Si hay un cambio de la Ley 21.719 que va a obligar a reescribir código en prácticamente todos los sitios web chilenos, es el fin del consentimiento tácito. Durante veinticinco años, bajo la Ley 19.628, fue posible sostener que un usuario que seguía navegando estaba aceptando el tratamiento de sus datos. Esa interpretación ya no se sostiene.

Qué cambia exactamente

La ley exige que el consentimiento sea libre, informado, específico e inequívoco, y que se manifieste mediante una acción positiva del titular. Cada uno de esos cuatro adjetivos elimina una práctica que hoy es común:

Qué cookies necesitan consentimiento y cuáles no

Aquí está la confusión más extendida del mercado chileno. No todas las cookies requieren autorización previa, y tratar de pedir permiso para todas es tan incorrecto como no pedirlo para ninguna.

Exentas de consentimiento

Las cookies estrictamente necesarias para prestar el servicio que el usuario solicitó pueden instalarse sin autorización previa, porque se amparan en la ejecución del contrato o en el interés legítimo del responsable. Son típicamente:

Requieren consentimiento previo

El criterio no es el nombre del proveedor sino la finalidad. Una misma herramienta puede estar exenta o no según cómo esté configurada: una analítica autoalojada, sin cookies y con IP truncada, plantea un caso distinto al de un script que envía identificadores persistentes a un tercero en otra jurisdicción.

Cómo se comporta un banner que cumple

Traducido a requisitos de implementación, un mecanismo de consentimiento conforme debe cumplir estas condiciones:

  1. Bloqueo previo real. Ningún script no esencial debe ejecutarse antes de la aceptación. No basta con mostrar el banner: hay que impedir la carga. Este es el error técnico más frecuente.
  2. Rechazar tan fácil como aceptar. Ambos botones al mismo nivel, con la misma jerarquía visual y el mismo número de clics.
  3. Granularidad por finalidad. El usuario debe poder aceptar analítica y rechazar publicidad.
  4. Sin muros de cookies. Condicionar el acceso al contenido a la aceptación de rastreo publicitario compromete la libertad del consentimiento.
  5. Revocación accesible. Debe existir una forma permanente de cambiar de opinión, habitualmente un enlace en el pie de página.
  6. Registro demostrable. Hay que poder acreditar qué aceptó cada usuario, cuándo y sobre qué versión del texto.
  7. Caducidad razonable. El consentimiento no es indefinido; conviene renovarlo periódicamente.

Los cinco errores de implementación más comunes

Estos son los patrones que detectamos con más frecuencia al escanear sitios chilenos:

1. Banner decorativo. El sitio muestra un aviso de cookies, pero los scripts de analítica y publicidad ya se cargaron en el <head>. El banner informa, pero no controla nada. Es el caso más habitual y el más fácil de detectar desde fuera.

2. Aceptación implícita al cerrar. El botón de cierre («X») se interpreta como aceptación. Cerrar un aviso no es consentir.

3. Botón «Rechazar» que no revoca. El usuario rechaza, el banner desaparece, y los scripts siguen ejecutándose porque el rechazo solo oculta la interfaz sin tocar la carga de recursos.

4. Consentimiento agrupado. Una sola casilla que cubre analítica, publicidad, cesión a terceros y envío de newsletter. La ley exige que las finalidades diferenciables se consientan por separado.

5. Google Tag Manager como falsa solución. Instalar GTM no resuelve nada por sí solo: si los tags se disparan en All Pages sin condición de consentimiento, el resultado es idéntico a tener los scripts en duro.

Qué hacer con Google Analytics

La pregunta que más recibimos es si hay que dejar de usar Google Analytics. La respuesta es no, pero hay que usarlo distinto.

GA4 sigue siendo utilizable en Chile siempre que se cumplan tres condiciones: que solo se cargue después del consentimiento, que se informe su uso en la política de privacidad, y que se documente la transferencia internacional de datos hacia el proveedor. Además conviene activar las configuraciones que reducen la exposición —anonimización de IP, desactivación de señales publicitarias y acortamiento del periodo de retención— porque el principio de proporcionalidad exige tratar solo los datos necesarios.

Lo que deja de ser viable es la configuración por defecto: el script en el <head> disparándose en el 100% de las visitas antes de cualquier interacción.

Efecto práctico: vas a perder visibilidad estadística. Una fracción de tus usuarios rechazará. Es el costo de operar conforme a la ley, y conviene anticiparlo antes de que alguien en la organización interprete la caída de sesiones como un problema técnico.

Cómo comprobar tu propio sitio

Puedes hacer una verificación manual en dos minutos: abre tu web en una ventana de incógnito, abre las herramientas de desarrollador en la pestaña Network, recarga y observa qué peticiones salen hacia dominios de terceros antes de tocar el banner. Toda petición a google-analytics.com, facebook.net o similares que aparezca antes de aceptar es un hallazgo.

Si prefieres el resultado sistematizado, nuestro escáner gratuito ejecuta esa verificación junto con otros doce controles y te entrega la evidencia de cada uno.

Este artículo es material informativo y no constituye asesoría legal. Consulta la guía completa de la Ley 21.719 y verifica siempre contra la norma oficial.