En diciembre de 2026 vas a necesitar un aviso de privacidad publicado. La tentación, cuando falta poco y sobra trabajo, es buscar una plantilla, cambiarle el nombre de la empresa y pegarla en el pie de página del sitio. Problema resuelto, o eso parece.
El aviso de privacidad es distinto al resto de tu documentación de cumplimiento. Nadie lee tu registro de actividades de tratamiento ni tu evaluación de impacto. Pero el aviso sí lo lee gente: un cliente que quiere saber qué haces con su correo, un postulante que revisa antes de dejar su CV, y eventualmente un fiscalizador de la nueva Agencia de Protección de Datos Personales. Es la cara pública de todo lo que pasa puertas adentro.
Y ahí está el detalle que casi nadie te menciona: cada frase del aviso es una promesa. Cuando escribes “adoptamos medidas de seguridad para proteger tus datos” o “conservamos tu información por el tiempo estrictamente necesario”, estás declarando algo que tu operación de TI tiene que poder sostener. Si prometes que proteges datos personales pero no sabes en cuántas laptops del equipo comercial viven esos datos, ni si están cifradas, el aviso deja de ser un escudo y pasa a ser evidencia en tu contra.
Esta guía es para el que tiene que redactar o revisar ese documento y, sobre todo, para el que después tiene que hacer verdad lo que dice. Vamos a ver qué es el aviso de privacidad bajo la Ley 21.719, qué debe contener, cómo redactarlo paso a paso, los errores que lo invalidan, y la parte que TI tiene que respaldar para que el texto no sea ficción.
Qué es el aviso de privacidad bajo la Ley 21.719
El aviso de privacidad es el documento con el que cumples el deber de información: la obligación de decirle al titular, al momento de recolectar sus datos, qué vas a hacer con ellos. En Chile se lo conoce también como política de privacidad, y quien viene del mundo mexicano lo llama “aviso de privacidad”. Son el mismo instrumento. Lo importante no es el nombre sino la función: transparencia hacia la persona cuyos datos tratas.
Conviene separar dos cosas que se confunden seguido. El aviso informa; el consentimiento habilita. La Ley 21.719 permite tratar datos sobre varias bases de licitud (un contrato, una obligación legal, el interés legítimo o el consentimiento, entre otras), y no todas requieren pedir permiso. Pero el deber de información aplica siempre, uses la base que uses. Es decir: aunque no necesites consentimiento para procesar los datos de tus propios empleados, igual tienes que informarles qué haces con ellos y cómo pueden ejercer sus derechos.
El aviso también es donde la persona se entera de que tiene derechos y de cómo usarlos. La ley reconoce los derechos ARCOP: acceso, rectificación, cancelación (o supresión), oposición y portabilidad. Si tu aviso no explica de forma clara a quién escribirle y por qué canal para ejercerlos, no estás informando de verdad, estás cumpliendo a medias. Y una solicitud de acceso mal respondida es exactamente el tipo de fricción que termina en un reclamo ante la Agencia. Antes de redactar nada, conviene listar los momentos en que tu organización recolecta datos (formulario web, proceso de postulación, alta de clientes, cookies del sitio), porque cada uno de esos puntos necesita quedar cubierto por el aviso.
¿Qué debe contener tu aviso de privacidad?
El postulante que revisa tu política antes de subir su CV no busca prosa legal: quiere saber para qué vas a usar sus datos y por cuánto tiempo. Un aviso conforme responde eso con una lista concreta de elementos, y si falta alguno, el documento no cumple el deber de información aunque suene muy formal.
Estos son los contenidos que tu aviso debe cubrir:
- Identidad y datos de contacto del responsable. Quién trata los datos (razón social) y cómo contactarlo. Si designaste un encargado de protección de datos, sus datos de contacto van aquí.
- Finalidades del tratamiento. Para qué usas cada categoría de datos, en lenguaje específico. “Fines comerciales” no dice nada; “enviarte información sobre productos que contrataste” sí.
- Base de licitud. Qué te habilita a tratar esos datos: consentimiento, ejecución de un contrato, obligación legal, interés legítimo.
- Destinatarios y transferencias. A quién le compartes los datos (proveedores, encargados de tratamiento) y si los envías fuera de Chile.
- Plazo de conservación. Cuánto tiempo guardas cada tipo de dato, o el criterio que usas para definirlo.
- Derechos ARCOP y cómo ejercerlos. El canal concreto (un correo, un formulario) y qué puede pedir la persona.
- Existencia de decisiones automatizadas. Si haces perfilamiento o tomas decisiones sin intervención humana, hay que declararlo.
Acá aparece una distinción que cambia el nivel de exigencia: no es lo mismo tratar datos personales que datos sensibles. Si manejas datos de salud, situación socioeconómica, datos de menores o cualquier categoría que la ley considera sensible, las finalidades tienen que ser más acotadas y las medidas de protección más estrictas. Tu aviso debe reflejar eso, no diluirlo en una cláusula genérica que sirva para todo.
Quick win: Arma una tabla simple de dos columnas, finalidad y base de licitud, y llénala para cada tipo de dato que tratas. Si en alguna fila no sabes cuál es la base que te habilita, encontraste un tratamiento que tienes que revisar antes de publicar el aviso.
Cómo redactar tu aviso de privacidad paso a paso
Redactar el aviso no empieza en el Word. Empieza sabiendo qué datos tienes, dónde viven y para qué los usas. Ese trabajo previo es el que separa un aviso que refleja la realidad de uno que describe una empresa imaginaria.
El proceso, en orden:
- Inventaría tus tratamientos. Antes de escribir, mapea qué datos recolectas, por qué canal, con qué finalidad y dónde terminan almacenados. Este inventario es la fuente de verdad de todo lo demás.
- Asigna una finalidad y una base de licitud a cada tratamiento. Si un dato no tiene finalidad clara, probablemente no deberías estar recolectándolo.
- Redacta en segunda persona y sin jerga. El aviso lo lee una persona común, no un abogado. “Usamos tu correo para enviarte tu boleta” comunica; “se procesarán datos de contacto con fines de facturación” ahuyenta.
- Valida con quien corresponda. Legal o tu encargado de protección de datos revisa que las bases de licitud y las finalidades estén bien planteadas.
- Publica y hazlo accesible en el momento de la recolección. El aviso tiene que estar disponible cuando la persona entrega sus datos, no escondido tres clics abajo.
Un ejemplo de por qué el inventario va primero. Una empresa SaaS chilena de unas 40 personas recolecta datos de clientes por su formulario web. Hasta ahí, ordenado. Pero el equipo comercial exporta esos contactos a planillas Excel que quedan en las laptops de cada vendedor, y algunos las sincronizan a su Drive personal. Cuando el encargado de compliance se sienta a redactar el aviso, escribe “almacenamos tus datos en servidores seguros”. Es falso, o al menos incompleto: una parte importante de esos datos vive en equipos personales que nadie inventarió. El aviso quedó desalineado con la operación desde la primera versión, no por mala fe sino porque nadie mapeó dónde terminaban los datos.
Redactar bien, entonces, es en parte un ejercicio de honestidad operacional. Alinea lo que escribes con lo que tu organización realmente hace, no con lo que le gustaría hacer. Si el aviso promete más de lo que puedes sostener, cada promesa es una brecha esperando ser encontrada. Si quieres profundizar en cómo diseñar los tratamientos para que respeten la privacidad desde el inicio, el enfoque de privacidad por diseño y por defecto es el complemento natural de este paso.
Quick win: Escribe la primera versión del aviso a partir de tu inventario de tratamientos, no de una plantilla. Si todavía no tienes inventario, ese es el entregable de esta semana; el texto viene después y sale solo.
¿Qué errores invalidan tu aviso de privacidad?
La mayoría de los avisos que vas a encontrar dando vueltas fallan por las mismas razones. No son errores de estilo, son errores que dejan el documento sin efecto real frente a una fiscalización.
El primero y más frecuente: la plantilla genérica sin adaptar. Copiar un aviso de otra empresa (o peor, uno pensado para el RGPD europeo o la ley mexicana) te deja con finalidades que no son las tuyas y bases de licitud que no corresponden. Un fiscalizador que compara tu aviso con tus tratamientos reales detecta el desajuste en minutos.
El segundo: prometer medidas que no puedes demostrar. Este es el que más caro sale. “Adoptamos medidas de seguridad de nivel bancario” suena bien hasta que alguien pregunta cuáles, y no hay registro de cifrado, ni inventario de dispositivos, ni evidencia de nada. En materia de cumplimiento, una promesa que no puedes respaldar con evidencia es peor que no haberla hecho.
Los otros errores frecuentes:
- Lenguaje ambiguo. “Podríamos usar tus datos para diversos fines” no informa nada. La finalidad tiene que ser específica.
- Mezclar todas las finalidades en un solo bloque. Cuando facturación, marketing y analítica van juntas bajo una sola cláusula, el titular no puede oponerse a una sin oponerse a todas.
- No actualizar el aviso. Un documento que quedó congelado hace dos años mientras la operación cambió es una declaración desactualizada, y eso también es incumplimiento.
Pensemos en el caso de un fiscalizador de la Agencia que pide evidencia. Tu aviso dice que conservas los datos “por el tiempo estrictamente necesario”. La pregunta obvia es: ¿y cómo lo demuestras? Si no tienes una política de retención ni forma de eliminar datos al final de su ciclo, la frase era decorativa. El aviso no te protege; te acusa. Por eso conviene revisar cada cláusula con una sola pregunta: si me piden probar esto, ¿tengo con qué?
Quick win: Lee tu aviso línea por línea y tacha toda afirmación que no puedas respaldar con un registro, un log o un procedimiento documentado. Lo que queda tachado es tu lista de trabajo pendiente antes de publicar.
La parte que TI tiene que sostener: las medidas de seguridad que declaras
Hay una frase que aparece en casi todos los avisos de privacidad: “adoptamos medidas técnicas y organizativas para proteger tus datos”. Es la cláusula que conecta el documento legal con el trabajo diario de TI, y la que más seguido se escribe sin pensar en quién la va a sostener.
La Ley 21.719 no solo exige informar; exige que el tratamiento respete el principio de seguridad. Y la seguridad no se declara, se implementa sobre dispositivos concretos. Los datos personales de tus clientes no viven en abstracto: viven en laptops, teléfonos, equipos de escritorio, algunos en la oficina y muchos repartidos en las casas de un equipo híbrido. No puedes declarar que proteges esos datos si no tienes visibilidad de dónde están ni en qué estado. Es el viejo principio operacional: no puedes proteger lo que no puedes ver.
Bajar la promesa a la realidad significa poder responder tres preguntas con evidencia, no con buenas intenciones. ¿En qué dispositivos viven datos personales, y tengo un inventario actualizado de esos equipos? ¿Están cifrados, y puedo probar el estado de cifrado de cada uno? Si un equipo se pierde o un colaborador se va, ¿puedo bloquearlo o borrar los datos de forma remota, y queda registro de esa acción? Esas respuestas son las que convierten una cláusula genérica en una medida verificable.
Cómo la visibilidad de endpoints respalda lo que promete tu aviso
Acá es donde entran las herramientas de gestión y visibilidad de dispositivos. Una plataforma de este tipo te da el inventario de qué equipos tocan datos personales, el estado de cifrado de cada equipo (y, en Windows, la posibilidad de activar BitLocker de forma remota), y la capacidad de bloquear o borrar de forma remota un dispositivo perdido, dejando un registro de auditoría de lo que se hizo y cuándo.
Prey es una de esas plataformas, pensada para flotas mixtas (Windows, macOS, Linux, Android, iOS) donde la simplicidad operacional importa más que la complejidad. Sirve al aviso de privacidad de forma bien concreta: cuando el documento dice “adoptamos medidas de seguridad”, el inventario de dispositivos, la verificación del estado de cifrado y el registro de borrados remotos son la evidencia que respalda esa frase frente a un fiscalizador.
Un ejemplo del tipo de organización donde esto se vuelve crítico. Un colegio o una clínica maneja datos sensibles (de salud, de menores) en dispositivos que a veces se prestan o se llevan a la casa. Si uno de esos equipos desaparece, el deber no es solo notificar: es demostrar que había control sobre ese dispositivo. Poder mostrar que estaba cifrado y que se ejecutó un borrado remoto con su timestamp es la diferencia entre un incidente gestionado y una brecha con exposición de datos sensibles. Si te interesa cómo se estructura esa respuesta, revisa el plan de acción del DPO ante una filtración.
Quick win: Levanta un inventario de los dispositivos que tocan datos personales y verifica el estado de cifrado de cada uno. Si más del 10% aparece con cifrado “desconocido”, esa cláusula de “medidas de seguridad” de tu aviso todavía no tiene respaldo.
Cómo mantener tu aviso de privacidad vigente
Un aviso de privacidad no es un documento que se firma y se archiva. Es una declaración viva que tiene que seguir siendo verdad a medida que tu organización cambia. Cada vez que agregas un tratamiento nuevo (una integración con un proveedor, una campaña que recolecta datos distintos, una nueva finalidad), el aviso queda desactualizado hasta que lo revisas.
Piensa en una empresa que integra un nuevo proveedor de email marketing en marzo. Los datos de sus contactos ahora se comparten con un tercero que antes no figuraba en el aviso. Si nadie actualiza el documento, en diciembre el aviso declara un flujo de datos que ya no es cierto: describe la operación de hace nueve meses. Nadie lo hizo con mala intención; simplemente el cambio operacional ocurrió en un área y el aviso vive en otra. Ese desfase entre lo que haces y lo que declaras es, en la práctica, uno de los incumplimientos más comunes y más fáciles de evitar.
La fuente de verdad para mantenerlo al día es el registro de actividades de tratamiento. Si ese registro refleja lo que realmente haces con los datos, actualizar el aviso se vuelve un ejercicio de sincronización: cuando cambia el registro, revisas si el aviso necesita seguirlo. Sin ese registro, cada actualización es una adivinanza sobre qué cambió desde la última vez.
Conviene también versionar el documento. Guarda la fecha de cada versión y qué cambió, porque ante un reclamo puede ser necesario mostrar qué información recibió una persona en el momento en que entregó sus datos. Y asigna un dueño: alguien tiene que ser responsable de que el aviso se revise con una periodicidad fija y cada vez que hay un cambio operacional relevante. Ata cada actualización a un cambio real en tu registro de tratamientos y ponle fecha; un aviso versionado y con dueño asignado es la diferencia entre un documento que resiste una fiscalización y uno que se cae a la primera pregunta. Esta lógica de mantener el documento alineado con la operación es la misma que sostiene el cumplimiento de la Ley Marco de Ciberseguridad (21.663), donde la evidencia también tiene que reflejar lo que pasa de verdad, no lo que dice el papel.
Conclusión
El aviso de privacidad es engañosamente simple. Se ve como un texto legal más, uno que se resuelve con una plantilla y media hora de trabajo. Pero es la única parte de la Ley 21.719 que tus clientes van a leer entera, y cada frase que escribes es una promesa que alguien, tarde o temprano, va a poder verificar.
Por eso redactarlo bien no es un ejercicio de redacción sino de honestidad operacional. Un buen aviso describe lo que tu organización realmente hace: qué datos trata, para qué, y cómo los protege de verdad, no en teoría. Y la parte de “cómo los protege” no se resuelve en el documento; se resuelve en los dispositivos donde viven esos datos, con visibilidad, cifrado y capacidad de respuesta que puedas demostrar.
El próximo paso concreto no es abrir un Word. Es levantar el inventario de tus tratamientos y de los dispositivos que los almacenan. Cuando sepas qué datos tienes y dónde viven, el aviso se escribe casi solo, y cada promesa que hagas va a tener con qué respaldarse. Tienes hasta diciembre de 2026 para cerrar esa brecha con calma. Empezar ahora es lo que evita el apuro después.
Preguntas frecuentes
¿El aviso de privacidad es lo mismo que la política de privacidad?
Sí, en la práctica son el mismo documento. “Aviso de privacidad” es un término más usado en México, mientras que en Chile suele hablarse de “política de privacidad”. Ambos cumplen la misma función bajo la Ley 21.719: informar al titular qué datos tratas, con qué finalidad, sobre qué base legal y cómo puede ejercer sus derechos.
¿Necesito pedir consentimiento además de publicar el aviso?
No siempre. El consentimiento es solo una de las bases de licitud que permite la ley; también puedes tratar datos sobre la base de un contrato, una obligación legal o el interés legítimo. Pero el deber de información, que se cumple con el aviso de privacidad, aplica siempre, uses la base que uses.
¿Cuándo tengo que mostrar el aviso de privacidad?
Al momento de recolectar los datos. El aviso debe estar disponible y ser accesible en el punto donde la persona entrega su información: el formulario web, el proceso de contratación, el alta de cliente. No sirve tenerlo escondido en una página que nadie visita.
¿Qué pasa si no tengo un aviso de privacidad bajo la Ley 21.719?
Incumples el deber de información, que es una de las obligaciones centrales de la ley. La Ley 21.719 contempla multas que escalan según la gravedad de la infracción, y en los casos más serios las sanciones económicas pueden ser relevantes para el presupuesto de una organización. Más allá de la multa, un aviso ausente o falso debilita tu posición frente a cualquier reclamo.
¿Puedo usar una plantilla de aviso de privacidad?
Como punto de partida estructural, sí; como documento final, no. Una plantilla te da el esqueleto de secciones, pero las finalidades, las bases de licitud y las medidas de seguridad tienen que reflejar tus tratamientos reales. Un aviso copiado sin adaptar es uno de los errores que más rápido detecta una fiscalización.
¿Desde cuándo es obligatorio cumplir con la Ley 21.719?
La Ley 21.719 fue promulgada a fines de 2024 y entra en plena vigencia en diciembre de 2026. Ese plazo es el margen que tienes para redactar tu aviso, ordenar tus tratamientos y cerrar los huecos operacionales antes de que las obligaciones sean plenamente exigibles.
Antes de prometer seguridad, asegúrate de poder verla
Tu aviso de privacidad va a declarar que proteges los datos de tus clientes. Prey te da visibilidad de cada dispositivo donde viven esos datos: inventario, estado de cifrado y borrado remoto con registro de auditoría. Cotiza Prey y respalda con evidencia lo que tu aviso pone por escrito.
.avif)