Política de Privacidad Sitio Web Chile

La Política de Privacidad Sitio Web en Chile es el documento interno que fija las reglas, principios y directrices de la organización en la materia que regula. Se rige por Ley N° 19.628/1999 Art. 4.

Chile se encuentra actualmente en un proceso de modernización de su marco de protección de datos personales. El Proyecto de Ley de Protección de Datos Personales, que reemplazará la Ley N.º 19.628, fue aprobado por la Cámara de Diputados y se encuentra en tramitación en el Senado. El nuevo marco incorpora principios y estándares similares al Reglamento General de Protección de Datos (RGPD) de la Unión Europea, incluyendo la creación de una Agencia de Protección de Datos Personales como organismo fiscalizador autónomo, la obligación de designar un Delegado de Protección de Datos en ciertos casos, y la aplicación de multas que podrían alcanzar el 4% de los ingresos anuales del infractor.

En este contexto de transición normativa, las políticas de privacidad de sitios web chilenos deben ser especialmente cuidadosas: deben cumplir los requisitos de la Ley N.º 19.628 vigente, pero al mismo tiempo anticipar los estándares del nuevo marco regulatorio que entrará en vigor una vez promulgada la ley de reemplazo. Las empresas que operan en Chile con usuarios en la Unión Europea deben además cumplir simultáneamente con el RGPD, lo que hace que una política de privacidad robusta sea indispensable para operar sin riesgo de sanciones en múltiples jurisdicciones.

La Ley N.º 19.628 establece en sus artículos 10 y siguientes las categorías de datos sensibles, como los datos relativos a salud, origen étnico, opiniones políticas, convicciones religiosas y vida sexual, que requieren consentimiento reforzado y para los cuales el tratamiento está más restringido. Cualquier sitio web que recopile este tipo de información a través de formularios de registro, encuestas o cookies de perfilamiento debe incluir en su política de privacidad cláusulas específicas que justifiquen el tratamiento y los mecanismos para obtener el consentimiento especial exigido.

El Consejo para la Transparencia (CPLT), aunque principalmente orientado a la transparencia en el sector público, ha emitido orientaciones técnicas que también sirven de referencia para el sector privado en materia de protección de datos. La Superintendencia de Bancos e Instituciones Financieras (SBIF), hoy integrada a la Comisión para el Mercado Financiero (CMF), ha establecido además requisitos específicos de privacidad para los sitios web de entidades financieras reguladas. Las empresas de telecomunicaciones deben cumplir adicionalmente con la Ley N.º 18.168 General de Telecomunicaciones y las instrucciones de la Subsecretaría de Telecomunicaciones (SUBTEL) sobre tratamiento de datos de tráfico.

Para emprendedores, startups, tiendas de comercio electrónico y empresas establecidas que operan en Chile, contar con una política de privacidad actualizada, visible y comprensible no solo evita sanciones del Ministerio de Economía o del organismo fiscalizador que se cree con la nueva ley, sino que también genera confianza en los usuarios y diferencia positivamente al negocio en un mercado donde la preocupación por la privacidad digital crece año a año. El modelo disponible en forms-legal.com ha sido diseñado para cumplir los requisitos actuales de la Ley N.º 19.628 y anticipar los estándares del nuevo marco regulatorio chileno.

La Política de Privacidad de Sitio Web en Chile es necesaria para cualquier persona natural o jurídica que opere un sitio web, aplicación móvil o plataforma digital que recopile, almacene o procese datos personales de usuarios ubicados en Chile. La Ley N.º 19.628 no distingue entre grandes corporaciones y pequeños emprendimientos: si hay tratamiento de datos personales, la obligación de informar al titular existe independientemente del tamaño de la organización.

La primera situación que exige una política de privacidad es la operación de cualquier tienda de comercio electrónico. Los sitios de e-commerce que reciben pedidos, procesan pagos a través de plataformas como Transbank, Khipu, Flow o WebPay, y gestionan envíos con empresas de courier como Chilexpress, Starken o Blue Express, recopilan inevitablemente datos de nombre, dirección, correo electrónico, teléfono y medios de pago de sus clientes. La política de privacidad debe explicar cómo se almacenan estos datos, por cuánto tiempo, con qué medidas de seguridad y si se comparten con los proveedores de pago y logística.

La segunda situación es la operación de sitios con formularios de registro o suscripción. Plataformas SaaS, medios digitales como La Tercera Digital, El Mostrador o El Mercurio Online, y servicios de newsletter o marketing digital que recopilan correos electrónicos para enviar comunicaciones comerciales deben obtener el consentimiento expreso del usuario conforme al artículo 4 de la Ley N.º 19.628 y explicar claramente el uso que darán a esos datos. El uso de datos de contacto para fines distintos a los informados al momento de la recopilación constituye un tratamiento ilícito sancionable.

La tercera situación es el uso de cookies y tecnologías de seguimiento. Los sitios web chilenos que utilizan Google Analytics, Google Ads, Facebook Pixel, Hotjar u otras herramientas de analítica y publicidad programática recopilan datos de comportamiento de navegación que bajo la Ley N.º 19.628 pueden ser considerados datos personales si permiten identificar o individualizar a un usuario. La política de privacidad debe informar sobre el uso de estas tecnologías, el tipo de datos que recopilan y los mecanismos para que el usuario pueda rechazarlas o configurar sus preferencias.

La cuarta situación es la operación de plataformas que tratan datos sensibles. Aplicaciones de salud como las que recopilan datos médicos, historiales clínicos o información sobre discapacidades; plataformas de recursos humanos que almacenan información sobre afiliaciones sindicales o antecedentes penales; o servicios de bienestar que registran datos sobre orientación sexual o creencias religiosas, están sujetas a requisitos reforzados de consentimiento bajo los artículos 10 y 11 de la Ley N.º 19.628. La política de privacidad debe identificar explícitamente estas categorías de datos sensibles y los fundamentos legales de su tratamiento.

La quinta situación es la participación en programas de afiliación o publicidad compartida con terceros. Cuando un sitio web chileno comparte datos de usuarios con redes de publicidad, socios comerciales u otras empresas del mismo grupo económico, la política de privacidad debe identificar a estos terceros receptores de datos o al menos describir las categorías de destinatarios, conforme al principio de transparencia que inspira tanto la Ley N.º 19.628 como el futuro marco regulatorio en tramitación. La transferencia de datos a países sin legislación equivalente de protección de datos debe justificarse mediante cláusulas contractuales específicas o el consentimiento informado del usuario.

La Política de Privacidad de Sitio Web Chile debe estructurarse con secciones claras y comprensibles para el usuario promedio, cumpliendo simultáneamente los requisitos técnicos de la Ley N.º 19.628 y los estándares de buenas prácticas internacionales que cada vez más usuarios y algoritmos de los motores de búsqueda exigen a los sitios web chilenos.

**Identificación del responsable del tratamiento.** La política debe comenzar identificando con precisión al titular del sitio web: nombre completo o razón social, RUT, domicilio en Chile, correo electrónico de contacto y, si existe, número de teléfono. Cuando el responsable es una empresa extranjera que opera en Chile sin establecimiento permanente, debe indicarse el nombre del representante en Chile conforme al artículo 4 del Código Tributario y proporcionar un medio de contacto efectivo para el ejercicio de derechos por parte de usuarios chilenos.

**Categorías de datos recopilados.** La política debe enumerar de forma exhaustiva los tipos de datos personales que el sitio web recopila: datos de identificación (nombre, RUT, fecha de nacimiento), datos de contacto (correo electrónico, teléfono, dirección), datos financieros (número de tarjeta de crédito, datos de cuenta bancaria cuando aplique), datos de comportamiento digital (páginas visitadas, tiempo de sesión, clics, búsquedas), y datos técnicos (dirección IP, tipo de dispositivo, sistema operativo, navegador). Los datos sensibles conforme al artículo 2 letra g) de la Ley N.º 19.628 deben identificarse expresamente con su régimen especial de protección.

**Finalidades del tratamiento.** Para cada categoría de datos, la política debe explicar la finalidad específica del tratamiento: prestación del servicio solicitado, facturación, envío de comunicaciones comerciales con consentimiento, análisis estadístico de uso del sitio, prevención del fraude, cumplimiento de obligaciones legales ante el SII o la CMF, u otras finalidades legítimas. La Ley N.º 19.628 exige en su artículo 9 que los datos solo puedan usarse para las finalidades informadas al momento de su recopilación.

**Base legal del tratamiento.** La política debe indicar el fundamento legal de cada tratamiento: consentimiento del titular conforme al artículo 4 de la Ley N.º 19.628; cumplimiento de una obligación legal; ejecución de un contrato en que el titular es parte; o interés legítimo del responsable del tratamiento, explicando en qué consiste ese interés y por qué prevalece sobre los intereses o derechos del titular. Esta sección es especialmente relevante de cara al nuevo marco regulatorio en tramitación, que incorpora explícitamente el catálogo de bases legales al estilo del RGPD europeo.

**Política de cookies.** La política debe explicar qué tipos de cookies utiliza el sitio: cookies técnicas o estrictamente necesarias (indispensables para el funcionamiento), cookies de preferencias (recuerdan configuraciones del usuario), cookies analíticas (miden el tráfico y el comportamiento mediante herramientas como Google Analytics 4 o Matomo), y cookies de publicidad o seguimiento (rastrean al usuario para mostrar publicidad personalizada a través de plataformas como Google Ads o Meta Ads). Debe describirse el mecanismo para que el usuario acepte, rechace o configure las cookies no esenciales.

**Comunicación de datos a terceros.** La política debe identificar las categorías de terceros a quienes se comunican los datos: plataformas de pago (Transbank, Webpay, PayPal), proveedores de servicios de nube (Amazon Web Services, Google Cloud, Microsoft Azure), herramientas de marketing (Mailchimp, HubSpot, Sendinblue), redes publicitarias y organismos públicos cuando la ley lo exige. Para cada categoría debe indicarse el propósito de la comunicación y las garantías de protección aplicables.

**Derechos de los titulares de datos.** La política debe informar sobre los derechos que la Ley N.º 19.628 reconoce a los titulares: derecho de acceso a sus datos (artículo 12), derecho de rectificación de datos inexactos (artículo 12), derecho de cancelación o eliminación cuando el tratamiento no tenga base legal (artículo 12), y derecho de bloqueo temporal durante la resolución de una disputa. Debe indicarse el procedimiento para ejercer estos derechos: correo electrónico, formulario en línea o dirección postal, y el plazo de respuesta del responsable del tratamiento.

**Plazos de conservación de datos.** La política debe indicar por cuánto tiempo se conservarán los datos de cada categoría: el tiempo necesario para la prestación del servicio, el plazo de prescripción de las acciones civiles o comerciales del Código Civil (5 años) o del Código Tributario (3 o 6 años según el tipo de obligación), o el plazo específico exigido por regulaciones sectoriales de la CMF, la SBIF o la Superintendencia de Salud.

**Seguridad de los datos.** La política debe describir las medidas técnicas y organizativas de seguridad implementadas para proteger los datos personales: cifrado SSL/TLS en las comunicaciones, cifrado de datos en reposo, control de acceso por roles, copias de seguridad periódicas, gestión de incidentes de seguridad y procedimiento de notificación en caso de brecha de seguridad.

Para elaborar una política de privacidad completa, actualizada y conforme a la Ley N.º 19.628 y al futuro marco regulatorio chileno, emprendedores, desarrolladores y empresas pueden utilizar el modelo disponible en forms-legal.com, adaptable a las necesidades específicas de cada tipo de sitio web o aplicación digital.

Elaborar una Política de Privacidad de Sitio Web en Chile que sea efectiva, comprensible y legalmente válida requiere un proceso sistemático que va más allá de copiar un texto estándar. Estos pasos guían a los responsables de sitios web chilenos a través del proceso de personalización del documento.

**Paso 1: Inventariar los datos personales que recopila el sitio.** Antes de redactar la política, el responsable del sitio debe realizar un mapeo de datos: qué datos recopila, a través de qué medios (formularios, cookies, integraciones de terceros), con qué propósito se usa cada tipo de dato, dónde se almacena (servidor propio, proveedor de nube, CRM externo) y quién tiene acceso. Este inventario es la base de la política y determina su contenido. Omitir categorías de datos que el sitio efectivamente recopila puede constituir una infracción a la Ley N.º 19.628.

**Paso 2: Identificar todos los proveedores tecnológicos que reciben datos.** Revisar todas las integraciones activas en el sitio: Google Analytics, Google Tag Manager, Facebook Pixel, píxeles de LinkedIn, herramientas de chat en vivo como Intercom o Zendesk, plataformas de email marketing como Mailchimp o Brevo, pasarelas de pago como Transbank o PayPal, y cualquier plugin o extensión de terceros instalada en el CMS (WordPress, Wix, Shopify u otros). Cada proveedor que recibe datos de usuarios debe quedar identificado o categorizado en la política.

**Paso 3: Determinar la base legal de cada tratamiento.** Para cada tipo de dato y finalidad, identificar la base legal aplicable conforme a la Ley N.º 19.628: consentimiento del usuario (que debe ser libre, informado, expreso y específico), ejecución de un contrato de compraventa o de servicio, cumplimiento de una obligación legal (como la conservación de documentos tributarios exigida por el SII), o interés legítimo del responsable. Si el tratamiento se basa en consentimiento, diseñar el mecanismo de obtención antes de publicar la política.

**Paso 4: Redactar la política en lenguaje claro y accesible.** La Ley N.º 19.628 exige que la información se entregue de manera que el titular pueda comprenderla. Evitar el lenguaje técnico o jurídico excesivo, usar oraciones cortas y párrafos bien estructurados, y organizar el documento con títulos y subtítulos claros. La política debe estar disponible en el sitio web en un lugar de fácil acceso, habitualmente en el pie de página con un enlace visible desde todas las páginas del sitio.

**Paso 5: Implementar el mecanismo de consentimiento para cookies.** Si el sitio usa cookies no esenciales, debe implementarse un banner o pop-up de consentimiento de cookies (cookie banner) que aparezca en la primera visita del usuario y le permita aceptar todas las cookies, rechazarlas o configurar sus preferencias por categoría. El banner debe estar vinculado a la política de privacidad y de cookies, y el sistema de gestión de consentimiento debe registrar la elección del usuario y respetarla durante la sesión y en visitas posteriores.

**Paso 6: Establecer el procedimiento interno para responder solicitudes de titulares.** La política informa a los usuarios sobre sus derechos, pero internamente el responsable debe tener un procedimiento definido para recibir y responder las solicitudes de acceso, rectificación, cancelación u oposición en el plazo comprometido. Designar un responsable interno de privacidad que gestione estas solicitudes y mantener un registro de ellas facilita el cumplimiento y demuestra buena fe ante una eventual fiscalización.

La Política de Privacidad de Sitio Web en Chile debe cumplir con un conjunto de exigencias legales vigentes y anticipar el nuevo marco normativo en tramitación. Conocer estos requisitos es indispensable para operar sin riesgo de sanciones y con la confianza de los usuarios.

La Ley N.º 19.628 sobre Protección de la Vida Privada es la norma fundamental. Su artículo 4 establece que el tratamiento de datos personales solo puede efectuarse con el consentimiento del titular o cuando la ley lo autoriza expresamente. El artículo 12 reconoce los derechos de acceso, rectificación, cancelación y bloqueo de datos, y el artículo 23 establece la responsabilidad civil del responsable del tratamiento por los daños causados al titular por infracciones a la ley, con la carga de la prueba invertida a favor del afectado.

El Proyecto de Ley de Protección de Datos Personales, en tramitación en el Congreso Nacional, creará la Agencia de Protección de Datos Personales como órgano fiscalizador autónomo con facultades sancionatorias. Las multas proyectadas para infracciones graves pueden alcanzar hasta el 4% de los ingresos anuales del infractor o 5.000 UTM, lo que representa un cambio radical respecto al régimen actual de responsabilidad civil. Las empresas que anticipen este marco estarán mejor posicionadas para el cumplimiento desde el primer día de vigencia.

La Ley N.º 19.496 sobre Protección de los Derechos de los Consumidores, fiscalizada por el Servicio Nacional del Consumidor (SERNAC), también tiene implicancias en materia de privacidad: el artículo 17 establece que los contratos de adhesión no pueden contener cláusulas abusivas que impongan condiciones injustas o desproporcionadas en el tratamiento de los datos del consumidor. Las políticas de privacidad de sitios de comercio electrónico deben ser coherentes con los derechos del consumidor reconocidos en esta ley.

Para sitios web que tratan datos de usuarios en la Unión Europea o de ciudadanos europeos, el Reglamento (UE) 2016/679 (RGPD) se aplica extraterritorialmente conforme a su artículo 3, independientemente de que el responsable del tratamiento esté establecido en Chile. Las empresas chilenas con usuarios europeos deben cumplir simultáneamente la Ley N.º 19.628 y el RGPD, designar un representante en la UE si corresponde, y aplicar las salvaguardias del Capítulo V del RGPD para las transferencias internacionales de datos.

Las políticas de privacidad de sitios web chilenos presentan errores recurrentes que las hacen ineficaces como instrumento de protección legal y como generadores de confianza en el usuario. Evitarlos es clave para cumplir la Ley N.º 19.628 y posicionarse favorablemente ante el nuevo marco regulatorio.

**Copiar una política genérica sin personalizar.** El error más extendido es utilizar una plantilla estándar copiada de otro sitio web sin adaptarla a la realidad del propio sitio. Una política genérica que menciona tipos de datos, proveedores o finalidades que no corresponden al sitio web específico puede ser más perjudicial que no tener política, porque genera expectativas falsas en el usuario que luego no se cumplen en la práctica.

**No actualizar la política cuando cambian las prácticas de tratamiento.** Cuando se integra un nuevo proveedor de analítica, una plataforma de publicidad o una herramienta de CRM que no estaba mencionada en la política original, el sitio web queda en infracción a la Ley N.º 19.628 porque está realizando tratamientos no informados al titular. La política debe actualizarse cada vez que cambian las herramientas tecnológicas o las finalidades del tratamiento.

**No implementar un mecanismo real de consentimiento para cookies.** Muchos sitios chilenos incluyen en su política una mención a las cookies pero no implementan un banner de consentimiento funcional que permita al usuario rechazar las cookies no esenciales antes de que estas se activen. Mostrar el banner informativo sin que el rechazo tenga efecto real sobre la activación de las cookies viola el principio de consentimiento previo e informado.

**Omitir el procedimiento para ejercer derechos.** Declarar que el usuario tiene derechos de acceso, rectificación y cancelación sin proporcionar un mecanismo efectivo y accesible para ejercerlos hace que la cláusula sea puramente formal. La política debe indicar una dirección de correo electrónico o un formulario en línea específico para estas solicitudes, el plazo de respuesta comprometido y quién es el responsable interno de gestionarlas.

**No revisar la coherencia entre la política y los términos y condiciones.** Los sitios web con términos y condiciones de uso separados de la política de privacidad deben asegurarse de que ambos documentos sean coherentes entre sí. Contradicciones sobre el uso de datos, los mecanismos de resolución de conflictos o los derechos del usuario entre ambos documentos pueden ser invocadas por el usuario perjudicado ante el SERNAC o ante los tribunales civiles como evidencia de prácticas abusivas.