Cómo redactar una política de privacidad válida bajo la Ley 21.719

La Ley 21.719 de Protección de Datos Personales cambió las reglas del juego para empresas chilenas. Ya no basta con tener un documento genérico guardado en alguna carpeta del servidor. Ahora necesitas una política de privacidad que cumpla requisitos específicos, esté accesible, sea clara y actualizada. En esta guía te mostramos exactamente qué exige la ley y cómo evitar los errores más comunes.

Las 12 menciones obligatorias del Artículo 14

El artículo 14 de la Ley 21.719 establece 12 elementos que sí o sí debe contener tu política de privacidad. No es opcional:

Identidad del responsable: Quién es (nombre legal, RUT, domicilio)
Datos que recopila: Qué información específica registras
Finalidades: Para qué usas esos datos
Fundamento legal: Por qué puedes procesar esa información
Destinatarios: A quién compartes los datos (proveedores, terceros, etc.)
Derechos del titular: Acceso, rectificación, eliminación, oposición
Procedimiento para ejercer derechos: Cómo y dónde contactar
Plazo de respuesta: Cuántos días tienes para responder (máximo 30)
Datos sensibles (si aplica): Si recopilaste datos sobre salud, origen étnico, etc.
Transferencias internacionales (si aplica): Si envías datos fuera de Chile
Cookies y tecnologías de rastreo (si aplica): Cómo las usas y cómo el usuario puede rechazarlas
Cambios a la política: Cómo y cuándo notificarás actualizaciones

La clave: no necesitas mencionar algo que no haces. Si tu startup no transfiere datos al extranjero, puedes omitir ese punto. Pero si sí lo haces, es obligatorio aclararlo.

Aviso de privacidad vs. política completa: ¿Cuál es la diferencia?

Aquí hay confusión en muchas empresas. El aviso de privacidad es una versión corta, visible en el momento de la recopilación (por ejemplo, al registrarse en tu web o app). Contiene lo esencial en pocas líneas.

La política de privacidad completa es el documento detallado con todos los 12 puntos, donde te profundizas. El aviso es la puerta de entrada; la política es la casa entera.

En la práctica: Tu formulario de contacto muestra el aviso ("Usaremos tus datos para responder tu consulta"). El usuario hace clic en "Leer política completa" y accede al documento largo donde explicas todo.

Dónde publicar tu política de privacidad

La ley no dice exactamente dónde, pero exige que sea accesible a los titulares. Aquí está el consenso:

Sitio web: Enlace en el footer (requerido si tienes e-commerce o formularios)
App móvil: Acceso dentro de la app, generalmente en configuración o "Acerca de"
Email: Adjunta o enlaza la política cuando recopiles datos por este canal
Formularios en línea: Aviso + checkbox de aceptación antes de enviar
Punto de venta físico: Si tienes sucursal, un póster o QR que lleve a la política online es suficiente

No es necesario que imprimas mil copias. Digital y accesible es lo que pide la norma.

Política para empleados vs. clientes: No es lo mismo

Las políticas de privacidad para empleados son diferentes a las de clientes, aunque muchas empresas las mezlan.

Política para clientes: Explica cómo proteges datos de quienes compran, se registran o contactan tu empresa.

Política para empleados: Describe cómo manejas información de trabajadores (datos bancarios, registro de asistencia, evaluaciones, etc.). Esta debe incluir detalles sobre videovigilancia, monitoreo de email, acceso a datos sensibles, etc.

Muchas pymes usan una sola política para ambos públicos, lo que es un error. Los datos de un cliente no se tratan igual que los de un empleado. Redacta ambas documentos.

Actualización y versionado: Mantén tu política viva

La ley exige que notifiques cambios a los titulares. ¿Cómo?

Agrega un número de versión y fecha de actualización en cada política
Mantén un registro de cambios (changelog) visible para usuarios
Si el cambio es sustancial (nueva finalidad, nuevo destinatario), notifica por email
Los cambios menores (redacción más clara) pueden no requerir notificación previa

Ejemplo: "Política de Privacidad v2.3 - Actualizada el 15 de octubre de 2024. Cambios: Se agregó mención a uso de Inteligencia Artificial en análisis de datos."

Lo que no puede faltar y lo que sí puedes omitir

Obligatorio (artículo 14): Los 12 puntos mencionados arriba. Sin negociación.

Puedes omitir: Explicaciones extensas sobre tecnología, historiales de cambios de 5 años atrás, legalese innecesario, información sobre datos que no recopilastes.

Recomendable (aunque no obligatorio): Explicar en lenguaje simple, incluir ejemplos, especificar tiempos de retención de datos, describir medidas de seguridad, detallar cómo rechazar cookies.

El error más común: inflar el documento con párrafos sobre protección de datos que no aplican a tu negocio. Una política de 3 páginas bien estructuradas es mejor que una de 10 que repite conceptos.

Conclusión: Haz tu política ahora, correctamente

Redactar una política de privacidad bajo la Ley 21.719 no es complicado si sabes qué exige la ley. Los pasos son: identifica qué datos recopilastes, por qué los usas, a qu