Última actualización: 25 de agosto de 2026
La Ley N° 21.719 no prohíbe Google Analytics, ni el Pixel de Meta, ni ninguna otra herramienta de medición. No las menciona. Lo que regula es el tratamiento de datos personales, y esas herramientas empiezan a tratarlos en el primer segundo de la visita, antes de que el visitante haya decidido nada. Ahí está el problema, y ahí está también la solución.
La respuesta corta
Puedes seguir midiendo tu sitio. Lo que no puedes es cargar la herramienta antes de que la persona acepte. La instalación por defecto que trae cualquier tutorial —pegar el script en el <head> y listo— dispara la medición apenas se abre la página, y eso es exactamente lo que la ley no permite.
La corrección es técnica y acotada: el script deja de cargarse solo, y pasa a cargarse cuando el visitante lo autoriza. Nada más. Tu cuenta de Analytics sigue siendo la misma y tus informes siguen existiendo, con menos visitas contadas.
Por qué son datos personales, aunque no pidan el nombre
El argumento más común para no hacer nada es que la analítica «es anónima»: nadie escribe su nombre en ninguna parte. La ley no lo ve así. Define el dato personal como cualquier información referida a una persona natural identificada o identificable, y precisa que es identificable aquella cuya identidad puede determinarse directa o indirectamente, en particular mediante uno o más identificadores.
Eso es literalmente lo que hacen estas herramientas. Google Analytics guarda en la cookie _ga un identificador que distingue a esa persona de las demás y la reconoce cuando vuelve. Meta guarda el suyo en _fbp, y además envía la información a una empresa que sí sabe a qué cuenta de Facebook o Instagram corresponde ese navegador. A eso se suma la dirección IP, que viaja en toda petición.
No hace falta un nombre para identificar a alguien. Basta con poder seguirlo.
Quién responde por esto: tú, no Google
La ley distingue dos papeles. El responsable es quien decide para qué se tratan los datos: tu organización, la que puso el script en su sitio. El encargado es quien los trata por cuenta del responsable: Google, Meta, tu proveedor de hosting, la plataforma del boletín.
La consecuencia práctica incomoda, pero conviene saberla antes que después: quien responde ante la Agencia eres tú. Que Google tenga sus propias condiciones contractuales y su documentación de cumplimiento no te traslada la obligación. Y el artículo 12 cierra el punto sin ambigüedad: corresponde al responsable probar que contó con el consentimiento del titular y que el tratamiento fue lícito. La carga de la prueba es tuya.
La palabra que lo cambia todo: «previo»
El artículo 12 dice que el consentimiento debe ser libre, informado y específico en cuanto a su finalidad, y que debe manifestarse en forma previa y de manera inequívoca, mediante una declaración o un acto afirmativo que dé cuenta con claridad de la voluntad del titular.
Cada palabra descarta una práctica que hoy es habitual en Chile:
- Previa. El aviso que aparece mientras Analytics ya está midiendo no sirve. Cuando el visitante lee el banner, el dato ya salió.
- Acto afirmativo. «Si continúas navegando, aceptas» no es un acto afirmativo: es la ausencia de uno. Tampoco lo son las casillas premarcadas.
- Específica en cuanto a su finalidad. Un único «Aceptar todo» que mezcla medición, publicidad y funcionamiento del sitio no es específico.
- Inequívoca. Cerrar el banner con la X, o hacer scroll, no expresa voluntad de nada.
Hay un punto más, y es el que suele faltar: el titular puede revocar el consentimiento en cualquier momento y sin expresar causa, por medios similares o equivalentes a los que usó para darlo, y esos medios deben ser expeditos, gratuitos y estar permanentemente disponibles. Si aceptar toma un clic y arrepentirse exige escribir un correo, el mecanismo no cumple. Por eso un banner que solo tiene «Aceptar» está mal construido incluso cuando aparece a tiempo: si rechazar no es tan fácil como aceptar, el consentimiento tampoco fue libre.
¿Y el interés legítimo no me cubre?
Es la pregunta razonable, y la respuesta honesta es: a veces, pero no aquí y no sin trabajo.
El artículo 13 enumera las otras fuentes de licitud que permiten tratar datos sin consentimiento, y entre ellas está el tratamiento necesario para la satisfacción de intereses legítimos del responsable. Existe, es real y no es un tecnicismo muerto.
Pero es la base de licitud más exigente de invocar, porque obliga a sostener una ponderación —tu interés frente a los derechos del titular— y a documentarla, con la carga de la prueba otra vez de tu lado. Y el caso de la medición publicitaria de terceros es justamente el más débil: no estás midiendo tu sitio en un cuaderno propio, estás enviando el comportamiento de tus visitantes a empresas que lo reutilizan para sus propios fines comerciales. Sostener que eso no afecta los derechos del titular es cuesta arriba.
En la práctica, para analítica y publicidad, el camino corto y defendible es el consentimiento previo.
El segundo problema: los datos salen del país
Aunque resuelvas el consentimiento, queda una obligación aparte que casi nadie mira. Mandar el comportamiento de tus visitantes a Google o a Meta es una transferencia internacional de datos, y la ley le dedica un título completo: los artículos 27 a 29.
La regla general permite la transferencia en varios casos —entre ellos, hacia países con un nivel adecuado de protección, o con garantías adecuadas como cláusulas contractuales tipo—, pero impone dos cosas concretas. Primero, tu Política de Privacidad debe informar que los datos se transfieren a un tercer país u organización internacional, y si ese destino ofrece o no un nivel adecuado de protección. Segundo, corresponde al responsable acreditar ante la Agencia que la transferencia se hizo conforme a la ley.
Traducido: no basta con que Google cumpla. Tienes que poder demostrar que lo verificaste, y decirlo por escrito en tu política.
Cómo comprobarlo tú mismo, en dos minutos
No necesitas contratar a nadie para saber si tu sitio tiene este problema. Necesitas un navegador:
- Abre tu sitio en una ventana de incógnito, para partir sin cookies previas.
- Abre las herramientas de desarrollador (
F12, oCmd + Option + Ien Mac) y ve a la pestaña Red. - Recarga la página y no toques el banner. Ni aceptar, ni rechazar, ni cerrarlo.
- En el filtro, escribe
google-analytics. Repite congoogletagmanagery confacebook.
Si aparece cualquier petición antes de que hayas decidido, ya tienes la respuesta: la herramienta trató los datos de esa visita sin consentimiento. Si además pulsas «Rechazar» y las peticiones siguen apareciendo, el banner es decorativo —informa, pero no bloquea nada—, que es el hallazgo más frecuente en los sitios chilenos que revisamos.
Esta comprobación te dice si tienes el problema. Un diagnóstico completo responde algo distinto y más largo: en qué páginas ocurre, qué se envía exactamente, qué otras herramientas hay que no sabías que estaban instaladas, si tus formularios tienen el mismo defecto y qué artículo de la ley se activa en cada caso.
Qué hacer, en orden
- Inventaría lo que se carga. Casi siempre hay más de lo que recuerdas: un pixel que instaló una agencia hace tres años, un chat, un mapa incrustado, una tipografía servida desde un tercero.
- Bloquea por defecto. Nada de medición ni publicidad hasta que la persona acepte. En Google, esto es lo que hace el Modo de consentimiento; en cualquier caso, el estándar es que el script no exista hasta que haya un sí.
- Pon «Rechazar» junto a «Aceptar», con el mismo peso visual y en el mismo nivel. Dos botones, no uno.
- Deja la decisión reversible, con un enlace permanente para cambiar de opinión.
- Declara todo en tu Política de Privacidad: qué herramientas usas, con qué finalidad, quién las opera y que los datos se transfieren fuera de Chile.
- Guarda la evidencia del consentimiento. Recuerda quién tiene que probarlo.
Qué arriesgas si no lo haces
La ley clasifica las infracciones en tres niveles y cada uno tiene su tope de multa:
- Grave (hasta 10.000 UTM). Tratar datos personales sin el consentimiento del titular o sin un fundamento legal que otorgue licitud al tratamiento. Es la letra a) del artículo 34 ter, y es exactamente lo que ocurre cuando Analytics carga antes del banner.
- Leve (hasta 5.000 UTM). Incumplir el deber de información y transparencia: no declarar las herramientas ni las transferencias en la política de privacidad.
- Gravísima (hasta 20.000 UTM). Realizar transferencias internacionales en contravención a la ley a sabiendas. La diferencia entre esta y la grave es lo que sabías al momento de hacerlo, lo que convierte a «ya me lo habían advertido» en un agravante.
El detalle de la clasificación completa está en multas por incumplir la Ley 21.719, y el contexto general de la norma, en qué es la Ley 21.719.
¿Qué está enviando tu sitio ahora mismo?
El Diagnóstico Web Ley 21.719 revisa tu sitio con un navegador real y captura el tráfico de red al cargar: qué herramientas se disparan, en qué momento, antes o después del consentimiento, y qué se va a cada una. Cada hallazgo llega con su evidencia y su clasificación legal.
Esta guía cita la Ley N° 21.719 publicada en el Diario Oficial el 13 de diciembre de 2024. Es orientación técnica sobre cómo se comporta un sitio web, no asesoría legal: la calificación jurídica de un caso concreto le corresponde a un abogado.