Plantilla de política de privacidad con la Ley 21.719

Publiqué una plantilla de política de privacidad orientada a PYME chilena y al estándar de la Ley 21.719, junto con el checklist de implementación técnica que va antes de escribir una sola línea de ese texto.

Descargar la plantilla y el checklist (texto plano, versión 1.0)

Descarga directa. No hay formulario, no pido tu correo y no hay lista de la que después haya que darse de baja. Es un archivo de texto: se abre en cualquier parte, se copia y se pega donde quieras, y no se ve bonito a propósito.

Antes de seguir: esto no es asesoría legal. No soy abogado. Usar la plantilla no te deja en cumplimiento de la Ley 21.719. El texto tiene que revisarlo un abogado antes de que lo publiques. Está repetido dentro del archivo, arriba y abajo, a propósito.

Por qué otra plantilla, si ya hay generadores gratis

Hay varios generadores de políticas de privacidad en español, y funcionan: te hacen preguntas y te devuelven un texto. No estoy tratando de competir con eso, y si lo único que necesitas es el texto, usa uno y ahórrate el trabajo.

Lo que no encontré publicado, y es lo que agrega este recurso, es la otra mitad: qué hay que hacer en el sitio y en la operación para que ese texto sea verdad. Un generador te pregunta si usas Google Analytics y escribe el párrafo correspondiente. No te dice que tienes que verificar el orden de carga de los scripts, ni que la retención hay que configurarla dentro de la herramienta además de declararla, ni que la tabla del plugin de formularios lleva cuatro años acumulando correos que nadie inventarió.

Ahí está el problema real. Una política de privacidad no es un requisito de papel que se cuelga en una URL: es una declaración de lo que haces. Si lo que haces no coincide con lo que dice, el texto no te protege. Te deja peor, porque queda publicado, fechado y firmado por ti.

Por eso la plantilla viene con el paso 1 antes que el texto, y el paso 1 no es escribir.

Qué trae el archivo

Dos partes.

Parte 1: la plantilla de política de privacidad. Doce secciones, con los campos a reemplazar marcados entre corchetes y las instrucciones de trabajo entre llaves, para que las borres antes de publicar. Cubre quién trata los datos, la tabla de qué datos por qué finalidad con qué base de licitud y por cuánto tiempo, canales de contacto, cookies y medición, encargados de tratamiento, transferencias fuera de Chile, retención, derechos, seguridad, menores, qué ley se aplica y control de versiones.

Tiene una regla escrita arriba que es la que más se incumple: si una sección no aplica a tu operación, se borra. No se deja “por si acaso”. Una política que declara tratamientos que no haces es tan inexacta como una que omite los que sí haces, y es más fácil de desmentir.

Parte 2: el checklist de implementación técnica. Once pasos, en orden, y el orden importa porque el primero condiciona a todos los demás:

Paso	De qué se trata
1	Inventario: qué datos tienes, dónde viven, quién los ve, desde cuándo
2	Minimización: sacar lo que no se usa antes de protegerlo
3	Consentimiento y banner: orden de carga, peso de los botones, revocación
4	Registro del consentimiento: estado, fecha y versión del texto aceptado
5	Analítica y publicidad: retención configurada, control de entorno
6	Retención y borrado: plazos implementados, no solo declarados
7	Accesos y seguridad: usuarios, roles, respaldos con restauración probada
8	Proveedores: contrato de encargo, subcontratación, dónde alojan
9	Derechos ARCOP: canal, procedimiento, control de plazos
10	Incidentes: qué cuenta como brecha, cómo se detecta, quién avisa
11	Documentación: fechas anotadas de cada revisión

Cada paso viene como lista de verificación, no como explicación. Es para tener abierto al lado mientras trabajas.

El paso que casi nadie hace y ordena todo lo demás

El paso 1 es el inventario, y es donde se cae la mayoría de los proyectos de cumplimiento chicos. Suena administrativo y aburrido, y por eso se salta directo al banner, que es la parte visible.

Lo que el inventario suele revelar en un sitio de PYME:

• La tabla del plugin de formularios, con miles de envíos de años que nadie sabía que se estaban guardando. Es una base de datos personales completa, sin plazo de conservación, dentro de un WordPress.
• Scripts de terceros que cargan sin que nadie los haya decidido: un chat que se probó una vez, un mapa incrustado, tipografías externas que reportan cada visita a un servidor ajeno.
• Datos de clientes en la bandeja de correo, en planillas y en WhatsApp, que no están en ningún sistema y que nadie considera “la base de datos”.
• Cuentas de administrador de proveedores que dejaron de trabajar hace años.

Nada de eso se arregla escribiendo un texto. Y todo eso tiene que estar resuelto antes, porque la política que publiques va a describir exactamente ese desorden o va a mentir sobre él.

Por eso el checklist va emparejado con la plantilla, y el orden de trabajo que recomienda el archivo es: inventario, llenar la plantilla, ejecutar el checklist, volver a corregir la plantilla con lo que el checklist mostró, revisión legal, publicar con versión y fecha.

Cómo se usa, en concreto

1. Descarga el archivo y ábrelo en un editor de texto cualquiera.
2. Empieza por la Parte 2, paso 1. Llena la planilla del inventario antes de tocar la plantilla.
3. Con el inventario en la mano, completa la Parte 1. Los campos entre corchetes son tuyos; las instrucciones entre llaves se borran.
4. Ejecuta el resto del checklist. Vas a encontrar cosas que te obligan a volver atrás y corregir la política. Eso es señal de que está funcionando.
5. Manda el texto a revisión legal.
6. Publica con número de versión y fecha visibles, y no cambies el contenido sin subir los dos.

El control de versiones no es burocracia. Si mañana cambias qué mide tu sitio y no subes la versión, los consentimientos que ya te dieron se dieron sobre otro texto, y estás aplicando un permiso a algo que la persona no vio.

Lo que la plantilla no reemplaza

No reemplaza al abogado. Los plazos exactos de respuesta, las vías de reclamo y la validez jurídica del texto son suyos.

No reemplaza el trabajo técnico. El banner que no bloquea, la retención que no está configurada y los respaldos que nunca se restauraron no se arreglan con un documento. Eso está en qué cambiar por la Ley 21.719 en cookies y formularios, elemento por elemento y con la revisión aplicada a este mismo sitio.

No reemplaza el inventario. Es literalmente el primer paso y no lo puede hacer nadie por ti sin entrar a tu operación.

Preguntas frecuentes

¿Puedo usar la plantilla en un proyecto de un cliente?

Sí, úsala. Es para eso. Si le agregas valor y se lo cobras, también: lo que se cobra es el trabajo de completarla, no el archivo.

¿Por qué es un archivo de texto y no un Word o un PDF?

Porque es un documento de trabajo. Un texto plano se abre en cualquier equipo, se copia y se pega sin arrastrar formato, se puede versionar y no pesa nada. Un PDF bonito invita a publicarlo tal cual, que es exactamente lo que no hay que hacer.

¿Sirve si mi sitio no es WordPress?

Sí. La plantilla es agnóstica y el checklist también, salvo un par de puntos donde nombro WordPress porque ahí es donde más veo el problema. La lógica es la misma en cualquier plataforma.

¿Cada cuánto se actualiza?

Cuando cambie algo que la afecte: si se confirma la postergación de la fecha de vigencia, si la Agencia dicta instrucciones o si el propio checklist me queda corto en un proyecto. El número de versión y la fecha están en la cabecera del archivo, y el enlace de descarga siempre apunta a la versión vigente.

¿Me deja en cumplimiento de la Ley 21.719?

No. Es una herramienta de trabajo técnico. El cumplimiento depende de lo que efectivamente hagas con los datos y de la revisión legal de un abogado. Está escrito así dentro del archivo, tres veces, a propósito.

Descarga

Plantilla de política de privacidad y checklist técnico, versión 1.0 (texto plano)

Versión 1.0, del 26 de agosto de 2026. Sin formulario y sin correo.

Si la usas y encuentras algo que falta o que está mal, escríbeme y lo corrijo en la próxima versión. La implementación completa, cuando prefieres que la haga alguien, la trabajo en protección de datos personales.

Checklist técnico de la Ley 21.719 para tu sitio

Los once pasos de la Parte 2 del archivo quedan acá como doce controles que se pueden revisar, cada uno con cómo se verifica y qué evidencia guardar con fecha. Son las obligaciones de la Ley 21.719 que se pueden comprobar en el sitio y en los sistemas donde viven los datos, o sea la parte técnica, no la legal. El artículo entre paréntesis es de la Ley 19.628 según el texto que fija la Ley 21.719. La ley no nombra cookies, formularios ni plugins, así que llevarla a esos elementos es lectura mía.

Id	Control	Cómo se verifica	Evidencia
INV	Inventario de datos: cada formulario, tabla de plugin, script de terceros y lugar fuera del sitio (correo, planillas, WhatsApp), con qué dato guarda, para qué y quién lo ve (artículos 3, letra a, y 14 ter, letra d)	Recorrer los formularios, buscar en la base de datos las tablas de plugins de formularios y newsletter, y listar los scripts que cargan en el código fuente de la página	La planilla del inventario, con fecha
MIN	Solo los datos necesarios: campos que no se usan fuera y envíos antiguos borrados (artículos 3, letra c, y 14 quáter)	Comparar cada campo con la finalidad declarada y contar los registros más antiguos que el plazo de conservación	Captura del formulario antes y después, y el conteo de registros borrados
POL	Política de privacidad publicada con fecha y versión, que calce con el inventario (artículo 14 ter, letra a)	Leer la política al lado del inventario, fila por fila	URL de la política, número de versión y fecha de la revisión legal
BAN	Banner que bloquea antes de que la persona decida, con el rechazo del mismo peso que la aceptación y la revocación siempre a mano (artículo 12)	Abrir el sitio en una ventana privada y mirar cookies y peticiones en las herramientas de desarrollo sin tocar el banner, y contar los clics para aceptar y para revocar	Captura fechada de las cookies con el banner sin responder
REG	Registro del consentimiento con estado, fecha y versión del texto aceptado (artículo 12)	Aceptar en el sitio y buscar el registro donde la política dice que vive (navegador o servidor)	Un registro exportado o capturado, con fecha y versión
FOR	Formularios que dicen para qué se usa lo escrito, con la casilla de marketing aparte, opcional y sin marcar (artículos 3, letra b, y 12)	Enviar el formulario de prueba y revisar si alguna casilla viene marcada o es obligatoria para enviar	Captura del formulario con el texto de finalidad
RET	Plazos de conservación escritos y aplicados, también en respaldos y en la analítica (artículos 3, letra c, y 14 ter, letra i)	Revisar la tarea programada o el procedimiento de borrado, y la retención configurada en la herramienta de analítica	Tabla de plazos y captura de la configuración de retención
ACC	Accesos con un usuario por persona, rol mínimo, segundo factor y las cuentas de proveedores antiguos dadas de baja (artículo 14 quinquies)	Listar los usuarios administradores del sitio, del hosting y de cada servicio conectado	Listado de usuarios con la fecha de la revisión
RES	Respaldos cifrados y restauración probada (artículo 14 quinquies, letras a y c)	Restaurar un respaldo en un entorno aparte y confirmar que el sitio levanta	Fecha y resultado de la última prueba de restauración
PRV	Proveedores que reciben datos, con contrato de encargo y el país donde los alojan (artículos 15 bis, 14 ter, letra h, y 27)	Cruzar la lista de plugins, integraciones y servicios externos con el contrato o anexo de cada uno	Lista de proveedores con contrato y país
DER	Canal para ejercer derechos y control del plazo de 30 días corridos (artículos 10 y 11)	Mandar una solicitud de prueba por el canal publicado y ver quién la recibe y cuánto se demora la respuesta	Registro de solicitudes con fecha de entrada y de respuesta
INC	Circuito de brechas, con cómo se detecta, quién decide y cómo se reporta a la Agencia (artículo 14 sexies)	Revisar que el procedimiento esté escrito y que las alertas del hosting le lleguen a alguien	Procedimiento con fecha y registro de incidentes, aunque esté vacío

Los textos que sostienen varios de estos controles (la política, los plazos de conservación, los contratos de encargo y la base de licitud de cada uso) los tiene que validar un abogado. El checklist revisa que lo que dicen esté funcionando en el sitio. Marcar los doce ítems no te deja en cumplimiento de la ley, porque eso depende de lo que hagas con los datos y de esa revisión legal. Si tratas datos sensibles o la base es el centro del negocio, suma la evaluación de impacto que pide la Ley 21.719.

El detalle de cada elemento del sitio, con la revisión aplicada a este mismo sitio, está en la guía de la Ley 21.719 para tu sitio web. Si prefieres que lo haga yo, implementar la Ley 21.719 en tu sitio y tus sistemas es lo que trabajo en protección de datos, partiendo por un diagnóstico de 30 minutos sin costo.