Política de privacidad y Ley 21.719: los 12 ítems del artículo 14 ter

Tienes una política de privacidad publicada en tu sitio. La copiaste de otra empresa, la generaste con una plantilla o te la armaron cuando lanzaste la web, y hace años que nadie la toca. Desde el 1 de diciembre de 2026, en Chile, la información que ese documento tiene que poner a disposición del público está definida por ley, ítem por ítem. Cuando falta alguno de esos ítems, no es por mala redacción: falta porque nadie levantó antes la información que hay que declarar.

¿Qué debe incluir una política de privacidad según la Ley 21.719?

El artículo 14 ter obliga al responsable de datos a facilitar y mantener permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente, al menos 12 ítems de información. Vale la pena leer bien la estructura, porque es fácil contarla mal: el primer ítem, la letra a), es la política de tratamiento de datos personales que hayas adoptado, con su fecha y versión. Los otros once son información que en la práctica se publica dentro de esa misma política. Por eso no son «12 contenidos de la política»: la letra a) no puede ser contenido de sí misma. La política es el documento donde todo lo demás queda ordenado y accesible.

«Responsable» es quien decide para qué y cómo se usan los datos, y en una PyME ese rol recae sobre la propia empresa cuando es ella la que define finalidades y medios. La obligación no depende de tu tamaño ni de tu rubro: la ley no contempla un umbral de facturación ni de número de trabajadores que te deje afuera. El artículo 1 bis va incluso más lejos y alcanza a responsables no establecidos en Chile, cuando sus operaciones están destinadas a ofrecer bienes o servicios a titulares que se encuentran en el país o a monitorear su comportamiento.

La Ley 21.719 no es una ley nueva que reemplace a la anterior: técnicamente modifica la Ley 19.628 y le reescribe casi todo el articulado, incluido su nombre. Si recién estás partiendo, conviene que primero revises qué es la Ley 21.719 y a quién obliga, porque la política de tratamiento es la punta visible de un conjunto de deberes más amplio.

Los 12 ítems del artículo 14 ter, uno por uno

Esta es la lista completa, en el orden de las letras del artículo. La tercera columna recoge el error típico de una política armada desde un modelo genérico.

Sobre la letra b), una precisión que evita un error frecuente: la ley no te obliga a designar un delegado de protección de datos. El artículo 50 dice que el responsable «podrá» designarlo, y solo se vuelve exigible como componente de un modelo de prevención de infracciones que el artículo 49 declara voluntario. Si no tienes uno, la política simplemente no declara ese cargo. No inventes un DPO para llenar una casilla.

Sobre la letra f), otra precisión: los cinco derechos que enumera el artículo 14 ter no agotan el catálogo de la ley. El artículo 8 ter reconoce además el derecho de bloqueo, que suspende temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición, y el artículo 8 bis reconoce el derecho a no ser objeto de ciertas decisiones automatizadas. Y la portabilidad tiene un alcance más acotado de lo que suena: el artículo 9 la reconoce solo cuando el tratamiento es automatizado y, copulativamente, está basado en el consentimiento. Declararla como si aplicara a todos tus datos es prometer de más.

Las cuatro fallas de una política copiada

Una plantilla escrita para el RGPD europeo o para la ley mexicana no puede cubrir el artículo 14 ter: responde a otro catálogo de derechos, a otra nomenclatura y a otra autoridad de control. Y ninguna plantilla, del origen que sea, puede declarar hechos concretos sobre tu operación. De ahí salen cuatro fallas concretas.

1. No hay versionado. Sin fecha ni número de versión, no puedes demostrar qué decía tu política el día en que recolectaste un dato.
2. No hay base de legitimidad por tratamiento. Se asume que todo se hace «con el consentimiento del usuario», cuando en la práctica hay tratamientos que se apoyan en la ejecución de un contrato o en una obligación legal, que son bases distintas del artículo 13.
3. No hay plazos de conservación. Falta porque declarar un plazo obliga a tomar antes una decisión —cuándo eliminas los datos— que ninguna plantilla puede tomar por ti.
4. No se declaran las automatizaciones. Si tu sistema decide algo sobre una persona sin intervención humana, hay que declararlo y explicar la lógica.

Ninguna de esas cuatro cosas se resuelve escribiendo mejor. Se resuelven mirando tu operación real: qué datos tienes, de quién, para qué, con quién los compartes y hasta cuándo. Ese trabajo previo es el mismo que después necesitas para documentar tus tratamientos en una matriz interna, y conviene hacerlo una sola vez y bien.

¿Qué significa que la política tenga fecha y versión?

La letra a) exige dos cosas concretas: identificar la política adoptada y declarar su fecha y su versión. Se resuelve con un encabezado del tipo «Versión 2.1 — vigente desde el 15 de enero de 2027». Guardar el historial de versiones anteriores y dejarlo accesible no lo exige el artículo 14 ter, así que no lo presentes como obligación; es buena práctica probatoria, y muy recomendable, porque la carga de la prueba está puesta en ti.

Dos ejemplos de esa carga: el artículo 12 pone en el responsable la prueba de que obtuvo el consentimiento, y el artículo 14 quinquies establece que, ante la ocurrencia de un incidente de seguridad y en caso de controversia judicial o administrativa, corresponde al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas. Si alguien reclama por un tratamiento de 2027 y tu única política publicada es la de 2029, no tienes cómo mostrar qué se le informó.

¿Cómo se declara la base de legitimidad de cada tratamiento?

La base de legitimidad es la razón legal que te habilita a tratar un dato. La regla general del artículo 12 es el consentimiento, pero el artículo 13 establece cinco fuentes de licitud que no requieren consentimiento. Declarar una sola base para toda la empresa no funciona: lo correcto es asignar una base por finalidad, porque la nómina de tus trabajadores no se trata por la misma razón que tu newsletter.

Ojo con el interés legítimo: no basta con nombrarlo. Si esa es tu base, la letra d) del artículo 14 ter exige decir cuál es el interés en concreto. «Interés legítimo comercial» no informa nada; «prevenir fraude en pagos con tarjeta» sí.

¿Qué hay que decir sobre los períodos de conservación?

La letra i) exige declarar el período de conservación de los datos. La ley no fija los plazos por ti: los defines tú, con un criterio defendible, y los publicas. Un plazo puede estar amarrado a una obligación legal (documentación tributaria y laboral), a la duración de la relación contractual más un margen para reclamos, o a un tiempo fijo desde el último contacto en el caso de datos de marketing. Lo que no se puede es dejarlo abierto. Si escribes «hasta que sea necesario», no declaraste un período, declaraste una intención.

¿Qué hay que informar si uso decisiones automatizadas o perfilamiento?

La letra l) es fácil de pasar por alto en una PyME, porque se asocia a la inteligencia artificial y no a herramientas de uso corriente. Si tu sistema asigna un puntaje de riesgo a un cliente, aprueba o rechaza automáticamente una solicitud, segmenta usuarios por comportamiento o recomienda precios distintos según el perfil, estás haciendo decisiones automatizadas o elaboración de perfiles. El deber de informar su existencia, la lógica aplicada y las consecuencias previstas corre igual, sea cual sea el impacto de esa decisión sobre la persona.

La existencia de decisiones automatizadas, incluida la elaboración de perfiles. En tales casos, información significativa sobre la lógica aplicada, así como las consecuencias previstas de dicho tratamiento para el titular.

Ley N° 21.719, artículo 14 ter, letra l) — texto oficial en BCN / Ley Chile

«Información significativa sobre la lógica aplicada» no es publicar tu código ni tu modelo. Es explicar, en lenguaje comprensible, qué variables pesan en la decisión y qué le puede pasar al titular a partir de ella.

Hay dos normas adicionales que conviene tener a la vista, y que no se activan siempre. El artículo 8 bis reconoce al titular el derecho a oponerse y a no ser objeto de decisiones automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos en él o le afecten significativamente. Ese derecho no aplica en tres casos: cuando la decisión es necesaria para celebrar o ejecutar un contrato con el titular, cuando hay consentimiento previo y expreso, o cuando lo señala la ley, siempre que esa ley disponga salvaguardas a los derechos y libertades del titular. Pero incluso en esos tres casos el responsable debe garantizar el derecho a información, a obtener una explicación de la decisión, a la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión. Por eso el deber de la letra l) y el derecho del 8 bis no coinciden exactamente: declaras siempre, y el derecho de oposición nace solo en el escenario más gravoso.

La segunda norma es el artículo 15 ter, que exige una evaluación de impacto previa al inicio del tratamiento cuando haya una evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, como el perfilamiento, con efectos jurídicos significativos. Si estás en ese terreno, la política es el último paso, no el primero: primero evalúas, después informas.

¿Dónde debe estar publicada y en qué lenguaje?

El artículo 14 ter exige mantener la información permanentemente a disposición del público, en el sitio web del responsable o en cualquier otro medio de información equivalente. «Permanentemente» descarta entregarla solo cuando alguien la pide por correo. «Medio equivalente» es la salida para quien no tiene sitio web: un panel visible en el local, un documento entregado al inicio de la relación o un enlace estable en la app pueden servir, siempre que estén permanentemente disponibles. La ley no define qué cuenta como equivalente, y el estándar mínimo lo debe fijar la Agencia por instrucción general, según el artículo 14 septies. Esa instrucción todavía no se ha dictado, así que hoy el criterio para elegir el medio es tuyo y tienes que poder defenderlo.

Sobre el lenguaje, la ley aplica estándares diferenciados por esa misma vía. El artículo 14 septies establece que los estándares mínimos de los deberes de información y de seguridad se determinan considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según el artículo 2 de la Ley 20.416, la actividad que desarrolla y el volumen, naturaleza y finalidades de los datos personales que trata. A agosto de 2026 esa instrucción general no existe porque la Agencia no está constituida. Mientras tanto, el criterio razonable es el mismo que la ley usa para comunicar vulneraciones a los titulares: lenguaje claro y sencillo.

Política de tratamiento, aviso de privacidad y consentimiento: no son lo mismo

Se usan como sinónimos y no lo son. El documento que exige el artículo 14 ter se llama política de tratamiento de datos personales. «Aviso de privacidad» es el nombre que se usa en otras jurisdicciones y arrastra plantillas que responden a otras exigencias. Y el consentimiento es un acto del titular, no un documento tuyo.

Hay una cuarta pieza que no se confunde con la política, pero que suele aparecer en el mismo paquete de trabajo: el contrato con el encargado. El artículo 15 bis exige que el tratamiento que un tercero hace por cuenta tuya se rija por un contrato que establezca objeto del encargo, duración, finalidad del tratamiento, tipo de datos tratados, categorías de titulares y derechos y obligaciones de las partes. Es un documento privado entre empresas; la política es pública. Cuando levantas tus destinatarios para la letra d), estás levantando también la lista de contratos que te faltan.

¿Cómo armar una política que sí cumpla, paso a paso?

1. Levanta tus tratamientos realesLista cada finalidad para la que usas datos: venta, facturación, despacho, postventa, marketing, selección de personal, nómina, videovigilancia. Anota qué datos ocupas en cada una y de quién son.
2. Asigna una base de licitud a cada finalidadUsa la tabla de bases de este artículo. Si la base es el interés legítimo, escribe en una frase cuál es. Si es consentimiento, verifica que puedas probar cómo lo obtuviste y que hayas explicado cómo se retira.
3. Define un plazo de conservación por finalidadAmarra cada plazo a un hecho verificable: fin del contrato, término del plazo tributario, último contacto del suscriptor. Deja escrito qué pasa al vencer: se suprime o se anonimiza.
4. Identifica destinatarios y salidas del paísRevisa tus proveedores: correo, nube, facturación electrónica, CRM, chat de soporte, analítica. Declara los destinatarios y, si los datos salen de Chile, con qué garantías. A agosto de 2026 la Agencia no está constituida, de modo que no hay listado de países con nivel adecuado ni cláusulas modelo aprobadas: hoy el apoyo son tus propias garantías contractuales o las excepciones del artículo 27.
5. Declara automatizaciones y perfilamientoRevisa scoring, segmentación, aprobaciones automáticas y recomendadores. Explica la lógica en lenguaje simple y las consecuencias previstas para la persona.
6. Redacta, fecha y versionaCubre las 12 letras en el mismo orden y ponle número de versión y fecha de vigencia, que es lo que exige la letra a). Guardar el historial de versiones anteriores no lo exige la ley, pero es lo que después te permite acreditar qué informaste y cuándo.
7. Publica y agenda la revisiónDéjala accesible de forma permanente en tu sitio o medio equivalente, y fija una revisión cada vez que agregues un proveedor, una finalidad o una automatización.

Los pasos 1 a 4 son el trabajo pesado, y son los mismos que necesitas para el resto del cumplimiento. Si quieres el orden completo de la adecuación, revisa la guía sobre cómo implementar la Ley 21.719 paso a paso.

Checklist de autoevaluación de 12 puntos

Abre tu política actual y responde sí o no. Cada «no» es una brecha concreta que hay que cerrar antes del 1 de diciembre de 2026.

1. ¿La política tiene número de versión y fecha de vigencia visibles?
2. ¿Individualiza al responsable (razón social y RUT), a su representante legal y al encargado de prevención o delegado, si existe?
3. ¿Declara un canal específico, designado como tal, para que el titular presente sus solicitudes?
4. ¿Detalla categorías de datos, universo de personas, destinatarios, finalidades y la base de legitimidad de cada tratamiento?
5. ¿Describe medidas de seguridad concretas y no promesas genéricas?
6. ¿Enumera los cinco derechos de la letra f): acceso, rectificación, supresión, oposición y portabilidad?
7. ¿Informa el derecho a recurrir ante la Agencia de Protección de Datos Personales?
8. ¿Declara las transferencias internacionales y las garantías que las respaldan?
9. ¿Fija un período de conservación por cada finalidad?
10. ¿Indica la fuente de los datos y si provienen de fuentes de acceso público?
11. Si algún tratamiento se basa en el consentimiento, ¿explica cómo retirarlo en cualquier momento y no solo cómo otorgarlo?
12. ¿Declara decisiones automatizadas y perfilamiento, con la lógica aplicada y sus consecuencias previstas?

Si te faltan varios puntos, el problema no está en la redacción: los 12 ítems del artículo 14 ter piden información que ninguna plantilla genérica podía traer, porque depende de tu operación. La auditoría en línea de Check21 recorre estas 12 letras junto con el resto de los deberes de la ley y te devuelve un informe de brechas, un plan de acción priorizado, las matrices de tratamiento y un kit documental para trabajar. Es una herramienta de levantamiento y ordenamiento: te dice qué información te falta y en qué orden atacarla. Si prefieres entender antes el alcance de una revisión, mira en qué consiste una auditoría de protección de datos.

Hay decisiones de este trabajo que son propiamente jurídicas y piden un abogado. Qué base de licitud aplica a un tratamiento discutible, cómo se redacta la garantía contractual de una transferencia internacional, cómo se sostiene una posición ante la Agencia o cómo se responde una solicitud de titular que llega con exigencias que exceden la ley son cuestiones de interpretación y de estrategia, no de formulario. Ese criterio profesional es el que le da valor jurídico a todo el resto del expediente.

¿Qué riesgo hay si no cumplo?

La Ley 21.719 clasifica las infracciones en leves, graves y gravísimas, calificadas según su gravedad respecto de los principios y deberes de la ley. Los topes del artículo 35 son 5.000 UTM para las leves, 10.000 UTM para las graves y 20.000 UTM para las gravísimas. Con la UTM de agosto de 2026 ($71.649), 20.000 UTM equivalen a aproximadamente $1.433 millones. Esa cifra es referencial: la UTM se reajusta todos los meses y el monto aplicable depende del valor vigente al momento de la sanción, no al de esta publicación.

Ese tope máximo no es lo que le va a pasar a una PyME típica, y decir lo contrario sería exagerar. Hay además una ventana transitoria: durante los primeros doce meses de vigencia, cuando proceda una sanción para empresas calificadas de menor tamaño, la Agencia podrá aplicar una amonestación por escrito. Dos matices honestos sobre eso: es una facultad de la Agencia y no un derecho tuyo, y esa amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento, que es público y gratuito, con anotaciones accesibles por cinco años.