En Chile, una política de privacidad conforme a la Ley 21.719 debe publicar de forma permanente los doce contenidos del artículo 14 ter: quién es el responsable, cómo contactarlo, qué datos trata, para qué y con qué base, con quién los comparte, cuánto tiempo los conserva, qué derechos tiene el titular y cómo protege la información.
Lo esencial en 30 segundos
- El artículo 14 ter enumera doce contenidos mínimos, de la letra a) a la l), que deben estar «permanentemente a disposición del público».
- Entra en vigencia el 1 de diciembre de 2026, salvo que se apruebe la prórroga que hoy tramita la Cámara (Boletín 18.623-07). La Ley 19.628 vigente hoy no tiene un deber de publicación equivalente.
- No publicarla o publicarla incompleta es infracción leve (artículo 34 bis letra a): amonestación escrita o multa de hasta 5.000 UTM.
- El ejemplo sirve como estructura, no como texto final: cada campo debe describir los tratamientos reales de tu empresa.
- La plantilla en Word de este artículo trae los doce bloques con instrucciones para completarlos.
La política de privacidad es el documento público en el que una organización explica qué datos personales trata, para qué, con qué base legal y cómo puede la persona ejercer sus derechos. Con la Ley 21.719 deja de ser una buena práctica y pasa a ser un deber legal: el artículo 14 ter fija lo que debe contener como mínimo. Si buscas el panorama general, parte por el resumen de la Ley 21.719. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Este artículo trae un ejemplo completo, ordenado según esas doce letras, y una plantilla para descargar. Si lo que necesitas es el criterio para redactarla desde cero, revisa cómo redactar una política de privacidad. Fuentes revisadas el 3 de noviembre de 2026.
¿Qué es una política de privacidad y quién debe tenerla en Chile?
Una política de privacidad es la información que el responsable de datos pone a disposición del público para explicar cómo trata los datos personales. En la Ley 21.719 corresponde a la letra a) del artículo 14 ter, que exige publicar «la política de tratamiento de datos personales que haya adoptado, la fecha y versión de la misma», junto con otros once contenidos.
El deber alcanza a todo responsable de datos, es decir, a quien decide sobre el tratamiento: empresas de cualquier tamaño, fundaciones y órganos públicos. La información debe estar en el sitio web «o en cualquier otro medio de información equivalente», de forma permanente. Si tu empresa no tiene domicilio en Chile pero trata datos de personas residentes en el país, el artículo 14 le exige además mantener un correo u otro medio de contacto operativo.
La regla rige desde el 1 de diciembre de 2026, la fecha que fija hoy el artículo primero transitorio. El Senado aprobó un proyecto de prórroga que la llevaría al 15 de octubre de 2027, pero al 3 de noviembre de 2026 está en la Cámara de Diputados y no es ley. La Ley 19.628 vigente hoy no contiene un deber de publicación equivalente.
¿Qué debe incluir una política de privacidad según el artículo 14 ter?
El artículo 14 ter enumera doce contenidos mínimos. La tabla los resume y muestra cómo se traducen en la política.
| Letra | Qué exige la ley | Cómo se ve en la política |
|---|---|---|
| a) | La política de tratamiento adoptada, con fecha y versión | Encabezado con número de versión y fecha de vigencia |
| b) | Individualización del responsable y su representante legal, y del encargado de prevención si existe | Razón social, RUT, domicilio y nombre del representante legal |
| c) | Domicilio postal, correo, formulario o medio equivalente para recibir solicitudes | Sección de contacto para ejercer derechos |
| d) | Categorías de datos, universo de personas, destinatarios, finalidades, base de legitimidad e intereses legítimos invocados | Tabla de finalidades con su base legal y destinatarios |
| e) | Política y medidas de seguridad | Descripción general de las medidas técnicas y organizativas |
| f) | Derecho a solicitar acceso, rectificación, supresión, oposición y portabilidad | Sección de derechos ARSOP |
| g) | Derecho a recurrir ante la Agencia si el responsable rechaza o no responde a tiempo | Mención expresa de la Agencia de Protección de Datos Personales |
| h) | Transferencias a terceros países u organizaciones internacionales y si ofrecen un nivel adecuado; si no, las garantías | Sección de transferencias internacionales |
| i) | Período de conservación de los datos | Plazo o criterio de conservación por tipo de dato |
| j) | Fuente de los datos y si proceden de fuentes de acceso público | Sección de origen de los datos |
| k) | Si la base es el consentimiento, el derecho a retirarlo en cualquier momento | Instrucción para retirar el consentimiento |
| l) | Decisiones automatizadas y perfiles, con información significativa sobre la lógica y sus consecuencias | Sección de decisiones automatizadas, o la declaración de que no se usan |
La letra d) es la que más trabajo exige, porque obliga a declarar por cada tratamiento su finalidad y su base de legitimidad. Las bases distintas del consentimiento están en el artículo 13: datos de obligaciones económicas, obligación legal, contrato, interés legítimo y defensa de un derecho. Las explicamos en bases de licitud y consentimiento.
Ejemplo de política de privacidad para adaptar
El siguiente modelo sigue el orden del artículo 14 ter. Los textos en mayúsculas entre corchetes son campos que debes completar. Las finalidades y bases son ejemplos: reemplázalos por los tratamientos reales de tu empresa.
1. Quiénes somos (letras a y b)
Política de tratamiento de datos personales de [RAZÓN SOCIAL], RUT [NÚMERO], con domicilio en [DIRECCIÓN]. Versión [N], vigente desde el [FECHA]. Somos responsables del tratamiento de los datos personales descritos en esta política. Nuestro representante legal es [NOMBRE]. Si contamos con encargado de prevención, lo identificamos aquí: [NOMBRE O CARGO DEL ENCARGADO DE PREVENCIÓN O DELEGADO DE PROTECCIÓN DE DATOS].
2. Cómo contactarnos (letra c)
Para cualquier consulta o para ejercer tus derechos, escríbenos a [CORREO] o usa el formulario disponible en [URL]. Nuestro domicilio postal es [DIRECCIÓN].
3. Qué datos tratamos y de quiénes (letra d)
Tratamos datos de [CLIENTES, PROSPECTOS, PROVEEDORES, POSTULANTES, VISITANTES DEL SITIO WEB]. Las categorías de datos son: [IDENTIFICACIÓN, CONTACTO, DATOS COMERCIALES, DATOS DE NAVEGACIÓN]. [INDICA SI TRATAS DATOS SENSIBLES Y CON QUÉ BASE; SI NO LOS TRATAS, DILO EXPRESAMENTE].
4. Para qué usamos tus datos y con qué base legal (letra d)
Usamos tus datos para: (i) gestionar la relación contractual contigo, con base en la ejecución de un contrato (artículo 13 letra c); (ii) cumplir obligaciones tributarias y contables, con base en una obligación legal (artículo 13 letra b); (iii) enviarte información comercial, solo si nos diste tu consentimiento, que puedes retirar en cualquier momento; y (iv) [FINALIDAD], con base en nuestro interés legítimo, que consiste en [DESCRIBE EL INTERÉS].
5. Con quiénes compartimos tus datos (letra d)
Compartimos datos con [PROVEEDORES DE TECNOLOGÍA, COMO ALOJAMIENTO, CORREO O CRM], que los tratan por nuestra cuenta como encargados y bajo contrato. También los comunicamos a autoridades cuando una ley lo exige. [NO VENDEMOS DATOS PERSONALES: CONFÍRMALO O ELIMINA ESTA FRASE.]
6. Transferencias internacionales (letra h)
Algunos de nuestros proveedores almacenan datos en [PAÍS U ORGANIZACIÓN INTERNACIONAL]. [INDICA SI ESE DESTINO OFRECE UN NIVEL ADECUADO DE PROTECCIÓN; SI NO, DESCRIBE LAS GARANTÍAS, POR EJEMPLO CLÁUSULAS CONTRACTUALES]. Si no realizamos transferencias internacionales, lo declaramos aquí.
7. Cuánto tiempo conservamos tus datos (letra i)
Conservamos los datos de clientes durante [PLAZO O CRITERIO], los de prospectos durante [PLAZO] desde el último contacto y los que exige la normativa tributaria durante el plazo que esta fija. Vencido el plazo, los suprimimos o anonimizamos.
8. De dónde obtenemos tus datos (letra j)
Obtenemos los datos directamente de ti, a través de [FORMULARIOS, CONTRATOS, CORREO]. [SI ALGUNOS PROVIENEN DE TERCEROS O DE FUENTES DE ACCESO PÚBLICO, INDICA CUÁLES].
9. Cómo protegemos tus datos (letra e)
Aplicamos medidas técnicas y organizativas proporcionales al riesgo, como [CONTROL DE ACCESOS, CIFRADO, RESPALDOS, CAPACITACIÓN DEL PERSONAL]. Nuestra política de seguridad está disponible en [UBICACIÓN].
10. Tus derechos (letras f, g y k)
Puedes solicitarnos acceso, rectificación, supresión, oposición y portabilidad de tus datos escribiendo a [CORREO]. Responderemos dentro del plazo legal. Si rechazamos tu solicitud o no respondemos a tiempo, puedes recurrir ante la Agencia de Protección de Datos Personales. Cuando el tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento, sin que ello afecte la licitud del tratamiento previo.
11. Decisiones automatizadas (letra l)
[NO TOMAMOS DECISIONES AUTOMATIZADAS NI ELABORAMOS PERFILES CON TUS DATOS.] O bien: [DESCRIBE LA DECISIÓN O EL PERFIL, LA LÓGICA APLICADA Y SUS CONSECUENCIAS PREVISTAS PARA TI]. Tienes derecho a oponerte y a no ser objeto de decisiones basadas en el tratamiento automatizado de tus datos que produzcan efectos jurídicos en ti o te afecten significativamente, salvo en los casos que señala la ley.
12. Cambios a esta política (letra a)
Publicaremos cada nueva versión en esta página, con su número y su fecha de vigencia. Versión vigente: [N], del [FECHA].
Plantilla de política de privacidad para la Ley 21.719 (Word)
Los doce bloques del artículo 14 ter con los campos para completar y una instrucción breve en cada uno. Úsala como borrador: cada campo debe describir los tratamientos reales de tu empresa.
Descargar plantilla (.docx) Versión 1.0, noviembre de 2026. Uso libre dentro de tu organización. No constituye asesoría legal.¿Cómo adaptar el ejemplo a tu empresa?
La política resume lo que tu empresa ya hace con los datos, así que no se puede escribir antes de saberlo. El orden práctico es este:
- Haz el inventario primero. Lista cada tratamiento con su finalidad, sus datos, sus destinatarios y su plazo. La plantilla de RAT en Excel trae esas columnas.
- Asigna una base por finalidad. El consentimiento no es la única base: un contrato o una obligación legal suelen ser más estables, porque no se pueden retirar.
- Declara el interés legítimo cuando lo uses. La letra d) del artículo 14 ter exige decir cuál es; no basta con mencionar que existe.
- Revisa a tus proveedores. Cada uno que trate datos por tu cuenta debe aparecer como destinatario y tener un contrato de encargo. Lo explicamos en contratos con encargados (DPA).
- Prepara el canal de solicitudes antes de publicar. El correo o formulario de la letra c) debe funcionar desde el primer día, porque desde ahí llegarán las solicitudes de derechos ARSOP.
- Pon fecha y versión. Es un requisito expreso de la letra a), y permite demostrar qué texto estaba vigente en cada momento.
¿Qué errores conviene evitar?
- Copiar la política de otra empresa. Las finalidades, los destinatarios y los plazos de otra organización no describen tus tratamientos, y la letra d) exige describir los tuyos.
- Usar terminología extranjera. Hablar de «derechos ARCO» o citar el RGPD europeo como si fuera la norma chilena confunde al lector; la ley chilena habla de acceso, rectificación, supresión, oposición y portabilidad.
- Pedir consentimiento para todo. Si la base real es un contrato, presentarla como consentimiento crea un derecho a retirarlo que no podrás respetar. Además, el artículo 12 presume que el consentimiento no fue libre cuando se pide en un contrato en que esa recolección no es necesaria.
- Omitir los plazos de conservación. La letra i) pide el período; «el tiempo necesario» sin un criterio no lo informa.
- Olvidar la Agencia. La letra g) exige informar que el titular puede recurrir ante ella.
- Mezclarla con la política de cookies. El banner de cookies recoge preferencias; la política informa. Si las cookies tratan datos personales, deben aparecer en la política como cualquier otro tratamiento. Más detalle en cookies y consentimiento.
¿Qué pasa si la política de privacidad no cumple?
Incumplir total o parcialmente el deber de información y transparencia del artículo 14 ter es una infracción leve (artículo 34 bis letra a). También lo es carecer de un domicilio postal, correo o medio equivalente actualizado y operativo para que los titulares ejerzan sus derechos (artículo 34 bis letra b). Para empresas y demás responsables privados, las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM (artículo 35 letra a). Los órganos públicos tienen un régimen propio (artículo 44).
La política también es lo primero que se ve desde fuera. Publicarla incompleta deja a la vista que el resto del programa de cumplimiento puede estarlo. El régimen completo está en multas y sanciones de la Ley 21.719, y el marco general en nuestra guía de la ley de protección de datos personales.
Si prefieres que la redactemos a partir de tus tratamientos reales, ese es nuestro servicio de política de privacidad conforme a la Ley 21.719.
¿Tu política de privacidad cumple los doce puntos del artículo 14 ter?
En un diagnóstico de 30 minutos revisamos tu política actual frente a la ley y te decimos qué falta y qué tratamientos hay que documentar primero.
Solicitar diagnósticoPreguntas frecuentes
¿Es obligatorio tener una política de privacidad en Chile?
Sí, desde el 1 de diciembre de 2026. El artículo 14 ter de la Ley 21.719 exige a todo responsable de datos mantener permanentemente a disposición del público, en su sitio web o en un medio equivalente, la política de tratamiento adoptada y otros once contenidos. La Ley 19.628 vigente hoy no tiene un deber de publicación equivalente.
¿Qué debe contener una política de privacidad según la Ley 21.719?
Los doce contenidos del artículo 14 ter: la política con fecha y versión, la identidad del responsable, el canal de contacto, los datos, las finalidades, las bases y los destinatarios, las medidas de seguridad, los derechos ARSOP, el derecho a recurrir ante la Agencia, las transferencias internacionales, el plazo de conservación, el origen de los datos, el derecho a retirar el consentimiento y las decisiones automatizadas.
¿Puedo copiar la política de privacidad de otra empresa?
No es recomendable. La letra d) del artículo 14 ter exige declarar las categorías de datos, las finalidades, las bases y los destinatarios de tus propios tratamientos. Una política copiada describe los de otra organización y deja la información incompleta o incorrecta, que es justamente lo que sanciona el artículo 34 bis letra a).
¿Qué multa arriesga una empresa sin política de privacidad?
Incumplir total o parcialmente el deber del artículo 14 ter es una infracción leve (artículo 34 bis letra a). Para una empresa, las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, según el artículo 35 letra a).
¿La política de privacidad reemplaza al consentimiento?
No. La política informa; el consentimiento es una de las bases que autorizan un tratamiento. Cuando la base es el consentimiento, debe ser libre, informado, específico en cuanto a su finalidad, previo e inequívoco, según el artículo 12, y la política debe informar el derecho a retirarlo (artículo 14 ter letra k).
¿Dónde debe publicarse la política de privacidad?
En el sitio web del responsable o en cualquier otro medio de información equivalente, y de forma permanente, según el artículo 14 ter. Conviene enlazarla desde el pie de página y desde cada formulario que recoja datos.
¿Cada cuánto hay que actualizar la política de privacidad?
La ley no fija una periodicidad. Exige que la política indique su fecha y versión (artículo 14 ter letra a), así que debe actualizarse cada vez que cambie un tratamiento, un destinatario, un plazo o una transferencia, y dejar registro de cada versión.
¿Una empresa extranjera que vende en Chile necesita política de privacidad?
Sí, si ofrece bienes o servicios a personas en Chile o monitorea su comportamiento, que son los casos en que el artículo 1 bis extiende la ley a responsables establecidos en el extranjero. Además, el artículo 14 exige al responsable sin domicilio en Chile mantener actualizado y operativo un correo u otro medio de contacto para los titulares y la Agencia.
Fuentes oficiales
- Ley 19.628 consolidada con las modificaciones de la Ley 21.719 (versión vigente desde el 1 de diciembre de 2026) — artículos 12, 13, 14, 14 ter, 34 bis y 35
- Ley 21.719 — texto publicado y disposiciones transitorias, Biblioteca del Congreso Nacional
- Ley 19.628 sobre protección de la vida privada — texto vigente hasta el 30 de noviembre de 2026
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.