Última actualización: 25 de agosto de 2026
Todo lo que sigue se comprueba desde fuera, con un navegador, sin acceso al servidor ni al gestor de contenidos. Esa es justamente la razón para revisarlo: si tú puedes verlo, cualquiera puede — un cliente molesto, un competidor, o la Agencia de Protección de Datos. Ninguno necesita tu permiso para mirar.
Necesitas dos cosas: una ventana de incógnito, para llegar a tu sitio como un desconocido, y las herramientas de desarrollador del navegador (F12, o Cmd + Option + I en Mac). Nada más.
01. Política de Privacidad
El artículo 14 ter obliga a mantener permanentemente a disposición del público, en el sitio web, la política de tratamiento de datos adoptada con su fecha y versión, la individualización del responsable, las categorías de datos que trata, las finalidades, la base que legitima cada tratamiento, las medidas de seguridad y los derechos del titular.
Cómo comprobarlo
- Búscala desde el pie de página. Si tienes que usar el buscador de Google para encontrarla, no está «a disposición del público».
- Mira si tiene fecha y número de versión. Es un requisito explícito y casi ninguna plantilla lo trae.
- Lee si nombra a tu organización, o si quedó el nombre de otra empresa.
- Comprueba si menciona las herramientas que de verdad usas hoy, y no las de hace tres años.
Señal de alarma
Que cite la Ley 19.628 y no la 21.719. Es el indicio más común de una plantilla copiada antes de 2024, y significa que nadie la ha revisado desde entonces.
02. Política de Cookies
La ley no tiene un artículo llamado «cookies». No hace falta: una cookie que identifica al visitante es un dato personal, porque la definición legal incluye a quien puede identificarse indirectamente mediante uno o más identificadores. Lo que se exige, entonces, es lo mismo que para cualquier otro dato: informar y tener una base que lo legitime.
Cómo comprobarlo
- La lista debe decir, por cada cookie: nombre, para qué sirve, cuánto dura y quién la instala. «Usamos cookies para mejorar tu experiencia» no informa nada.
- Abre las herramientas de desarrollador, pestaña Aplicación → Cookies, y compara lo que hay con lo que la política declara.
Señal de alarma
Que las dos listas no coincidan, en cualquier dirección. Declarar cookies que no usas es tan revelador como omitir las que sí: en ambos casos el documento no describe tu sitio.
03. Banner de consentimiento
Este es el punto que más sitios reprueban, y el único que se falla incluso teniendo el banner instalado. El artículo 12 exige que el consentimiento sea previo, libre, específico e inequívoco, y que revocarlo sea tan fácil como darlo.
Cómo comprobarlo
- En incógnito, abre las herramientas de desarrollador en la pestaña Red y recarga sin tocar el banner. Filtra por
google-analytics,googletagmanageryfacebook. Si aparece algo, ya se trataron datos sin consentimiento. - Cuenta los botones. «Rechazar» debe estar junto a «Aceptar», con el mismo tamaño y contraste. Si rechazar exige entrar a «Configurar», no es libre.
- Pulsa «Rechazar» y vuelve a mirar la pestaña Red. Si las herramientas se cargan igual, el banner es decorativo.
- Busca cómo cambiar de opinión después. Debe haber un enlace permanente, no un correo a soporte.
Señal de alarma
«Si continúas navegando, aceptas nuestras cookies». No es un acto afirmativo: es la ausencia de uno. Lo mismo vale para cerrar el aviso con la X o hacer scroll.
Está desarrollado, con el detalle de qué revisar en la pestaña Red, en ¿puedo seguir usando Google Analytics y el Pixel de Meta?
04. Formularios que recopilan datos
Cada formulario es una recolección de datos personales, y necesita una finalidad declarada. Cuenta el de contacto, el del boletín, el de postulación, el de donación y el de descarga del PDF.
Cómo comprobarlo
- Junto al botón de envío debe decirse para qué se usarán los datos y enlazarse la política de privacidad.
- Revisa campo por campo si cada dato es necesario para esa finalidad. El teléfono y el RUT suelen pedirse «por si acaso», y ese «por si acaso» no es una base legal.
- Si el formulario ofrece suscribirte al boletín, esa debe ser una decisión aparte de enviar el mensaje.
Señal de alarma
Un formulario de contacto que pide fecha de nacimiento. Si no puedes explicar para qué la necesitas en esa página concreta, no deberías estar pidiéndola.
05. Consentimientos visibles
Aquí se comprueba lo que la ley llama acto afirmativo, y hay un detalle que suele pasarse por alto: corresponde al responsable probar que contó con el consentimiento. No basta con haberlo pedido; hay que poder demostrarlo después.
Cómo comprobarlo
- La casilla no puede venir marcada. Míralo en la pantalla, no en el código.
- Intenta enviar el formulario sin marcarla. Si se envía igual, la casilla es decorativa.
- El consentimiento para tratar datos debe ir separado de aceptar los términos y condiciones: son dos cosas distintas y una no puede arrastrar a la otra.
- Pregúntate dónde queda registrado quién aceptó y cuándo. Si la respuesta es «en ninguna parte», no tienes cómo probarlo.
Señal de alarma
Una sola casilla que dice «Acepto los términos y condiciones y la política de privacidad». Mezcla un contrato con un consentimiento, y el consentimiento deja de ser específico.
06. Canal para ejercer derechos
Cualquier persona puede pedirte acceso a sus datos, su rectificación, su supresión, oponerse al tratamiento o pedir portabilidad. La ley te obliga a acusar recibo de esa solicitud y a pronunciarte dentro de treinta días corridos, prorrogables por una sola vez y por treinta días más. No responder es una infracción por sí sola.
Cómo comprobarlo
- Debe haber un medio de contacto identificado para esto: un correo, un formulario o un medio electrónico equivalente, publicado en el sitio.
- Tu sitio debe informar que estos derechos existen, y también que la persona puede recurrir a la Agencia si rechazas o no respondes a tiempo.
- Prueba el canal: escríbete tú mismo desde una dirección personal y mira si alguien lo lee.
Señal de alarma
Que el único canal sea un formulario genérico que llega a una casilla que nadie revisa. El plazo corre igual, y la primera noticia de que venció puede llegarte desde la Agencia.
07. Terceros que se cargan sin que lo sepas
Este es el punto que casi nadie mira, porque no se ve en la pantalla. Cada recurso que tu sitio pide a otro dominio entrega a esa empresa la dirección IP del visitante y la página que estaba mirando, antes de que decida nada.
Cómo comprobarlo
- En la pestaña Red, ordena por dominio y busca todo lo que no sea tu propio sitio.
- Los sospechosos habituales: tipografías desde
fonts.googleapis.com, mapas de Google incrustados, videos de YouTube, chats, botones de redes sociales y píxeles publicitarios que instaló una agencia hace años. - Cada uno tiene que estar declarado en tu política, con su finalidad y su transferencia internacional cuando corresponda.
Señal de alarma
Que tu propia página de privacidad cargue una tipografía desde un servidor de terceros. Es más frecuente de lo que parece, y es difícil de defender: el documento que explica cómo cuidas los datos, transfiriendo la IP del lector mientras lo lee.
Qué no te dice este checklist
Conviene ser claro con el alcance, porque un checklist en verde puede dar una tranquilidad que no corresponde. Estos siete puntos te dicen si tienes un problema visible. No te dicen:
- En qué páginas ocurre. Tu portada puede estar impecable y el formulario de postulación, tres clics más adentro, no tener aviso alguno.
- Qué se envía exactamente. Ver que una herramienta se dispara no es lo mismo que leer el contenido del envío.
- Qué artículo se activa en cada caso. La diferencia entre una infracción leve y una grave son varios miles de UTM, y depende de la conducta concreta.
- Qué hay que arreglar primero. Sin priorización, una lista de veinte hallazgos es una lista que nadie ejecuta.
Aun así, revísalos. Si encuentras tres o cuatro en rojo, ya sabes más de tu sitio que la mayoría de quienes lo administran, y sabrás si vale la pena mirar más a fondo.
¿Y lo que el checklist no alcanza?
El Diagnóstico Web Ley 21.719 recorre el sitio completo con un navegador real, siguiendo cada enlace, y entrega los mismos siete frentes con evidencia por hallazgo, clasificación legal y orden de ejecución. Valor único de $49.990, descontable si después implementamos las mejoras.
Esta guía cita la Ley N° 21.719 publicada en el Diario Oficial el 13 de diciembre de 2024. Es orientación técnica sobre cómo se comporta un sitio web, no asesoría legal: la calificación jurídica de un caso concreto le corresponde a un abogado.