Se instaló una idea cómoda sobre la Ley 21.719: que cumplir con las cookies es poner un banner. Contratas un plugin, aparece la barra abajo con el botón de aceptar, y queda la sensación de que el tema está resuelto. Lamentablemente, esto es una tranquilidad falsa, y hay que entender por qué esto es así antes de que la ley entre en vigencia el 1 de diciembre de 2026. El banner es lo único visible del cumplimiento, y por eso todos lo miran. Pero no es donde la ley pone la atención. La ley no revisa tu barra de cookies: revisa qué hiciste con los datos de la persona desde el instante en que entró a tu sitio.
La distinción no es menor. Puedes tener el banner mejor diseñado de Chile, con sus dos botones parejos y su texto claro, y estar incumpliendo igual. Y al revés: un sitio sin banner puede estar más cerca de la ley que tu competencia con barra, según qué datos trate y con qué base. Lo que se juzga es el comportamiento que hay detrás del aviso.
Una cookie también es un dato tuyo
El primer malentendido es pensar que una cookie es un asunto técnico, ajeno a la protección de datos. Una cookie de seguimiento no guarda tu nombre, así que es fácil suponer que no cuenta como dato personal. El problema es que la ley no exige tu nombre para considerar que se trata de ti.
El artículo 2 define dato personal como cualquier información referida a una persona identificada o identificable, y aclara que alguien es identificable cuando su identidad puede determinarse de forma directa o indirecta mediante uno o más identificadores. Ahí entra la cookie. El identificador que te deja en el navegador para reconocerte entre visitas, tu dirección IP y el registro de qué páginas miras y por cuánto tiempo son piezas que, por separado, parecen anónimas. Cruzadas, dejan de describir un navegador cualquiera y empiezan a describirte a ti.
De rastro a identidad
Tres señales sueltas
un identificador que te sigue entre visitas
desde dónde te conectas
qué miras, cuánto y en qué orden
Ya no es un rastro anónimo: es un dato personal, y tratarlo cae bajo la ley.
Esto tiene una consecuencia directa. Desde el momento en que tu sitio deposita una cookie de seguimiento y empieza a construir ese perfil, estás tratando datos personales, con banner o sin banner. Y tratar datos personales necesita una base legal que lo permita. Ahí la pregunta deja de ser cómo se ve tu barra y pasa a ser con qué derecho capturaste el dato.
Qué te pide de verdad la ley
La ley ofrece varias bases para tratar datos, y el consentimiento es solo una de ellas. El artículo 13 reconoce también el cumplimiento de una obligación legal, la ejecución de un contrato con la persona y el interés legítimo del responsable, entre otras. Hay que decirlo con todas sus letras, porque circula la caricatura de que toda cookie necesita un sí explícito, y no es así. Las cookies estrictamente necesarias para que el sitio funcione no dependen de que la persona acepte. El carrito que recuerda lo que ibas a comprar o la sesión que te mantiene conectado se sostienen sin pedir permiso, porque sin ellas el servicio que pediste no existe.
El terreno cambia cuando la cookie deja de hacer funcionar el sitio y pasa a perfilarte para un tercero. La analítica web queda en una zona gris que se resuelve caso a caso, y en la práctica es la decisión más delicada, porque la usa casi todo el mundo dando por hecho que es inofensiva. El marketing conductual, el retargeting y los píxeles publicitarios que te siguen entre sitios son mucho más difíciles de justificar sin consentimiento, porque su finalidad no es servirte a ti sino construir un perfil para vender o segmentar. Para esos usos, la base natural es el consentimiento. Y el que describe el artículo 12 tiene condiciones que un banner apurado rara vez cumple.
Tiene que ser libre, informado y específico, y sobre todo previo e inequívoco. Previo significa antes de tratar el dato, no después. Inequívoco significa un acto afirmativo claro de la persona, no una casilla premarcada ni el supuesto de que si no rechazaste, aceptaste. Y hay un detalle que cambia todo el diseño del problema: la carga de la prueba es tuya. Si mañana la Agencia o la propia persona te pregunta con qué base trataste sus datos, no es ella quien tiene que demostrar que nunca aceptó. Eres tú quien tiene que probar que tenías con qué. Un banner que registra un clic genérico contra un texto que ya cambiaste tres veces no es esa prueba.
Lo que la ley fiscaliza de verdad
La Ley 21.719 no menciona la palabra cookies ni regula cómo tiene que verse tu banner. A diferencia de Europa, que tiene una norma específica para el seguimiento web, en Chile el deber sale del régimen general de datos personales. No hay una regla que diga que los dos botones tienen que ser del mismo tamaño ni que el rechazo tiene que estar en la primera capa. Esa buena práctica de diseño existe, pero no es lo que la ley fiscaliza.
Lo que la ley fiscaliza es si tuviste una base para el dato desde que lo capturaste. Y ahí es donde la forma y el fondo se separan. Si miras cómo se comportan hoy los sitios chilenos, incluso los que ya pusieron banner, aparece un patrón incómodo: la mayoría empieza a rastrear antes de preguntar, apenas cargas la página, cuando todavía no tocaste ningún botón. Y en buena parte de los sitios donde sí se puede rechazar, el rechazo es decorativo: pulsas que no y las cookies de seguimiento se quedan igual, como si nunca hubieras respondido.
La forma y el fondo
Usamos cookies para mejorar tu experiencia.
Se ve prolijo y en regla.
Rastrea antes del sí. El seguimiento se activa al cargar la página, cuando todavía no aceptaste nada.
Ignora el no. Pulsas rechazar y las cookies de seguimiento se quedan igual.
Un banner impecable montado sobre ese comportamiento no protege a nadie: documenta el incumplimiento con mejor tipografía. La forma puede estar perfecta y el fondo, que es lo único que la ley pesa, seguir tratando datos sin base. Hay un caso que lo deja especialmente claro y se ve seguido: sitios que cargan una plataforma de consentimiento seria, pero configurada solo para visitantes europeos. El aviso vive en el código y no se le muestra a quien entra desde Chile. La herramienta está y la intención de cumplir con Europa está; el visitante chileno igual queda sin la protección que la ley local contempla para él.
No es un problema hipotético ni lejano. Google Analytics, la herramienta de analítica que corre en buena parte de los sitios chilenos, ya fue declarada ilícita por reguladores europeos cuando se usa sin garantías adicionales. En Chile su estatus todavía es de zona gris, pero es justo la clase de tecnología que muchos dan por inofensiva porque la usa todo el mundo, y que en una jurisdicción con un marco parecido al que viene ya cargó con sanciones.
Lo que de verdad está en juego
Cuando la Agencia de Protección de Datos Personales empiece a fiscalizar, tratar datos sin una base que lo permita será una infracción grave, y esas tienen un techo de diez mil UTM. Ese número hay que leerlo con cuidado. Circula la cifra de veinte mil UTM como si fuera lo que arriesga cualquier sitio con cookies, y no es así: ese tramo, el de las gravísimas, está reservado para conductas de otra naturaleza, como usar datos con una finalidad distinta de forma maliciosa o tratar datos sensibles o de menores a sabiendas. Rastrear sin base queda en el tramo grave, no en el más alto.
Y estas cifras son topes legales, el "hasta" de una escala, no montos que la Agencia cobre de oficio a todo el que se equivoque. La sanción real depende de la gravedad, de si hubo reincidencia y del tamaño de la empresa. Las nombro por la proporción, no por el susto: un tema que muchos siguen tratando como un detalle de diseño está, en la ley, en la misma escala que las infracciones que sí se toman en serio.
Qué tiene que hacer una empresa web
Lo primero es dejar de mirar el banner como la meta y empezar a mirarlo como el registro de una decisión que tomaste antes. Antes de poner la barra hay un trabajo que no se ve: mapear qué cookies carga tu sitio de verdad, separarlas entre las que hacen funcionar el servicio y las que perfilan, y decidir para cada grupo con qué base las tratas. Ese inventario es aburrido, y es el grueso del cumplimiento real.
Con eso hecho, las reglas de comportamiento caen solas. Las cookies de seguimiento no se cargan antes de que la persona acepte, porque previo quiere decir previo. Cuando alguien rechaza, el seguimiento se detiene de verdad, no en la interfaz. Y como la carga de la prueba es tuya, cada consentimiento tiene que quedar guardado de una forma que puedas mostrar después: qué texto exacto vio la persona, en qué momento y qué eligió, sin que ese registro se pueda alterar más tarde sin que se note.
Esa última parte es la que casi siempre se subestima, y es la que en Alicanto construimos con más cuidado en nuestra plataforma de protección de datos. Diseñamos el consentimiento para que cada versión del banner quede sellada con la huella de su contenido y cada aceptación guarde exactamente qué versión vio la persona, en un registro que se agrega y no se edita. La idea es simple: que el día que tengas que probar con qué base trataste un dato, la respuesta no dependa de tu palabra. Si quieres entrar en cómo funciona esa evidencia por dentro, lo contamos en cómo se guarda un consentimiento que se puede probar.
El banner, al final, es apenas la punta visible de una decisión que tomaste antes, sobre qué datos capturas y con qué derecho. Cuando esa decisión está bien tomada, el banner es solo su cara pública. Cuando no lo está, ningún diseño de barra te va a salvar el día que alguien pregunte con qué base lo hiciste.
