Cómo redactar una política de privacidad conforme a la Ley 21.719

Si tu empresa recolecta datos de clientes, suscriptores o usuarios (y hoy casi todas lo hacen), la política de privacidad es una de las piezas más visibles de tu cumplimiento. Es el documento donde materializas el deber de información que exige la Ley 21.719: cada vez que pides un correo, un RUT o un dato de contacto, la persona tiene derecho a saber quién trata esa información, para qué y cómo puede controlarla. Una política bien hecha reduce riesgo legal, pero sobre todo genera confianza. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La Ley 21.719 fue publicada en diciembre de 2024 y actualiza el marco chileno que antes descansaba principalmente en la Ley 19.628. Su entrada en vigencia plena ocurre tras un período de transición, previsto para diciembre de 2026, y crea la Agencia de Protección de Datos Personales como autoridad de control. Eso significa que tienes una ventana para poner tus documentos en orden, y la política de privacidad es un buen punto de partida porque toca casi todos los principios de la ley.

En esta guía revisamos qué debe contener tu política en términos generales, cómo estructurarla por capas para que sea legible, cuándo actualizarla y los errores más comunes, empezando por el más frecuente de todos: copiar una plantilla europea que no calza con Chile.

Qué es la política de privacidad y por qué la exige la ley

La política de privacidad, también llamada aviso de privacidad, es el documento con el que cumples el deber de información y transparencia de la Ley 21.719. La transparencia es uno de los principios centrales de la ley: cuando recabas datos de una persona, debes informarle de forma clara qué haces con ellos, no dejarlo enterrado en condiciones ilegibles ni asumir que ya lo sabe.

Conviene distinguir dos cosas que suelen confundirse. La política de privacidad es un documento informativo, dirigido a los titulares de los datos. No es lo mismo que tu registro interno de actividades de tratamiento ni que tus procedimientos de seguridad, que son herramientas de gestión hacia adentro. La política es la cara pública de todo ese trabajo interno, y por eso tiene que ser fiel a lo que realmente haces: prometer en el papel algo que no cumples en la práctica es un riesgo, no una protección.

Aplica a prácticamente cualquier organización que trate datos personales: una pyme con base de clientes, un e-commerce que procesa pedidos y pagos, un equipo de marketing que gestiona campañas y formularios, o un área legal que coordina proveedores. Si recolectas datos, necesitas informar; y la política de privacidad es la vía estándar para hacerlo.

Qué debe contener: los elementos del deber de información

El deber de información se traduce, en términos generales, en un conjunto de elementos que la persona debe poder conocer al momento en que entregas sus datos. No lo tomes como un formulario cerrado, sino como las preguntas que tu política debe responder con claridad.

Estos son los elementos que, en general, tu política debería cubrir:

• Quién es el responsable: identificación de la empresa que decide sobre el tratamiento, con sus datos de contacto y, si existe, los del delegado de protección de datos (DPO).
• Qué datos se tratan y con qué finalidad: describe las categorías de datos y para qué los usas, de forma específica. Evita finalidades vagas como "mejorar la experiencia".
• La base de licitud: indica en qué te apoyas para tratar cada grupo de datos (consentimiento, ejecución de un contrato, obligación legal, interés legítimo, entre otras).
• Plazo o criterio de conservación: cuánto tiempo guardas los datos, o el criterio que usas para definirlo (por ejemplo, mientras dure la relación contractual más los plazos legales aplicables).
• Destinatarios y transferencias: si compartes datos con proveedores, encargados u otras empresas, o si los transfieres fuera de Chile, indícalo cuando corresponda.
• Cómo ejercer los derechos y ante quién: explica los derechos ARSOP (acceso, rectificación, supresión, oposición y portabilidad), además del bloqueo, y da un canal concreto para ejercerlos.
• Datos de contacto: un correo o formulario donde la persona pueda escribir para consultas o para ejercer sus derechos.

La base de licitud: el consentimiento no es la única opción

Uno de los puntos donde más se equivocan las empresas es asumir que todo tratamiento necesita consentimiento. La Ley 21.719 reconoce el consentimiento como una base de licitud, pero no como la única. Existen otras que pueden ser más apropiadas según el caso, y usar la base correcta te ahorra pedir permisos innecesarios (o, al revés, no depender de un consentimiento que la persona puede retirar).

Entre las bases que contempla la ley están la ejecución de un contrato o de una relación en la que el titular es parte (por ejemplo, procesar un pedido que la persona hizo), el cumplimiento de una obligación legal (como conservar documentación tributaria) y el interés legítimo del responsable, siempre que se pondere frente a los derechos del titular. Cada tratamiento que describas en tu política debería poder asociarse a una base clara.

En la práctica, esto significa hacer un pequeño mapa antes de redactar: lista los tratamientos que realizas (venta, facturación, envío de newsletter, atención al cliente, analítica) y asigna a cada uno su base. Ese ejercicio no solo mejora la política; también ordena tu cumplimiento interno y te prepara para responder si la Agencia o un cliente te preguntan por qué tratas ciertos datos.

Lenguaje claro y enfoque por capas

El principio de transparencia no se satisface con un texto técnicamente completo pero imposible de leer. La ley apunta a que la información sea clara para la persona, y ahí el enfoque por capas es una herramienta muy útil. La idea es simple: entrega primero un resumen breve y visible, y ofrece un documento detallado para quien quiera profundizar.

La primera capa es un aviso corto, en el punto donde recolectas el dato (un formulario, el checkout, un pop-up), que responde lo esencial en pocas líneas: quién trata los datos, para qué, y un enlace a la política completa. La segunda capa es la política extensa, donde desarrollas cada elemento del deber de información con el detalle necesario. Así no obligas a nadie a leer diez páginas para suscribirse a un newsletter, pero tampoco escondes información.

Para que el lenguaje sea realmente claro, ayuda seguir algunas prácticas concretas:

• Escribe en segunda persona y con frases cortas: "usamos tu correo para enviarte tu boleta", no "el titular reconoce que sus datos podrán ser objeto de tratamiento".
• Usa títulos y secciones navegables, para que la persona encuentre rápido lo que busca (por ejemplo, "Cómo ejercer tus derechos").
• Explica los términos técnicos la primera vez que aparecen, en lugar de asumir que se entienden.
• Evita el texto de relleno y las promesas genéricas; di lo que realmente haces con los datos.

Cuándo actualizarla y errores comunes que evitar

Una política de privacidad no es un documento que se redacta una vez y se olvida. Debes revisarla cuando cambie algo relevante en tu tratamiento de datos: una nueva finalidad, una herramienta o proveedor que empieza a acceder a datos, una integración con un tercero, un nuevo canal de recolección o un cambio en los plazos de conservación. También conviene una revisión periódica de rutina, sobre todo mientras te preparas para la vigencia plena, prevista para diciembre de 2026.

El error más común, y el más riesgoso, es copiar una plantilla genérica o un texto pensado para el RGPD europeo. Chile tiene particularidades que una plantilla importada no recoge: la situación socioeconómica es un dato sensible en la ley chilena (algo distintivo frente a otros marcos), la autoridad de control es la Agencia de Protección de Datos Personales, y en materia de brechas la ley exige notificar sin dilaciones indebidas y por el medio más expedito posible, no en el plazo de 72 horas que se suele citar del modelo europeo. Una política que menciona reglamentos o autoridades que no aplican en Chile pierde credibilidad y puede inducir a error.

Otros errores frecuentes que conviene revisar antes de publicar:

• Describir finalidades vagas o genéricas que no reflejan el uso real de los datos.
• No indicar la base de licitud, o apoyarse en el consentimiento cuando otra base encaja mejor.
• Omitir a los proveedores o encargados que efectivamente acceden a los datos.
• No ofrecer un canal claro y operativo para ejercer los derechos ARSOP.
• Prometer medidas de seguridad o certificaciones que no tienes: la ley pide medidas adecuadas al riesgo, con un enfoque de responsabilidad proactiva, no una lista técnica cerrada ni una certificación específica obligatoria.
• Dejar la política desactualizada respecto de lo que la empresa hace hoy.

Preguntas frecuentes

¿La política de privacidad es obligatoria con la Ley 21.719?

La ley establece un deber de información y transparencia: al recabar datos debes informar al titular de forma clara quién los trata, para qué, bajo qué base de licitud y cómo ejercer sus derechos. La política de privacidad es la vía estándar para cumplir ese deber, así que en la práctica es un documento que tu empresa necesita tener.

¿Sirve la política de privacidad que ya tengo bajo la Ley 19.628?

Puede ser un punto de partida, pero conviene revisarla. La Ley 21.719 actualiza el marco, refuerza principios como la transparencia y la responsabilidad proactiva, incorpora derechos y bases de licitud, y crea la Agencia de Protección de Datos Personales. Una política antigua suele quedarse corta en base de licitud, criterios de conservación y canales para ejercer derechos.

¿Puedo usar una plantilla del RGPD europeo y adaptarla?

No es recomendable copiarla tal cual. Hay diferencias importantes: en Chile la situación socioeconómica es un dato sensible, la autoridad es la Agencia de Protección de Datos Personales, y ante una brecha la ley pide notificar sin dilaciones indebidas y por el medio más expedito, no en un plazo fijo de 72 horas. Una plantilla europea sin adaptar puede incluir referencias que no aplican.

¿Necesito pedir consentimiento para todo?

No. El consentimiento es una base de licitud, pero no la única. También existen la ejecución de un contrato en que el titular es parte, el cumplimiento de una obligación legal y el interés legítimo ponderado frente a los derechos del titular, entre otras. Lo recomendable es mapear cada tratamiento y asignarle la base más apropiada.

¿Cada cuánto debo actualizar la política?

Cada vez que cambie algo relevante en tu tratamiento de datos: nuevas finalidades, nuevos proveedores o herramientas que acceden a datos, nuevos canales de recolección o cambios en los plazos de conservación. Además, conviene una revisión periódica de rutina, especialmente durante la preparación para la vigencia plena, prevista para diciembre de 2026.

¿Debo nombrar un delegado de protección de datos (DPO) en la política?

Si tu organización cuenta con un delegado o encargado de protección de datos, es buena práctica incluir sus datos de contacto en la política para que los titulares tengan un canal claro. Si no tienes uno, de todas formas debes ofrecer un correo o formulario operativo donde las personas puedan consultar y ejercer sus derechos.