GUÍA PRÁCTICA

Política de privacidad en Chile: qué debe publicar el sitio web de tu empresa

Desde el 1 de diciembre de 2026, el artículo 14 ter de la Ley 19.628, actualizada por la Ley 21.719, obliga a toda empresa que trata datos personales a mantener publicada en su sitio web, o en un medio equivalente, su política de tratamiento de datos con 12 contenidos mínimos, de la letra a) a la l). No cumplirlo, total o parcialmente, es una infracción leve (artículo 34 bis letra a), sancionada con amonestación escrita o multa de hasta 5.000 UTM.

Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.

Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.

Qué exige el artículo 14 ter de la ley de protección de datos

La Ley 21.719 reformó la Ley 19.628 y agregó un deber nuevo, el de información y transparencia. Rige para todo responsable de datos, grande o pequeño: una pyme que guarda la ficha de sus trabajadores o la base de clientes de su tienda en línea también está obligada. El artículo 14 septies permite que la Agencia fije, por instrucción general, estándares mínimos distintos según el tipo de dato, el tamaño de la empresa y su actividad; mientras esa instrucción no exista, el contenido del artículo 14 ter es el mismo para todos.

El artículo no exige un formato ni un título. Exige que cierta información esté siempre disponible para cualquier persona, y el principio de transparencia (artículo 3 letra g) agrega que debe estar "de manera precisa, clara, inequívoca y gratuita".

El responsable de datos debe facilitar y mantener permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente, al menos, la siguiente información:
Artículo 14 ter, inciso primero, Ley 19.628, actualizada por la Ley 21.719 (texto vigente desde el 1 de diciembre de 2026)

Contenido mínimo de la política de tratamiento de datos, de la letra a) a la l)

Esta es la lista completa del artículo 14 ter. La columna derecha dice qué escribir en la práctica. La mayor parte de la información sale del registro de actividades de tratamiento: si no lo tienes, la política termina siendo una declaración genérica que no cumple la letra d).

LetraQué exigeQué escribir
a)La política de tratamiento adoptada, con su fecha y versiónUn número de versión y la fecha desde la que rige, al inicio del documento.
b)Individualización del responsable y su representante legal, y del delegado si existeRazón social, RUT, domicilio y nombre del representante legal. Si adoptaste un modelo de prevención de infracciones, el nombre o el cargo del Delegado de Protección de Datos Personales (DPO) y cómo contactarlo: el Delegado es elemento mínimo del modelo (artículo 49) y el artículo 11 del Decreto 662 obliga a publicar sus datos de contacto.
c)Domicilio postal, correo, formulario o medio equivalente para recibir solicitudesUn correo o formulario que alguien revise de verdad. Es el Canal para el ejercicio de los derechos del titular.
d)Categorías de datos, universo de personas, destinatarios, finalidades, base de licitud e intereses legítimosPor cada grupo de personas (clientes, trabajadores, postulantes, visitantes del sitio): qué datos, para qué, con qué base del artículo 12 o 13 y a quién se entregan. Si usas interés legítimo, cuál es.
e)Política y medidas de seguridadUna descripción general: control de accesos, respaldos, cifrado, contratos con proveedores. Sin detalles que faciliten un ataque.
f)Derechos de acceso, rectificación, supresión, oposición y portabilidadCómo ejercerlos y el plazo de respuesta: 30 días corridos, prorrogables una vez por otros 30 (artículo 11). Conviene mencionar también el bloqueo (artículo 8 ter).
g)Derecho a recurrir ante la AgenciaQue, si rechazas o no respondes a tiempo, la persona puede reclamar ante la Agencia de Protección de Datos Personales dentro de 30 días hábiles (artículo 41).
h)Transferencias internacionales y si el país tiene nivel adecuado de protecciónQué datos salen de Chile, a qué país y, si ese país no tiene nivel adecuado, qué garantía la ampara (por ejemplo, cláusulas contractuales).
i)Periodo de conservaciónUn plazo o un criterio concreto por tipo de dato: "seis meses desde el cierre del proceso de selección", no "el tiempo necesario".
j)Fuente de los datos y si provienen de fuentes de acceso públicoSi los entrega la propia persona, un tercero (por ejemplo, la empresa cliente) o una fuente pública.
k)Si la base es el consentimiento, el derecho a retirarlo en cualquier momentoCómo retirarlo y que el retiro no afecta lo hecho antes. El artículo 12 exige que el medio sea expedito, gratuito y permanentemente disponible.
l)Decisiones automatizadas y elaboración de perfilesSi existen, la lógica aplicada y sus consecuencias para la persona. Si no existen, decirlo expresamente.

Errores frecuentes en las políticas de privacidad de empresas chilenas

Al revisar una política contra el artículo 14 ter suelen aparecer los mismos vacíos:

  • Hablar solo del sitio web. La letra d) pide el universo de personas de "sus bases de datos", es decir, de toda la empresa: también trabajadores, clientes y proveedores. Más en datos de trabajadores.
  • No decir el plazo de conservación. "Mientras sea necesario" no informa nada. La letra i) pide el periodo, y el principio de proporcionalidad (artículo 3 letra c) exige suprimir o anonimizar los datos cuando dejan de ser necesarios.
  • Callar las transferencias internacionales. Un servicio de correo, de nube o de formularios con servidores fuera de Chile es una transferencia. La letra h) pide decir si el país tiene nivel adecuado de protección y, si no lo tiene, qué garantía existe. Más en transferencia internacional de datos.
  • Poner "consentimiento" como base de todo. El artículo 12 presume que no es libre cuando se pide para ejecutar un contrato que no necesita esa recolección. Pagar sueldos o despachar una compra se apoya en el contrato o en una obligación legal (artículo 13).
  • Copiar una política extranjera o de otra empresa. Suele traer figuras y autoridades que no existen en la ley chilena y no describe tus tratamientos reales, así que normalmente no cumple la letra d) aunque se vea completa.
  • Sin fecha ni versión. La letra a) lo exige y es la única forma de probar qué informaste en cada momento.
  • Un correo que nadie revisa. El artículo 34 bis letra b) sanciona carecer de un medio de contacto actualizado y operativo, y la letra c) sanciona responder tarde o no responder.

¿Hay una ley de cookies en Chile? Qué dice la ley de protección de datos

En la ley de protección de datos, no: ni la Ley 19.628 ni la Ley 21.719 contienen una regla especial sobre cookies, ni exigen un banner con un formato determinado. Lo que se aplica son las reglas generales, porque una cookie o un identificador que permite reconocer el navegador de una persona puede ser dato personal: el artículo 2 letra f) considera identificable a quien puede ser identificado "directa o indirectamente" mediante identificadores, considerando los medios que razonablemente se podrían usar.

En consecuencia, cada cookie que trate datos personales necesita una base de licitud del artículo 12 o del 13, una finalidad informada (artículo 3 letra b) y su lugar en la política del artículo 14 ter. La ley no clasifica las cookies ni asigna una base a cada tipo: la tabla siguiente es un criterio de aplicación de Orbix, no texto legal.

  • Por qué, en nuestro criterio, la publicidad requiere consentimiento. El interés legítimo solo sirve si no se afectan los derechos y libertades del titular (artículo 13 letra d), seguir a una persona por distintos sitios para armar su perfil difícilmente pasa esa prueba, y el titular puede oponerse en cualquier momento al marketing directo y a la elaboración de perfiles (artículo 8 letra b).
  • Cómo debe ser ese consentimiento. Previo, libre, informado, específico e inequívoco, expresado por declaración o por un acto afirmativo que dé cuenta con claridad de la voluntad del titular (artículo 12). Una casilla premarcada o el simple hecho de seguir navegando difícilmente cumplen ese estándar.
  • Píxeles de redes sociales. Envían datos de la visita a un tercero, a menudo fuera de Chile: decláralo como destinatario (letra d) y, si ese tercero trata los datos fuera de Chile, como transferencia internacional (letra h).
Tipo de cookie o mediciónBase de licitud (criterio de aplicación)Qué hacer
Necesarias para que el sitio funcione (sesión, seguridad, carro de compra)Ejecución del contrato o medidas precontractuales (artículo 13 letra c), o interés legítimo (artículo 13 letra d)Informarlas en la política. No requieren consentimiento.
Medición agregada de visitas que no identifica ni sigue a la personaInterés legítimo (artículo 13 letra d)Documentar el test de ponderación del interés legítimo, informarlo y permitir oponerse.
Publicidad, seguimiento entre sitios o elaboración de perfilesConsentimiento (artículo 12)Pedirlo antes de activar las cookies, con un acto afirmativo, y ofrecer un medio permanente para retirarlo.

Cada cuánto se actualiza la política de privacidad y cómo se versiona

La ley no fija una periodicidad. Sí exige que la información esté permanentemente disponible y que la política indique fecha y versión (letra a). Una política que ya no describe lo que haces con los datos no cumple el deber de información aunque esté publicada.

Lo recomendable es emitir una versión nueva cada vez que cambia algo de lo que describe (un proveedor, una finalidad, un país de destino, un plazo de conservación, cookies nuevas) y revisarla completa una vez al año.

Guarda las versiones anteriores con su periodo de vigencia: los artículos 3 letra a) y 14 letra a) te obligan a poder acreditar la licitud de tus tratamientos, y para eso debes probar qué informaste en cada fecha. Y publicar una versión nueva no autoriza a usar datos ya recolectados para otros fines: el principio de finalidad (artículo 3 letra b) solo lo permite en casos acotados, por ejemplo, con un nuevo consentimiento o para fines compatibles.

Como referencia, la política de privacidad de Orbix indica su versión y la fecha desde la que rige al inicio, y explica en su última sección cómo se registran los cambios.

Dónde se publica la política de tratamiento de datos

El artículo 14 ter dice "en su sitio web o en cualquier otro medio de información equivalente". Si tu empresa tiene sitio, lo razonable es publicarla ahí, en una página propia y con dirección fija.

  • Un enlace visible en el pie de todas las páginas, con un nombre reconocible, por ejemplo, "Política de privacidad" o "Política de tratamiento de datos".
  • Junto a cada formulario que recoge datos (contacto, cotización, postulación, registro), con un texto breve que remita a la política.
  • Sin barreras: accesible sin registrarse, sin descargar archivos y gratis, como pide el principio de transparencia (artículo 3 letra g).
  • Si no tienes sitio web, un medio equivalente y permanente: por ejemplo, un documento disponible en el local y entregado a quien lo pida.

Preguntas frecuentes

¿Es obligatorio tener una política de privacidad en el sitio web en Chile?

Sí. Desde el 1 de diciembre de 2026, todo responsable de datos debe mantener publicada, en su sitio web o en un medio equivalente, su política de tratamiento de datos con los contenidos mínimos del artículo 14 ter de la Ley 19.628, actualizada por la Ley 21.719. Omitirla o publicarla incompleta es una infracción leve (artículo 34 bis letra a): amonestación escrita o multa de hasta 5.000 UTM (artículo 35).

¿Hay una ley de cookies en Chile?

No en la ley de protección de datos: ni la Ley 19.628 ni la Ley 21.719 tienen una regla especial sobre cookies. Se aplican sus reglas generales: cada cookie que trata datos personales necesita una base de licitud (artículos 12 o 13), una finalidad informada y su descripción en la política del artículo 14 ter. En nuestro criterio, las cookies de publicidad o seguimiento, que siguen a la persona para perfilarla, deben apoyarse en su consentimiento previo.

¿Mi sitio necesita un banner de cookies?

Depende de qué cookies uses; la ley no exige un banner ni un formato determinado. En nuestro criterio, con cookies necesarias y una medición de visitas que no identifica ni sigue a la persona, basta informarlo en la política, documentar el test de ponderación del interés legítimo y permitir oponerse. Con cookies de publicidad o seguimiento, debes pedir el consentimiento antes de activarlas, con un acto afirmativo, y ofrecer un medio permanente para retirarlo (artículo 12); el banner es la forma habitual de hacerlo.

¿Puedo usar una plantilla de política de privacidad?

Como estructura, sí; como contenido, no. El artículo 14 ter exige describir tus categorías de datos, finalidades, destinatarios y base de licitud (letra d) y tus plazos de conservación (letra i). Una plantilla genérica no describe tus tratamientos reales, así que no cumple aunque se vea completa.

¿Qué diferencia hay entre política de privacidad y aviso de privacidad?

La ley de protección de datos no usa ninguna de las dos expresiones: habla de política de tratamiento de datos personales (artículo 14 ter). En la práctica, la política es el documento completo y permanente, y el aviso es el texto breve que se muestra donde se recogen los datos, como un formulario, y que remite a la política.

El 1 de diciembre de 2026 la ley será plenamente exigible

La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.

Solicitar una demostración