Ley de datos

Política de privacidad: por qué la que copiaste de internet no te sirve

La pegaste al pie de tu sitio hace años y nunca la volviste a mirar. Qué tiene que decir realmente una política de tratamiento en Chile y cómo escribir la tuya, punto por punto.

26 de septiembre de 2026 · 7 min de lectura

Está al pie de tu sitio, en letra chica, junto a "Términos y condiciones". La pegaste cuando armaste la web, la sacaste de otra página que se veía seria y nunca más la abriste.

Si entras hoy, probablemente encuentres el nombre de otra empresa en algún párrafo, una referencia a una ley que no es la chilena, un correo que ya no revisas y una frase tipo "nos reservamos el derecho de modificar esta política sin previo aviso".

Eso no es un descuido cosmético. Es el documento con el que le explicas a tus clientes qué haces con sus datos, y desde el 1 de diciembre de 2026 es una obligación con contenido definido, no un adorno legal del pie de página.

¿Qué es realmente una política de tratamiento?

Empecemos por el nombre, porque importa. En Chile el documento se llama política de tratamiento de datos personales. "Política de privacidad" es como lo conocemos todos, pero lo que la Ley 21.719 exige publicar es algo más concreto: la explicación de qué datos recoges, para qué, con qué permiso, con quién los compartes, cuánto tiempo los guardas y cómo alguien puede pedirte que se los muestres o los borre.

No es un texto para abogados. Es un texto para tus clientes, y por eso tiene que estar escrito de forma que se entienda.

Dos términos que vas a necesitar y que conviene fijar de entrada. Base de licitud es el permiso legal que te habilita para tratar un dato: puede ser el consentimiento de la persona, la ejecución de un contrato, una obligación legal o un interés legítimo tuyo. Dato sensible es el que merece protección reforzada, como los datos de salud, y para tratarlo necesitas consentimiento expreso.

¿Por qué la copiada no sirve?

Porque una política de tratamiento describe tu operación, y la de otro describe la suya. Si tú agendas horas y guardas fichas y el modelo que copiaste era de una tienda de ropa, el documento habla de despachos y devoluciones mientras tú tratas datos de salud.

Hay tres problemas concretos con el copiar y pegar:

Describe algo que no haces. Menciona servicios, proveedores o finalidades que no son tuyas, y omite las que sí lo son.
Te compromete a cosas que no cumples. Si el texto promete responder en 48 horas y tú demoras tres semanas, ese documento juega en tu contra.
No te sirve como prueba. La ley pone la carga de acreditar la licitud del tratamiento en quien trata los datos. Un documento que no corresponde a tu operación no acredita nada.

Ese último punto es el que más se pasa por alto. El valor de la política no está en tenerla publicada: está en que sea verdad y en que puedas demostrarlo.

¿Qué tiene que decir la tuya?

El artículo 14 ter de la Ley 21.719 establece un deber de información y transparencia: mantener permanentemente publicada en el sitio web una política de tratamiento con fecha y versión. Estos son los contenidos mínimos, traducidos a lo que te toca escribir:

Quién eres. Nombre o razón social, RUT, domicilio y un canal de contacto real para temas de datos.
Qué datos recoges. Por categorías: identificación, contacto, datos de pago, datos de salud si es tu caso.
De quiénes. Clientes, pacientes, postulantes, visitantes del sitio.
Para qué. La finalidad de cada tratamiento, específica. "Mejorar nuestros servicios" no es una finalidad.
Con qué base de licitud. Y si invocas interés legítimo, cuál es.
A quién se los entregas. Destinatarios: tu sistema de agenda, tu pasarela de pago, tu correo masivo, tu contador.
Si salen de Chile. Transferencias internacionales y si el país de destino tiene nivel adecuado de protección.
Cuánto tiempo los guardas. El plazo de conservación, o al menos el criterio para determinarlo.
De dónde vinieron. La fuente de los datos, cuando no los entregó directamente la persona.
Qué medidas de seguridad aplicas. Tu política de seguridad, en términos comprensibles.
Qué derechos tiene la persona. Acceso, rectificación, supresión, oposición, portabilidad y bloqueo, cómo ejercerlos, y que puede retirar su consentimiento cuando quiera.
Que puede recurrir a la Agencia. El derecho a reclamar ante la autoridad.
Si hay decisiones automatizadas. Su existencia, la lógica aplicada y las consecuencias previstas. Si usas inteligencia artificial para clasificar, puntuar o priorizar personas, esto te aplica.

Fecha y versión no son un detalle: son lo que permite demostrar qué decías el día en que alguien entregó sus datos.

¿Y cómo la escribo sin volverme abogado?

La política se escribe al final, no al principio. Antes tienes que saber qué estás haciendo hoy con los datos, y eso casi nunca está escrito en ninguna parte.

El orden que funciona es este:

Haz la lista de dónde entran datos. Formulario de contacto, formulario de reserva, correo, WhatsApp, Instagram, planilla, sistema de facturación, pasarela de pago. Todo.
Anota qué recoges en cada punto y para qué. Si no sabes para qué pides un dato, probablemente no deberías pedirlo.
Identifica quién más lo ve. Cada herramienta que usas es un destinatario, y varias viven fuera de Chile.
Define cuánto tiempo lo guardas. Y qué pasa con los datos de alguien que preguntó y nunca contrató.
Recién ahí, escribe el documento. Con fecha, versión y el canal para ejercer derechos.

Esa lista, ordenada, es lo que en cumplimiento se llama RAT: Registro de Actividades de Tratamiento. Es la tarea que la mayoría no ha hecho. Según el estudio de LemonTech y la Asociación Chilena de Ética y Compliance sobre 127 organizaciones con operaciones en Chile, publicado el 23 de septiembre de 2026, solo el 34% cuenta con un RAT y el 46% no ha implementado ninguna medida.

La política sale casi sola cuando ese inventario existe. Sin él, cualquier texto que publiques es una declaración que no puedes sostener.

¿Y la parte técnica?

Aquí es donde el documento se conecta con tu sitio, y donde normalmente se corta el trabajo. Tener la política escrita no sirve de nada si:

No está enlazada desde cada formulario donde pides datos.
El correo que aparece en ella no lo revisa nadie.
No hay forma de que alguien te pida sus datos sin escribirte por WhatsApp.
El píxel de publicidad y la analítica del sitio recogen información que la política no menciona.
Nadie guarda evidencia de qué versión aceptó cada persona.

Eso último es lo más olvidado y lo más útil. Cuando alguien acepta tu política al enviar un formulario, tu sistema debería registrar qué versión aceptó y cuándo. Es una columna más en la base de datos y es la diferencia entre decir "tenemos política" y poder acreditarlo.

¿Cuánto tiempo tengo?

La Ley 21.719 está publicada y su fecha de entrada en vigencia es el 1 de diciembre de 2026. Existe un proyecto, ingresado el 1 de septiembre de 2026 y hoy en la Comisión de Constitución del Senado sin votación, que la postergaría a diciembre de 2027. Mientras no se convierta en ley, la fecha vigente sigue siendo diciembre de 2026.

Dicho simple: la ley está publicada, la Agencia se está instalando, la fecha se discute. Que entra en vigencia, no se discute.

Y hay algo que conviene decir sin dramatismo: el inventario de datos y la política escrita no son trabajo perdido si la fecha se corre. Es el mismo trabajo que hace que sepas dónde está tu información, qué proveedor tiene qué y qué pasa si cambias de sistema. Ordenarlo te sirve el 1 de diciembre de 2026 y te sirve el año siguiente.

Cómo lo hacemos nosotros

En LPage no vendemos documentos legales: implementamos. Levantamos contigo el inventario de dónde entran y viven los datos, dejamos la política publicada con fecha y versión en tu sitio, la enlazamos desde cada formulario, habilitamos un canal real para recibir solicitudes y dejamos el registro de qué versión aceptó cada persona.

Cuando el caso lo requiere, la revisión legal de los textos la visa Gian Piero Serafini San Celedonio, abogado de la Universidad Católica de Chile. Nosotros ponemos la implementación; él pone el criterio jurídico. Lo que te queda es cumplimiento documentado y acreditable, no una promesa.

Tu política de tratamiento es lo primero que lee alguien que quiere saber si puede confiarte sus datos. Vale la pena que hable de tu negocio y no del de otro.

Equipo LPage

Preguntas frecuentes

¿Puedo usar una plantilla de política de privacidad para mi sitio web?

Como punto de partida sí, pero no se puede publicar tal cual. La política tiene que describir tu operación real: qué datos recoges, en qué formularios, para qué finalidad, con qué base de licitud, a qué proveedores los entregas y cuánto tiempo los guardas. Una plantilla no conoce nada de eso. Lo práctico es levantar primero el inventario de tus tratamientos y recién después escribir el documento, con fecha y versión.

¿Qué tiene que contener una política de tratamiento de datos en Chile?

El artículo 14 ter de la Ley 21.719 exige mantenerla permanentemente publicada en el sitio web, con fecha y versión, e incluir al menos: individualización del responsable y canal de contacto, categorías de datos y de titulares, destinatarios, finalidades, base de licitud, medidas de seguridad, derechos del titular y cómo ejercerlos, derecho a recurrir a la Agencia, transferencias internacionales, plazo de conservación, fuente de los datos, derecho a retirar el consentimiento y la existencia de decisiones automatizadas con su lógica aplicada.

¿Qué diferencia hay entre política de privacidad y términos y condiciones?

Los términos y condiciones regulan la relación comercial: qué servicio prestas, cómo se paga, qué pasa si se cancela. La política de tratamiento explica qué haces con los datos personales de quien usa tu sitio o contrata tus servicios. Son documentos distintos, con contenidos distintos, y conviene tenerlos separados y enlazados en los puntos donde corresponde.

¿Qué pasa si no tengo política de tratamiento publicada?

Incumplir el deber de información y transparencia del artículo 14 ter está tipificado como infracción leve, con multa de hasta 5.000 UTM, y la reincidencia puede llegar hasta el triple. Más allá de la multa, el problema práctico es que sin política publicada y sin inventario no puedes acreditar la licitud de tus tratamientos, y esa carga de prueba es de quien trata los datos.