La vigencia es el 1 de diciembre de 2026; la preparación empieza antes
La Ley N.º 21.719 modifica el régimen chileno de protección de datos personales y entra en vigencia el 1 de diciembre de 2026, según el texto oficial de la Biblioteca del Congreso Nacional. Esta guía fue revisada el 9 de septiembre de 2026: es una pauta de preparación para ese cambio y no implica que hoy no exista normativa aplicable.
Una web participa en tratamientos de datos cuando recoge, almacena o comunica información de personas. El recorrido puede continuar en un buzón, CRM, plataforma de pago o proveedor externo. Por eso el trabajo no se agota en publicar una política o instalar un banner.
Aquí separamos las comprobaciones técnicas de las decisiones jurídicas. No damos una certificación, un dictamen ni textos legales listos para copiar. La organización debe revisar sus finalidades, bases, derechos y obligaciones con asesoría competente.
Ponerlo en prácticaExplora el ejemplo o pliega este espacio para seguir leyendo.
Del dato a la evidencia: cuatro recorridos conectados
Primero entiende qué ocurre; después asigna las 20 tareas. Cada etapa separa lo que ve la persona, lo que ejecuta el sistema y la evidencia que debe revisar el equipo.
- 04
- recorridos
- 20
- tareas
- Local
- guardado opcional
¿Dónde viajan los datos?
Ubica capturas, destinos, accesos y conservación antes de corregir componentes aislados.
Sigue una consulta de extremo a extremo
La captura es sólo el comienzo. El mismo dato puede pasar por varios servicios, equipos, copias y reglas de conservación.
Registrar origen y destino → aplicar conservación → corregir, restringir o eliminar donde corresponda.
Tareas de esta etapa
1Inventariar puntos de capturaTécnicoPendiente
Incluye formularios, cuentas, checkout, chat, archivos y herramientas externas.
Listado de rutas y una prueba con datos ficticios por recorrido.
2Definir finalidad y base de cada tratamientoJurídicoPendiente
Pedir consentimiento para todo no sustituye determinar qué base corresponde y qué se informa.
Matriz de finalidades y bases revisada por el responsable y su asesoría.
3Justificar los campos solicitadosCompartidoPendiente
Un RUT, fecha de nacimiento o documento no debe pedirse sólo porque la plantilla lo permite.
Campo, necesidad y decisión de conservarlo, hacerlo opcional o retirarlo.
4Trazar destinatarios y proveedoresCompartidoPendiente
El dato puede quedar en correo, CRM, plataforma de pago, registro o respaldo.
Mapa de destinos, proveedor, función y accesos; sin copiar datos de personas.
5Acordar conservación y eliminaciónCompartidoPendiente
La misma solicitud puede tener copias con obligaciones y períodos diferentes.
Criterio aprobado por destino y prueba de eliminación o restricción aplicable.
¿Qué puede decidir la persona?
Conecta lo que ve la persona con las etiquetas, registros y permisos que realmente se ejecutan.
La elección debe cambiar lo que ejecuta el sitio
La interfaz informa y recoge una decisión; el sistema la comprueba antes de activar usos opcionales y conserva una evidencia comprensible.
Tareas de esta etapa
1Situar información comprensible en la capturaCompartidoPendiente
La interfaz implementa información aprobada; no inventa finalidades ni condiciones legales.
Captura del aviso y enlace accesible, con versión del texto revisado.
2Separar preferencias opcionalesCompartidoPendiente
Cotizar, recibir publicidad y autorizar una finalidad opcional no son siempre la misma decisión.
Prueba de opciones separadas y mecanismo de cambio o retiro cuando corresponda.
3Comprobar cookies y scripts externosTécnicoPendiente
Un banner visible no prueba que un script esté respetando una decisión.
Inventario y prueba de red antes y después de cada preferencia aplicable.
4Limitar accesos y proteger cuentasTécnicoPendiente
Cada persona necesita permisos acordes a su función, no acceso administrativo por defecto.
Matriz de roles, revisión de cuentas y autenticación reforzada donde esté disponible.
5Registrar decisiones sin exponer datosCompartidoPendiente
La evidencia necesita finalidad, versión y trazabilidad; no contraseñas ni contenido privado en analítica.
Ejemplo ficticio del registro y controles de acceso a sus datos.
¿Quién responde y con qué evidencia?
Diseña el recorrido completo desde la recepción hasta la respuesta y su evidencia.
Persona, sistema y equipo avanzan juntos
Una solicitud útil conecta el canal público con responsables, búsqueda en sistemas, decisión fundada y una respuesta trazable.
Desplaza el proceso horizontalmente si tu pantalla es angosta
Tareas de esta etapa
1Habilitar un canal de solicitudesCompartidoPendiente
El enlace debe llegar a un equipo que pueda actuar, incluso si el formulario principal falla.
Prueba de recepción y canal alternativo publicados.
2Asignar folio, responsable y seguimientoCompartidoPendiente
Recibir un mensaje no equivale a tramitarlo. Los plazos legales requieren evaluación específica.
Caso ficticio con fecha de recepción, responsable y próximo hito.
3Verificar identidad proporcionalmenteJurídicoPendiente
No entregar información a terceros ni pedir documentos excesivos para cualquier consulta.
Procedimiento aprobado según riesgo y tipo de solicitud.
4Localizar datos en todos los destinosTécnicoPendiente
La búsqueda debe considerar los sistemas del inventario y las restricciones aplicables.
Ensayo con registro ficticio en formulario, buzón y CRM.
5Documentar decisión y respuestaJurídicoPendiente
Acceso, rectificación, supresión, oposición u otros derechos no se resuelven con una eliminación automática indiscriminada.
Modelo de tramitación revisado y constancia ficticia de cierre.
¿Qué pasa cuando algo cambia?
Prepara cambios, proveedores, respaldos e incidentes como procesos que se vuelven a comprobar.
Un cambio o incidente activa una ruta de control
Contener, preservar evidencia, evaluar y corregir son estados distintos. La comunicación exigible se decide con el responsable correspondiente.
Tareas de esta etapa
1Revisar proveedores y transferenciasJurídicoPendiente
La ubicación, el contrato y el rol de cada proveedor requieren revisión, no sólo un logo en la política.
Registro de revisión contractual y de transferencias cuando correspondan.
2Preparar respuesta a incidentesCompartidoPendiente
Define quién contiene, evalúa, conserva evidencia y decide comunicaciones exigibles.
Simulación documentada; criterios de escalamiento y contactos por rol.
3Probar recuperación y protección de copiasTécnicoPendiente
Un respaldo expuesto o imposible de restaurar no resuelve continuidad ni seguridad.
Resultado de restauración controlada y revisión de permisos de copias.
4Revisar cambios antes de publicarTécnicoPendiente
Un plugin, píxel, nueva finalidad o integración puede cambiar el tratamiento.
Lista de revisión de cambios y actualización del inventario.
5Programar una revisión con responsablesCompartidoPendiente
La preparación es un proceso; una foto del sitio hoy no prueba su estado mañana.
Fecha objetivo del proyecto, pendientes y persona o equipo que los revisará.
Antes del banner, dibuja el recorrido de los datos
Comienza por una consulta ficticia: qué campos pide el formulario, qué servicio la recibe, dónde se guardan copias y qué equipo las utiliza. Incorpora checkout, chat, cuentas, boletines y archivos si existen. No uses datos reales de clientes para demostrar el recorrido.
El inventario debe permitir responder por qué se pide cada campo y dónde se aplicará una corrección o eliminación. Si el mensaje sigue en un buzón y en un CRM, quitarlo de una tabla no resuelve todas las copias.
Sigue una consulta de extremo a extremo
La captura es sólo el comienzo. El mismo dato puede pasar por varios servicios, equipos, copias y reglas de conservación.
Registrar origen y destino → aplicar conservación → corregir, restringir o eliminar donde corresponda.
| Punto | Pregunta útil | Evidencia técnica |
|---|---|---|
| Captura | ¿Necesitamos todos estos campos? | Formulario, finalidad y justificación de cada dato. |
| Destino | ¿A qué sistemas y proveedores llega? | Mapa de envío y recepción con prueba ficticia. |
| Acceso | ¿Quién puede verlo o exportarlo? | Roles y revisión de cuentas autorizadas. |
| Conservación | ¿Cuándo y cómo se restringe o elimina? | Criterio aprobado y prueba por destino. |
Consentimiento no significa “una casilla para todo”
No se debe asumir que el consentimiento es la única base posible para cualquier tratamiento. La base y la finalidad se determinan para cada caso; la interfaz debe implementar fielmente esa decisión y entregar la información que corresponda.
Una persona que pide una cotización no está necesariamente pidiendo recibir publicidad. Mezclar finalidades en una sola aceptación obligatoria puede ocultar una decisión que debería revisarse por separado. El ejemplo orienta la revisión: no sustituye determinar jurídicamente la base aplicable.
Cuando corresponda registrar una autorización o preferencia, hay que definir qué evidencia es suficiente: finalidad, versión informada, decisión y momento, con acceso restringido. No copies contraseñas, mensajes privados ni información personal a los eventos de analítica.
Una solicitud necesita recepción, responsable y resolución
El canal de ejercicio de derechos debe llegar a un equipo que pueda tramitarlo. Organiza recepción, folio, verificación proporcional de identidad, búsqueda en los sistemas pertinentes y respuesta documentada. No pidas documentos sensibles indiscriminadamente ni entregues datos sólo porque alguien conoce un correo.
El acceso, la rectificación, la supresión, la oposición y otros derechos tienen condiciones que requieren revisión. Una automatización puede ayudar a localizar y ejecutar acciones autorizadas; no debería decidir por sí sola una negativa ni borrar datos sujetos a una obligación de conservación.
El plan interactivo usa fechas objetivo del proyecto. No calcula plazos legales ni resuelve excepciones: los plazos y requisitos de cada solicitud se deben confirmar en la norma y con el responsable jurídico.
Persona, sistema y equipo avanzan juntos
Una solicitud útil conecta el canal público con responsables, búsqueda en sistemas, decisión fundada y una respuesta trazable.
Desplaza el proceso horizontalmente si tu pantalla es angosta
La web depende también de permisos, proveedores y copias
Limita accesos según función, retira cuentas innecesarias y protege los mecanismos de recuperación. Comprueba que las copias se pueden restaurar y que sus permisos, conservación y eliminación están contemplados. “Hay backup” no demuestra por sí solo recuperación ni protección.
Los contratos, roles de proveedores y eventuales transferencias internacionales requieren revisión jurídica. El equipo técnico aporta el inventario y evidencia de configuración; no puede concluir cumplimiento sólo por el país que aparece en la web comercial de un proveedor.
Prepara una respuesta antes de que exista una urgencia
Define un recorrido de incidentes: detección, contención, conservación de evidencia, evaluación y seguimiento. Debe quedar claro quién toma decisiones y cómo se coordina al equipo técnico con la organización y su asesoría.
Las comunicaciones exigibles se evalúan conforme a la norma aplicable y las circunstancias. No trasladamos automáticamente a esta pauta un plazo universal de “72 horas” ni afirmamos que cualquier aviso técnico equivale a una notificación legal.
Un cambio o incidente activa una ruta de control
Contener, preservar evidencia, evaluar y corregir son estados distintos. La comunicación exigible se decide con el responsable correspondiente.
Qué entra en una base técnica y qué necesita una auditoría adicional
En una implementación nueva puede acordarse una base de privacidad aplicada al alcance intervenido: minimización de campos, incorporación de avisos aprobados, permisos o preferencias cuando correspondan, y pruebas del recorrido implementado. En SEO o mantenimiento se revisa lo acordado para los componentes intervenidos; no se presume una auditoría histórica completa.
Para un sitio existente con formularios, cookies, CRM o integraciones desconocidas, una auditoría adicional permite levantar inventario, brechas, prioridades y evidencias. Las correcciones se acuerdan por alcance: no se promete cubrir proveedores o sistemas sin acceso ni una certificación legal.
| Trabajo | Entregable verificable | Límite |
|---|---|---|
| Base en una implementación | Registro de campos, avisos aprobados y pruebas del alcance. | No define bases legales ni sanea sistemas previos ajenos al proyecto. |
| Auditoría técnica adicional | Inventario, hallazgos, prioridad y plan de correcciones. | No equivale a dictamen jurídico ni garantiza cumplimiento total. |
| Revisión jurídica | Criterios sobre bases, textos, contratos, derechos y obligaciones. | Debe realizarla la asesoría competente; no se deduce del diseño. |
Cómo usar este plan sin producir una falsa sensación de seguridad
Trabaja por etapas y abre cada tarea para asignar un equipo, un estado y una referencia de evidencia. “Revisado” sólo suma en el resumen cuando hay responsable y evidencia; “No aplica” exige explicar el motivo. El contenido de esa evidencia no se verifica automáticamente.
Puedes guardar explícitamente en este navegador o descargar Markdown para una reunión y JSON como respaldo. No se envían respuestas a Voy. Evita información de personas: una referencia a una prueba ficticia o un documento interno es suficiente para organizar el trabajo.
Una pauta terminada no certifica cumplimiento. Su utilidad es hacer visibles los pendientes y llevar las decisiones al responsable adecuado.