De todas las obligaciones de la Ley 21.719, las que afectan a tu sitio web tienen una característica que las hace especialmente urgentes: son verificables desde fuera por cualquier persona. Nadie necesita acceso a tus sistemas ni facultades de fiscalización para comprobar si tu política de privacidad existe o si tu píxel de Meta se dispara antes del consentimiento. Basta con abrir el navegador.
Por eso la superficie pública es donde recomendamos empezar: es lo que detona denuncias y también lo más rápido de corregir. Estos son los 13 controles que revisamos.
Bloque 1 · Transparencia e información
1. Existencia de política de privacidad
Debe existir un documento accesible desde cualquier página del sitio, habitualmente enlazado desde el pie. Su ausencia es un hallazgo inmediato de infracción de transparencia.
Cómo comprobarlo: busca el enlace en el pie de página de tu home y de una página interior cualquiera.
2. Contenido mínimo de la política
No basta con que exista: debe identificar al responsable con datos de contacto reales, describir qué datos se tratan y con qué finalidades, indicar las bases de licitud, los plazos de conservación, los destinatarios o categorías de destinatarios, las transferencias internacionales y la forma de ejercer los derechos ARSOP.
El error más común: plantillas copiadas que mencionan el RGPD europeo, hablan de «la Unión Europea» o citan la Ley 19.628 derogada. Una política genérica que no describe tratamientos reales no cumple el deber de información.
3. Lenguaje claro
La ley exige información en términos comprensibles para el titular. Un documento de doce mil palabras redactado en jerga jurídica, sin estructura ni encabezados, incumple el principio de transparencia aunque su contenido sea técnicamente correcto.
4. Identificación del responsable
Debe poder saberse quién es la persona natural o jurídica que trata los datos, con razón social, identificación y un canal de contacto operativo.
Bloque 2 · Consentimiento
5. Existencia de mecanismo de consentimiento de cookies
Debe haber un mecanismo que recoja la decisión del usuario antes de instalar rastreadores no esenciales.
6. Bloqueo previo real de rastreadores
Este es el control técnico más importante y el que más sitios reprueban. No basta con mostrar un banner: los scripts no esenciales deben estar efectivamente bloqueados hasta la aceptación.
Cómo comprobarlo: abre tu sitio en incógnito, abre las herramientas de desarrollador en la pestaña Network, recarga y revisa si hay peticiones a google-analytics.com, connect.facebook.net o similares antes de tocar el banner.
7. Opción de rechazo equivalente
Rechazar debe ser tan fácil como aceptar: mismo nivel, misma jerarquía visual, mismo número de clics. Un banner con un botón «Aceptar» destacado y el rechazo escondido en «Configurar» no recoge consentimiento libre.
8. Granularidad por finalidad
El usuario debe poder aceptar analítica y rechazar publicidad de forma independiente. Una única casilla que agrupa todas las finalidades no cumple el requisito de especificidad.
Bloque 3 · Formularios
9. Casilla de consentimiento en formularios
Todo formulario que capture datos personales debe incluir una casilla de aceptación desmarcada por defecto, con enlace directo a la política de privacidad.
10. Proporcionalidad de los campos solicitados
El principio de proporcionalidad limita la recolección a lo necesario para la finalidad declarada. Pedir RUT, fecha de nacimiento o dirección en un formulario de contacto es desproporcionado si solo vas a responder un correo.
El caso del RUT en e-commerce merece mención especial: es habitual exigirlo por costumbre, no por necesidad. Si no emites documento tributario nominativo en esa etapa, probablemente no lo necesitas al momento de registro.
11. Finalidad declarada junto al formulario
El usuario debe saber, en el momento de entregar sus datos, para qué se usarán. Suscribir un newsletter y aceptar el envío de publicidad de terceros son finalidades distintas que requieren consentimientos distintos.
Bloque 4 · Seguridad y derechos
12. HTTPS con certificado válido y redirección forzada
Un formulario servido sobre HTTP transmite los datos sin cifrar. El principio de seguridad exige medidas apropiadas al riesgo, y el cifrado del transporte es el mínimo indiscutible en 2026.
No basta con tener certificado: debe existir redirección forzada desde HTTP a HTTPS. Si tu sitio responde en ambos protocolos, la versión insegura sigue siendo alcanzable.
Cómo comprobarlo: escribe http:// delante de tu dominio y verifica que el navegador te lleve a https://.
13. Canal ARSOP visible
Debe existir y estar publicado un canal gratuito y accesible para ejercer los derechos de acceso, rectificación, supresión, oposición y portabilidad. Su ausencia es una infracción de transparencia constatable en segundos.
En qué orden corregir
Si tienes recursos limitados, este es el orden que maximiza reducción de riesgo por esfuerzo invertido:
- HTTPS forzado (control 12). Suele resolverse en minutos a nivel de servidor y elimina un hallazgo objetivo.
- Bloqueo previo de rastreadores (control 6). Es el hallazgo más grave del bloque de consentimiento.
- Casillas en formularios (control 9). Cambio de front-end de bajo costo.
- Canal ARSOP (control 13). Crear el buzón y publicarlo toma una tarde.
- Reescritura de la política de privacidad (controles 1–4). Es el más laborioso porque exige conocer tus tratamientos reales.
- Rechazo equivalente y granularidad (controles 7–8). Requiere reemplazar el gestor de consentimiento.
- Depuración de campos (control 10). Implica decisiones de negocio, no solo técnicas.
Advertencia importante: aprobar los 13 controles significa que la capa pública de tu sitio no presenta las fallas más frecuentes. No significa que tu organización cumpla íntegramente la Ley 21.719, que exige además registro de tratamientos, contratos de encargo, procedimiento de brechas y documentación de transferencias internacionales. Esos elementos no son verificables desde fuera y están cubiertos en nuestro artículo sobre obligaciones internas.
Puedes ejecutar estos 13 controles automáticamente con nuestro escáner gratuito, que entrega cada hallazgo con evidencia y severidad. Para el panorama completo de obligaciones, revisa la guía de la Ley 21.719.
Contenido informativo. No constituye asesoría legal ni certificación de cumplimiento.