, informado e inequívoco evidenciado por un acto afirmativo — a familia de requisitos que o GDPR estableceu como liña base global e que Chile importou coa súa propia capa procedimental. A Axencia de Protección de Datos Persoais, o novo regulador independente que establece a Lei, emitiu orientación inicial durante o despregamento do período de graza confirmando que as caixas pre-marcadas, o consentimento implícito inferido da navegación continuada e os banners de consentimento agrupado non satisfán o limiar da Lei. Isto sitúa a Chile firmemente en liña coa traxectoria global e significa que a postura que os editores xa manteñen para o EEE é o punto de partida correcto para o tráfico chileno.

O efecto práctico é que as cookies e as tecnoloxías análogas que non son estritamente necesarias para prestar o servizo que o visitante solicitou activamente non deben establecerse antes de que o visitante consentise. As cookies estritamente necesarias — identificadores de sesión, contidos do carriño, tokens de seguridade, cookies de equilibrio de carga — poden establecerse sobre a base de que o visitante solicitou activamente o servizo. Todo o resto — analítica, publicidade, personalización, probas A/B, reprodución de sesión e calquera etiqueta de terceiros — require consentimento previo.

Como diverxe a Lei 21.719 do GDPR na práctica

Tres diferenzas importan ao conectar un CMP para o tráfico chileno. Primeiro, a Lei recoñece explicitamente un dereito a bloquear a toma de decisións automatizada — incluída a elaboración de perfís — que é máis amplo que o equivalente do Artigo 22 do GDPR e aplícase sempre que o tratamento produza efectos significativos no interesado, co limiar para efectos significativos interpretado máis xenerosamente que na práctica europea. Para os editores que xestionan motores de personalización que segmentan aos visitantes en categorías comerciais, o dereito significa que debe estar dispoñible unha vía de exclusión da elaboración de perfís automatizada mesmo tras outorgarse o consentimento analítico. Segundo, o réxime de transferencias transfronteirizas da Lei require que a Axencia designe as xurisdicións de destino; as transferencias a xurisdicións non designadas requiren o consentimento explícito do interesado, garantías contractuais aprobadas pola Axencia ou unha das derrogacións estritas. Terceiro, a Lei aplica un estándar máis estrito ao tratamento de datos biométricos e datos xenéticos que a liña base do GDPR, requirindo unha vía de autorización separada para esas categorías que os editores que realizan autenticación biométrica ou tratamento similar deben incorporar á súa arquitectura.

Como é un banner de cookies conforme baixo a Lei 21.719

Os requisitos técnicos converxen co que cada CMP moderno xa produce, pero o etiquetado, a documentación e o rexistro de consentimento deben reflectir as especificidades chilenas. O banner de primeira capa debe presentar ao visitante unha elección real — aceptar, rexeitar, xestionar — onde a opción de rexeitamento sexa polo menos tan prominente como a opción de aceptación. O consentimento agrupado está prohibido, polo que a segunda capa debe permitir o opt-in por categoría cubrindo como mínimo a analítica, a publicidade, a toma de decisións automatizada e calquera tratamento dependente de transferencias transfronteirizas. As categorías deben estar por defecto en desactivado; o banner non debe cargar etiquetas ata que o visitante as activase afirmativamente.

O aviso de privacidade accesible desde o banner debe identificar ao responsable, o rexistro do responsable ante a Axencia onde sexa aplicable, as categorías de datos persoais recollidos, a base legal para cada finalidade de tratamento, o período de conservación de datos, as categorías de destinatarios incluídos os subencargados situados fóra de Chile, os dereitos do interesado baixo a Lei incluída a exclusión da toma de decisións automatizada, os datos de contacto do DPO onde o nomeamento do DPO sexa obrigatorio, e os datos de contacto da Axencia para reclamacións. Un aviso que cumpre o estándar do Artigo 13 do GDPR superpónse substancialmente pero as liñas de exclusión da toma de decisións automatizada e de contacto coa Axencia deben engadirse explicitamente.

O patrón de integración que supera unha revisión da Axencia

A implementación de referencia ten catro partes móbiles. A primeira é un CMP que admite opt-in por categoría, desactivado por defecto, incluído un interruptor separado de toma de decisións automatizada, e expón a elección do visitante mediante unha cadea de consentimento estruturada que o editor pode persistir. A segunda é unha capa de carga de etiquetas — un xestor de etiquetas do lado do servidor ou unha porta nativa de CMP — que aplica estritamente o estado de consentimento antes de que se estableza calquera cookie non esencial. A terceira é un rexistro de consentimento, almacenado no lado do servidor, que rexistra para cada evento de consentimento a elección do visitante por categoría, a marca de tempo, a versión do banner, a versión de idioma que viu o visitante, e un identificador de IP truncado ou hasheado de modo que o responsable poida producir o rexistro a solicitude da Axencia. A cuarta é unha vía de retirada polo menos tan fácil como a concesión orixinal — unha ligazón permanente de reapertura do banner no pé de páxina máis unha páxina de dereitos de privacidade en castelán que presenta a exclusión da toma de decisións automatizada como unha funcionalidade separada.

• Etiquetas de analítica — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — só deben cargarse tras outorgarse a categoría de analítica. Cada plataforma admite unha configuración con porta de consentimento que impide calquera escritura de cookies antes de que a porta se active.
• Etiquetas de publicidade — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, puxadores programáticos de cabeceira — deben estar igualmente controladas, e cando o socio publicitario transfere datos fóra de Chile a unha xurisdición que a Axencia non designou, a xurisdición do destinatario e a base da transferencia deben aparecer no aviso de privacidade.
• Ferramentas de reprodución de sesión e mapas de calor — Hotjar, Microsoft Clarity, FullStory, Contentsquare — deben estar detrás dunha porta separada e máis estrita porque a Axencia aliñouse coa orientación internacional que sinala o renderizado de campos de entrada como unha categoría que require consentimento explícito e granular.
• Toma de decisións automatizada e elaboración de perfís — motores de personalización, prezos dinámicos, sistemas de recomendación que segmentan aos visitantes en categorías comerciais — deben controlarse mediante un interruptor de exclusión separado que o visitante poida activar independentemente do consentimento analítico ou de mercadotecnia, e a exclusión debe propagarse a cada sistema posterior que aplique decisións automatizadas.

Validación, rexistro e postura de auditoría para 2026

Un despregamento chileno defendible en 2026 debe superar catro comprobacións técnicas. Primeiro, unha sesión de navegador limpa servida desde un enderezo IP chileno debe producir cero cookies non esenciais antes de que o banner fose accionado. Segundo, a vía de rexeitamento total debe resultar na mesma postura que unha sesión sen acción — sen etiquetas de analítica, sen etiquetas de publicidade, sen scripts de reprodución de sesión, sen elaboración de perfís automatizada. Terceiro, un fluxo de aceptación total debe producir só as etiquetas para as que o visitante consentiu, e o rexistro de consentimento debe conter un rexistro coincidente. Cuarto, un fluxo de retirada debe deter inmediatamente os disparos de etiquetas adicionais, caducar as cookies establecidas durante a sesión con consentimento, desactivar calquera toma de decisións automatizada que afecte ao visitante e activar calquera sinal de eliminación ou exclusión posterior que requiran os socios destinatarios.

Máis aló das comprobacións técnicas, a postura de rexistro e auditoría é o que fai que un despregamento sexa defendible. Os responsables que tratan datos persoais de residentes chilenos por riba dos limiares definidos pola Axencia deben completar os rexistros e notificacións pertinentes, e o rexistro — xunto co rexistro de consentimento, o aviso de privacidade, os resultados da avaliación de impacto sobre a protección de datos para o tratamento de maior risco incluída a elaboración de perfís, a documentación de nomeamento do DPO e as autorizacións de transferencias transfronteirizas — forma a documentación que a Axencia pode solicitar durante unha revisión de cumprimento. Un CMP correctamente configurado cun rexistro do lado do servidor, unha capa de carga de etiquetas que aplique o estado de consentimento, un aviso de privacidade que nomee cada destino de transferencia transfronteiriza, unha funcionalidade de exclusión da toma de decisións automatizada e a documentación de rexistro no expediente é o que converte a Lei 21.719 dunha incógnita regulatoria nunha parte defendible da postura de consentimento latinoamericana dun editor.