La política de cookies de un sitio que llega a Chile debe decir qué cookies usa, para qué, quién las recibe y cómo se cambia la elección, y debe poder probarse con fecha y versión. La Ley 21.719 no menciona las cookies, pero sí regula el rastreo, el perfilamiento y el consentimiento, y de ahí sale una práctica prudente.

Según el texto de la ley, entra en vigencia el 1 de diciembre de 2026. Un proyecto que la posterga al 15 de octubre de 2027 sigue en trámite y todavía no es ley. Abajo explico qué informar, cómo separar lo esencial de lo no esencial y qué guardar como prueba, sin inventar exigencias que la ley no tiene.

El texto de la Ley 21.719 que revisé el 2 de noviembre de 2026 no contiene la palabra "cookies". Tampoco encontré una guía de la Agencia de Protección de Datos Personales sobre ellas. Cualquier afirmación del tipo "la Agencia exige un banner con tal botón" no tiene respaldo hoy.

Lo que sí hay es una lectura prudente, que conviene confirmar con asesoramiento legal, a partir de cuatro artículos:

• Art. 1 bis: la ley alcanza al tratamiento destinado a monitorear el comportamiento de personas que están en Chile, "incluyendo su análisis, rastreo, perfilamiento o predicción de comportamiento".
• Art. 2: es dato personal el que identifica a una persona de forma directa o indirecta. Un identificador de cookie ligado a un navegador puede entrar ahí.
• Art. 12: el consentimiento debe ser previo e inequívoco, revocable sin causa y sin efecto retroactivo, y el responsable debe poder probarlo.
• Art. 14 ter: la política de tratamiento de datos debe informar varios elementos, con fecha y versión.

Eso es lo que la ley dice. Lo demás, como el diseño del banner, es práctica de mercado que se apoya en esos artículos. El artículo sobre la Ley 21.719 explica la ley completa y su calendario.

En Chile se busca más "política de privacidad", pero la ley habla de "política de tratamiento de datos personales". Para las cookies, lo más ordenado es una política de cookies propia, enlazada desde la política principal.

La política de privacidad responde a qué datos tratas y por qué. La política de cookies baja al detalle técnico: cada cookie, su finalidad, su duración y quién la coloca. Si prefieres una sola página, la sección de rastreadores debe contener el mismo detalle.

Cómo armar la política principal, ítem por ítem, se ve en la política de privacidad con la Ley 21.719. Si buscas un modelo de redacción con base europea, mira el ejemplo de política de cookies, que sigue el criterio de la AEPD y no el chileno.

El art. 14 ter pide que la política de tratamiento tenga fecha y versión, identifique al responsable, indique el canal para solicitudes y detalle categorías de datos, destinatarios, finalidades, base de licitud, medidas de seguridad, derechos, plazo de conservación y transferencias. La sección de cookies debe poder responder a esos mismos puntos.

En la práctica, para cada cookie o tecnología de rastreo conviene informar:

• Nombre y tipo: propia o de terceros, de sesión o persistente.
• Finalidad: qué hace y por qué se usa (funcionamiento, medición, publicidad).
• Duración: cuánto tiempo permanece en el navegador.
• Quién la recibe: el tercero que accede a los datos, con su nombre.
• Base de licitud: si se apoya en consentimiento o en otra base prevista por la ley.
• Cómo cambiar la elección: dónde se retira el consentimiento.

Lo importante es que la política tenga fecha y versión visibles. Si cambias una cookie o sumas un tercero, la versión cambia y queda un registro de qué decía cada una. El art. 14 ter pide esa fecha y esa versión para la política de tratamiento.

La ley no define "cookie esencial". Una forma prudente de separar es preguntar si el sitio puede prestar el servicio que la persona pidió sin esa cookie.

Suelen considerarse necesarias las que mantienen la sesión, el carrito de compra o la seguridad. Las de medición, publicidad, personalización y redes sociales no lo son, y para esas conviene apoyarse en el consentimiento del art. 12.

Dos cuidados al clasificar:

1. No marques como esencial lo que mide o perfila. Una cookie de analítica no es necesaria para mostrar una página.
2. Revisa lo que traen los terceros. Un vídeo incrustado o un botón social puede colocar cookies propias del tercero apenas carga la página.

Para saber qué cookies tiene realmente tu sitio, un escáner de cookies lista y clasifica cada una. Sin ese inventario, la política describe lo que crees que usas y no lo que usas.

El art. 2 define el consentimiento como libre, específico, inequívoco e informado, dado por una declaración o una clara acción afirmativa. El art. 12 añade que debe ser previo.

La práctica prudente que se sigue de esos dos artículos:

• No cargar las cookies no esenciales antes de la elección. El consentimiento es previo.
• Pedir una acción afirmativa. Seguir navegando o hacer scroll no es una acción afirmativa clara.
• Dar opciones por finalidad. Un solo "aceptar todo" mezcla finalidades que la persona puede querer separar.
• Hacer el rechazo igual de fácil que la aceptación. El art. 12 pide que el consentimiento pueda retirarse por medios expeditos, fidedignos, gratuitos y permanentemente disponibles.

La ley agrega una presunción: no se considera libre el consentimiento cuando la recolección no es necesaria para ejecutar el contrato. Por eso condicionar el acceso a todo el sitio a aceptar cookies de publicidad es un riesgo. En la regulación europea hay discusión sobre ese tema, que se resume en si es obligatorio poder rechazar las cookies, pero esa discusión no se traslada automáticamente a Chile.

Para entender qué hace falta para que un consentimiento sea válido en general, la referencia es el artículo sobre los requisitos de validez del consentimiento. Está escrito con el RGPD, así que úsalo como contraste y no como cita de la ley chilena. El consentimiento de cookies lo complementa con el lado práctico.

El art. 12 dice que el consentimiento es revocable sin expresión de causa y sin efecto retroactivo, y que los medios para retirarlo deben estar permanentemente disponibles. Para un sitio, esto se traduce en un acceso fijo al panel de preferencias, por ejemplo un enlace en el pie de página.

Al retirar el consentimiento, el sitio debe dejar de usar las cookies de esas finalidades y registrar el cambio. "Sin efecto retroactivo" significa que lo hecho antes de la revocación no se invalida; no que puedas seguir usando los datos después.

El art. 12 pone la carga de la prueba en el responsable. Si una persona dice que nunca aceptó, tienes que poder mostrar qué aceptó o rechazó, cuándo y bajo qué textos.

Lo que conviene guardar para cada elección:

• La fecha y la hora de la decisión.
• Qué finalidades se aceptaron o rechazaron.
• La versión de la política y del banner vigentes en ese momento.
• Un identificador que ligue la elección a ese registro.

En AdOpt, la prueba es el Consent Log: guarda la fecha y la hora, lo que la persona aceptó o rechazó y las versiones de los documentos. El CookieID solo liga la elección del navegador con ese registro; no es la prueba por sí mismo. El artículo sobre cómo probar el consentimiento detalla qué debe contener un registro y por qué.

Si quieres entender qué hace una plataforma de este tipo, la guía sobre qué es una CMP es el punto de partida. La prueba de 30 días de AdOpt sirve para escanear tu sitio y ver cómo queda el registro antes de decidir nada.

Si tu sitio llega a Chile y a México, no hace falta una política de cookies por país, pero sí que cada una describa bien lo que se aplica. Las leyes de los dos países tienen vocabulario, plazos y autoridades distintas. La guía de la LFPDPPP en México sirve para comparar, sin copiar los plazos de un país al otro.

Los derechos de las personas también tienen su propio camino en Chile. El detalle de cómo montar el canal y respetar los plazos está en derechos ARCOPOL y portal del titular. Y para saber qué pasa con la ley anterior mientras tanto, mira Ley 19.628 frente a la Ley 21.719.

• Escanea el sitio y clasifica cada cookie por finalidad.
• Redacta la sección de cookies con nombre, finalidad, duración y tercero.
• Pon fecha y versión visibles a la política.
• Bloquea las cookies no esenciales hasta que haya una acción afirmativa.
• Deja un acceso permanente para cambiar la elección.
• Guarda el registro de cada elección con fecha, finalidades y versión.
• Sigue el boletín 18.623-07 en la ficha del Senado antes de fijar un calendario.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso.

No. El texto que revisé el 2 de noviembre de 2026 no contiene la palabra. La aplicación a las cookies es una lectura prudente a partir del rastreo y el perfilamiento (art. 1 bis), del dato personal indirecto (art. 2) y del consentimiento previo y que se pueda probar (art. 12). Confírmala con asesoramiento legal.

La ley no habla de banner. Exige que el consentimiento, cuando es la base del tratamiento, sea previo, inequívoco y por acción afirmativa, y que el responsable pueda probarlo. Un banner con preferencias es la forma habitual de lograrlo, pero no es un requisito que la ley nombre.

Según la ley, la vigencia es el 1 de diciembre de 2026. Un proyecto que la mueve al 15 de octubre de 2027 sigue en trámite y no es ley. Mientras no se publique en el Diario Oficial, la fecha vigente es la de la ley. Prepararla antes te deja cubierto con cualquiera de las dos.

La de privacidad (política de tratamiento de datos, según la ley) explica qué datos tratas y por qué. La de cookies baja al detalle de cada cookie. Pueden ser dos páginas enlazadas o una sola con una sección completa de rastreadores.

Guardando, por cada elección, la fecha y la hora, las finalidades aceptadas o rechazadas y la versión de la política y del banner. En AdOpt ese registro es el Consent Log, y el CookieID solo liga la elección con él.

¿Quieres revisar las cookies de tu sitio antes de la vigencia? Habla con el equipo de AdOpt y empieza con la prueba de 30 días.