Política de privacidad Ley 21.719: los 12 puntos exigidos
Qué debe decir la política de privacidad de tu empresa según el artículo 14 ter de la Ley 21.719, con ejemplos y una estructura para partir.
En este artículo
La Ley 21.719 exige que tu empresa mantenga disponible, en su sitio web o un medio equivalente, 12 tipos de información sobre cómo trata datos personales. Está en el artículo 14 ter. Si te falta alguno, total o parcialmente, es una infracción leve, y es de lo más fácil de revisar desde afuera.
El problema de muchas políticas actuales es que fueron copiadas de una plantilla: citan la Ley 19.628, hablan en general y no dicen nada real del negocio. La nueva ley pide cosas concretas.
Los 12 puntos, en simple
| Letra | La ley pide | Cómo se ve en la práctica |
|---|---|---|
| a | Política de tratamiento, con fecha y versión | ”Versión 2.0, vigente desde el 1 de noviembre de 2026” |
| b | Quién es el responsable y su representante legal | Razón social, RUT y representante. Encargado de prevención, si existe |
| c | Cómo contactarte para solicitudes | Correo o formulario que alguien revise de verdad |
| d | Qué datos, de quiénes, a quién se entregan, para qué y con qué base legal | ”Clientes: nombre y teléfono para coordinar despachos, por ejecución del contrato” |
| e | Política y medidas de seguridad | Control de accesos, respaldos, cifrado: lo que realmente haces |
| f | Derechos del titular | Acceso, rectificación, supresión, oposición y portabilidad |
| g | Derecho a recurrir a la Agencia | Si rechazas una solicitud o no respondes a tiempo |
| h | Transferencias a otros países | Ejemplo: “CRM alojado en Estados Unidos”, y si hay nivel adecuado o garantías |
| i | Cuánto tiempo conservas los datos | Un plazo o un criterio por tipo de dato, no “el tiempo necesario” |
| j | De dónde vienen los datos | Directo del titular, de un tercero o de fuentes de acceso público |
| k | Derecho a retirar el consentimiento | Cuando esa es tu base, y sin afectar lo tratado antes |
| l | Decisiones automatizadas y perfiles | Si existen: qué lógica usan y qué consecuencias tienen para la persona |
Los puntos que más suelen faltar son la d (la base legal casi nunca aparece), la h y la l. Si usas servicios en la nube o herramientas de IA, revisa estas dos últimas con calma.
Una estructura para partir
Esto es una pauta para ordenar tu información, no un texto listo para publicar. Lo valioso es lo que pones entre corchetes.
POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES
Versión [X], vigente desde [fecha]
1. Quiénes somos
[Razón social], RUT [X], representada por [nombre].
Contacto para temas de datos: [correo o formulario].
2. Qué datos tratamos, para qué y con qué base
[Una fila por actividad: clientes, trabajadores,
postulantes, proveedores, visitas al sitio]
Datos | De quién | Finalidad | Base legal | Plazo | Destinatarios
3. De dónde obtenemos los datos
4. Transferencias fuera de Chile
[Proveedor, país, nivel adecuado o garantía]
5. Decisiones automatizadas y perfiles
[Qué hacen y cómo te afectan, o indicar que no existen]
6. Seguridad
7. Tus derechos y cómo ejercerlos
Acceso, rectificación, supresión, oposición, portabilidad.
Respondemos dentro de 30 días corridos.
8. Retiro del consentimiento
9. Reclamos ante la Agencia de Protección de Datos PersonalesTres confusiones que conviene evitar
La política no es el consentimiento. Publicarla cumple el deber de informar. Si tu base legal es el consentimiento, este debe ser libre, informado, específico, previo e inequívoco, y a ti te corresponde probarlo. Una casilla premarcada no sirve para eso.
No todo necesita consentimiento. El artículo 13 permite tratar datos, entre otros casos, para ejecutar un contrato, cumplir una obligación legal o por interés legítimo, si no afecta los derechos del titular. Pedir consentimiento para todo crea un problema: si la persona lo retira, tienes que dejar de usar esos datos sobre esa base.
Lo escrito tiene que ser cierto. Si dices que cifras los respaldos, tienen que estar cifrados. Ante un incidente, a ti te toca acreditar las medidas de seguridad que declaras.
Antes de publicarla
- Recorre tus formularios, WhatsApp y sistemas, y confirma que todo aparece en la política.
- Pide a tus proveedores dónde alojan los datos. Si tratan datos por encargo tuyo, el artículo 15 bis exige un contrato con contenido mínimo.
- Envía una solicitud de prueba al canal publicado. ¿Le llegó a alguien? ¿Sabe qué hacer?
- Deja anotada la versión y fecha. La Agencia también podrá fijar estándares diferenciados según tamaño y tipo de datos (art. 14 septies), así que quizá debas ajustarla.
Preguntas frecuentes
¿Si no tengo sitio web, me libro?
No. La ley habla de sitio web “o cualquier otro medio de información equivalente”. Tiene que estar disponible de forma permanente para el público.
¿Necesito una política para mis trabajadores?
Sus datos también son datos personales. Puedes incluirlos como una actividad más en la misma política o explicarlo en un documento interno, pero el tratamiento debe estar cubierto.
¿Puedo usar una plantilla o una IA para redactarla?
Sirven para el primer borrador. Pero la plantilla no sabe qué datos tratas ni con quién los compartes, y eso es justamente lo que la ley pide. Revísala con un abogado si tratas datos sensibles o de menores.
Fuentes
Siguiente paso
El diagnóstico gratuito te ayuda a ver qué tienes y qué te falta antes de redactar.
Hacer el diagnóstico de datos personales →
Apps del Sur · GYS Activa SpA. Este artículo es informativo y no constituye asesoría legal. La estructura sugerida debe adaptarse a tu empresa.
¿Qué proceso te gustaría simplificar?
Cuéntanos dónde se repite el trabajo en tu empresa y vemos un primer paso concreto, sin costo.