¿Necesito banner de cookies? Lo que exige la Ley 21.719
La respuesta depende de una sola cosa: si tu sitio tiene Google Analytics, un píxel de Meta o cualquier herramienta parecida. Si no tiene ninguna, no necesitas banner y ponerlo solo estorba.
La respuesta corta
Necesitas banner si tu sitio carga alguna herramienta que sigue a las personas: Google Analytics, Google Tag Manager, el píxel de Meta, Hotjar, Clarity, publicidad, mapas de calor, chats que registran comportamiento.
No lo necesitas si tu sitio solo muestra información y no carga ninguna de esas. Un sitio limpio no gana nada poniendo un banner: agrega una fricción para todos los visitantes sin resolver ningún problema legal, porque no había ninguno.
El primer paso, entonces, no es instalar un banner. Es averiguar qué está cargando tu sitio realmente, que muchas veces no es lo que crees.
El malentendido de fondo: la ley no habla de cookies
Vale la pena decirlo claro porque casi toda la conversación en Chile parte torcida. La Ley N° 21.719 no menciona la palabra cookie en ninguna parte. Habla de datos personales y de cuándo es lícito tratarlos.
La conexión es indirecta y es esta: una cookie de analítica o de publicidad recoge datos que permiten identificar o singularizar a una persona. Eso es tratamiento de datos personales. Y todo tratamiento necesita una base que lo haga lícito.
Para las herramientas de medición y publicidad, esa base en la práctica es el consentimiento. De ahí sale el banner: no porque la ley lo exija por su nombre, sino porque es la forma habitual de pedir ese consentimiento.
Las cookies que no necesitan permiso
No todas van en el mismo saco. El artículo 13 letra c) permite el tratamiento sin consentimiento cuando es necesario para la ejecución de un contrato con el titular. Ahí caen las cookies que hacen funcionar el sitio:
- La que mantiene tu sesión abierta después de iniciar sesión.
- La que recuerda lo que pusiste en el carro de compras.
- La que guarda tu idioma o tu preferencia de moneda.
- La que recuerda, precisamente, qué respondiste al banner de cookies.
Estas no se piden y no se bloquean. Sin ellas el sitio no funciona, y pedir permiso para que el sitio funcione no tiene sentido.
Analytics no entra en esta categoría, por más que se argumente lo contrario. Un sitio funciona perfectamente sin medir a sus visitantes.
Qué exige exactamente el artículo 12
Es el artículo que define cómo debe ser el consentimiento, y conviene leerlo en sus palabras porque cada una descarta una práctica común. El consentimiento debe ser:
- Libre. Sin condicionar el acceso al sitio a que aceptes.
- Informado. Tienes que poder saber para qué antes de decidir.
- Específico en cuanto a su finalidad. Un solo «acepto todo» para analítica, publicidad y personalización no es específico.
- Previo. Antes del tratamiento, no después.
- Inequívoco, mediante una declaración o un acto afirmativo que dé cuenta con claridad de la voluntad.
Y agrega dos cosas que se pasan por alto. Que el consentimiento se puede revocar en cualquier momento y sin expresión de causa, por medios similares o equivalentes a los usados para otorgarlo. Y que esos medios deben ser expeditos, fidedignos, gratuitos y estar permanentemente disponibles.
La frase final del artículo es la que más pesa en la práctica: corresponde al responsable probar que contó con el consentimiento. La carga de la prueba es tuya, no de quien reclama.
Los cinco errores de un banner que ya está instalado
Este es el punto importante, porque tener banner no es lo mismo que cumplir. Un banner instalado puede fallar de varias maneras:
1. Las cookies se cargan antes de que aprietes nada. El error más frecuente y el más invisible: el banner aparece, pero Analytics ya se ejecutó al abrir la página. El consentimiento debe ser previo, así que un banner que solo informa mientras la herramienta ya está midiendo no sirve de nada. Es exactamente lo que hace un plugin instalado sin configurar el bloqueo.
2. Solo hay botón de «Aceptar». O lo hay de rechazar, pero escondido dos clics más adentro, en gris pálido, junto a «configurar preferencias». Si rechazar cuesta más que aceptar, el consentimiento no es libre.
3. «Al continuar navegando, aceptas nuestras cookies». Seguir navegando no es un acto afirmativo: es lo que hace cualquiera que quiere leer la página. No manifiesta ninguna voluntad.
4. Las casillas vienen premarcadas. Si el visitante tiene que desmarcar para negarse, no hubo acto afirmativo. Todo lo que no sea estrictamente necesario parte apagado.
5. No hay forma de cambiar de opinión. Aceptaste una vez y el banner no vuelve a aparecer nunca. La revocación tiene que ser tan fácil como fue el consentimiento, y estar permanentemente disponible: normalmente un enlace fijo en el pie de página.
Y el sexto, que casi nadie tiene
Guardar el registro de lo que cada visitante respondió y cuándo.
Si la carga de la prueba es tuya, necesitas poder demostrarla. Un banner que pregunta y no anota la respuesta te deja igual de expuesto que uno que no pregunta, con la diferencia de que además molesta a tus visitantes.
Desde cuándo, y qué arriesgas
La ley entra en vigencia el 1 de diciembre de 2026, y es la Agencia de Protección de Datos Personales la que fiscaliza.
Hay un proyecto de ley en trámite, el boletín 18.623-07, que correría esa fecha al 1 de diciembre de 2027 y extendería a todas las organizaciones la amonestación del primer año. Mientras no se apruebe y se publique, la fecha vigente es la de 2026. El detalle está en ¿se posterga la Ley 21.719?, en Presencia 360.
Las sanciones se calculan en unidades tributarias mensuales, y las cifras que circulan suelen mezclarse. Con el texto de la ley al lado:
- Tener una política de privacidad ausente o incompleta es una infracción leve (artículo 34 bis, letra a), sancionada con amonestación escrita o multa de hasta 5.000 UTM.
- Tratar datos sin consentimiento cuando el consentimiento era necesario es una infracción grave (artículo 34 ter, letra a), con multa de hasta 10.000 UTM. Aquí es donde cae un Analytics que mide sin haber preguntado.
Dos precisiones honestas, porque el miedo se vende fácil. Esos montos son topes máximos, no multas automáticas, y el artículo 37 obliga a graduarlas. Y una disposición transitoria permite que, durante los primeros doce meses de vigencia, a las empresas de menor tamaño se les aplique una amonestación por escrito en vez de multa.
Nada de eso significa que dé lo mismo. Significa que la urgencia real es ordenarse antes de diciembre, no entrar en pánico.
Por dónde empezar de verdad
En este orden, porque cada paso depende del anterior:
1. Averigua qué carga tu sitio. No lo que tú instalaste: lo que está corriendo hoy. Es habitual encontrar píxeles de campañas terminadas hace dos años, todavía activos y todavía midiendo. Cómo comprobarlo con el navegador está en la guía de Google Analytics y Meta Pixel de Presencia 360.
2. Quita lo que no usas. Cada herramienta que sacas es una que no tienes que pedir, ni justificar, ni bloquear.
3. Escribe la política de privacidad. El banner sin política no sirve, porque el consentimiento tiene que ser informado y la política es la información. Va primero.
4. Recién ahí, el banner. Y configurado para bloquear de verdad hasta que alguien acepte, no solo para avisar.
El paso 1 es el que casi nunca se hace y el que cambia todo lo demás. Saber qué está cargando tu sitio ahora mismo se puede comprobar desde fuera, sin acceso al panel, y es lo que determina si necesitas banner o no.
Preguntas frecuentes
¿Necesito banner de cookies en mi sitio web en Chile?
Solo si tu sitio carga herramientas que siguen a las personas: Google Analytics, Tag Manager, píxel de Meta, Hotjar, Clarity o publicidad. Si tu sitio solo muestra información y no carga ninguna de esas, no necesitas banner y ponerlo solo agrega fricción sin resolver nada.
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026. Desde esa fecha la Agencia de Protección de Datos Personales puede fiscalizar y sancionar. Hay un proyecto de ley en trámite que la correría al 1 de diciembre de 2027, pero mientras no se publique como ley la fecha vigente sigue siendo la de 2026.
¿Sirve el aviso que dice "al continuar navegando aceptas las cookies"?
No. El artículo 12 de la Ley 21.719 exige que el consentimiento se manifieste mediante una declaración o un acto afirmativo que dé cuenta con claridad de la voluntad. Seguir navegando es lo que hace cualquiera que quiere leer la página: no manifiesta ninguna voluntad.
¿Google Analytics necesita consentimiento previo?
Sí. Analytics no es necesario para que el sitio funcione, así que no cae en la excepción del artículo 13 letra c). Necesita consentimiento, y ese consentimiento debe ser previo: si la herramienta ya se ejecutó cuando aparece el banner, no se cumplió.
¿De cuánto son las multas por no cumplir la Ley 21.719?
Tener la política de privacidad ausente o incompleta es infracción leve, con amonestación escrita o multa de hasta 5.000 UTM. Tratar datos sin el consentimiento necesario es infracción grave, con multa de hasta 10.000 UTM. Son topes máximos, no montos automáticos, y durante los primeros doce meses de vigencia las empresas de menor tamaño pueden recibir una amonestación escrita en lugar de multa.
¿Basta con instalar un plugin de cookies?
No, si se instala sin configurar el bloqueo. El error más frecuente es que el banner aparece pero las herramientas ya se ejecutaron al abrir la página. También hay que guardar registro de qué respondió cada visitante y cuándo, porque la carga de probar el consentimiento es del responsable.
Sin registro y sin instalar nada. Ves todos los problemas gratis; el informe con las soluciones cuesta $19.990.