Cookies y la Ley 21.719: qué necesitas implementar en tu sitio web

¿Tu sitio web necesita un banner de cookies?

Si tu empresa tiene un sitio web en Chile, probablemente hayas visto esos banners de "aceptar cookies" en otros sitios. No es decoración: es una obligación legal. La Ley 21.719 de Protección de Datos Personales, que entró en vigencia en septiembre de 2023, estableció reglas claras sobre cómo las empresas deben manejar las cookies. Si no las cumples, te expones a sanciones de hasta 2.000 Unidades de Fomento (más de $70 millones para una PyME). Pero tranquilo: implementar esto correctamente es más accesible de lo que parece.

Cookies estrictamente necesarias: estas no necesitan consentimiento

No todas las cookies requieren que preguntes al usuario. La Ley 21.719, en su artículo 5°, permite usar sin consentimiento aquellas cookies que son esenciales para que tu sitio funcione. Hablamos de:

Cookies de sesión (para mantener al usuario logueado)
Cookies de carrito de compras (en e-commerce)
Cookies de seguridad (para prevenir fraude)
Cookies de preferencias técnicas (idioma, tema oscuro/claro)

Ejemplo real: si alguien compra en tu tienda online, la cookie que guarda el carrito es necesaria. No necesitas preguntarle si quiere que funcione o no —debería ser obvio que sí.

Cookies que sí requieren consentimiento explícito

Estas son las que realmente obligan a implementar un banner. Se dividen en tres categorías:

Cookies de análisis

Google Analytics es el ejemplo más común. Estas cookies rastrean comportamiento del usuario: qué páginas visita, cuánto tiempo está, de dónde viene. Requieren consentimiento previo y explícito. Si usas Google Analytics sin banners, estás cometiendo una infracción.

Cookies de preferencia/funcionalidad

Guardan preferencias del usuario para mejorar su experiencia (fuente favorita, zona horaria, volumen de video). Técnicamente necesitan consentimiento, aunque algunos reguladores los ven con menos rigor que los de análisis.

Cookies de marketing y retargeting

Aquí están los píxeles de Facebook, Google Ads, y similares. Rastrean al usuario incluso fuera de tu sitio para mostrarle publicidad personalizada. Son las más invasivas y requieren el consentimiento más explícito. Si alguien dice "no", no puedes activar el píxel de retargeting de Google o Facebook.

Cómo implementar un banner de cookies válido según la Ley 21.719

Un banner no es solo un cartelito bonito. Según la ley, debe:

Ser claro y específico: debe explicar qué cookies usas y para qué
Solicitar consentimiento previo: antes de cargar cualquier cookie no esencial
Permitir rechazar: el botón "Rechazar" debe ser igual de visible que "Aceptar"
Diferenciar por tipo: idealmente, permitir al usuario elegir qué tipos de cookies acepta (puedo aceptar análisis pero rechazar marketing)
Incluir enlace a política de cookies: donde detalles cada cookie, duración, y responsables

Un buen banner no dice "Esta web usa cookies" (demasiado vago). Debe decir algo como: "Usamos Google Analytics para medir visitas, y píxel de Facebook para mostrar publicidad personalizada. Puedes aceptar todas o elegir cuáles."

Herramientas CMP y Google Analytics: la solución práctica

Las Consent Management Platforms (CMP) automatizan esto. Herramientas como OneTrust, Termly, o Cookiebot crean banners, gestionan consentimiento, y bloquean scripts hasta que el usuario acepte. Google Analytics, por su parte, tiene un modo de "consentimiento reducido" donde recolecta menos datos si el usuario rechaza.

Lo importante: no cargues Google Analytics ni píxeles de retargeting hasta que haya consentimiento. Hacerlo es ilegal.

First-party vs. third-party: diferencia crucial

Las cookies first-party las crea tu dominio (ej: miempresa.cl). Las third-party las crea otro dominio (ej: Google, Facebook). Ambas necesitan consentimiento si no son estrictamente necesarias. La diferencia importa legalmente porque las third-party generan más preocupación por privacidad.

Qué debe incluir tu política de cookies

Además del banner, necesitas una página de política detallada que cubra:

Listado completo de cookies (nombre, proveedor, duración, función)
Quién es responsable de cada cookie
Cómo gestiona el usuario sus preferencias
Links a políticas de privacidad de terceros (Google, Facebook, etc.)
Información de contacto para dudas sobre privacidad

Resumiendo: tu checklist de cumplimiento

Para cumplir la Ley 21.719 en cookies, necesitas: (1) banner que pida consentimiento antes de cargar análisis y marketing, (2) política de cookies detallada, (3) herramienta que bloquee scripts no autorizados, (4) Google Analytics configurado correctamente, (5) íconos/píxeles de redes sociales solo con consentimiento.

Implementar esto manualmente toma semanas. Por eso existen herramientas especializadas. En PrivacTech te ayudamos a auditar tu cumplimiento en cookies, generar banners conformes con la ley, y gestionar consentimiento automáticamente. Haz tu análisis gratis en privactech.com y descubre exactamente qué te falta.