Consentimiento · Bases de licitud · Ley 21.719
Consentimiento de datos personales: de la autorización a una gestión verificable
Gestionar el consentimiento requiere identificar la finalidad del tratamiento, determinar cuándo corresponde utilizarlo, informar adecuadamente al titular y mantener evidencia de su otorgamiento y eventual revocación.
Licitud del tratamiento
No todo tratamiento de datos depende del consentimiento
Cada actividad de tratamiento debe contar con un fundamento que permita realizarla lícitamente. El consentimiento es una de esas fuentes de licitud, pero no es la única.
Por eso, antes de crear formularios o solicitar autorizaciones, la organización debe identificar cada tratamiento, su finalidad y el fundamento que corresponde aplicar.
La Ley 21.719 establece la regla general del tratamiento basado en consentimiento en su artículo 12 y regula otras fuentes de licitud en el artículo 13. Revisa también el marco general de la Ley 21.719 de Protección de Datos Personales. Fuente normativa: Biblioteca del Congreso Nacional de Chile.
Consentimiento válido
¿Qué se entiende por consentimiento?
El consentimiento es una manifestación de voluntad mediante la cual el titular autoriza el tratamiento de sus datos personales para una finalidad determinada. La definición incorporada por la Ley 21.719 exige que sea libre, específica, inequívoca e informada, mediante una declaración o una clara acción afirmativa. Biblioteca del Congreso Nacional de Chile.
Libre
La decisión del titular debe poder adoptarse sin condicionamientos indebidos.
Informado
La persona debe contar con información suficiente para comprender el tratamiento.
Específico
Debe asociarse a una finalidad o finalidades determinadas.
Inequívoco
Debe existir una manifestación clara de la voluntad del titular.
Acción afirmativa
El consentimiento debe obtenerse antes del tratamiento
Cuando el tratamiento se fundamenta en consentimiento, éste debe obtenerse previamente y mediante una manifestación inequívoca de voluntad.
Puede expresarse verbalmente, por escrito, mediante un medio electrónico equivalente o a través de un acto afirmativo que demuestre claramente la decisión del titular. Esto está regulado en el artículo 12 de la Ley 21.719. Ley Chile.
Claridad de elección
Un consentimiento necesita una acción clara
La aceptación debe distinguirse de otras interacciones del formulario. Privacidad, solicitud de servicio y marketing deben quedar diferenciados cuando responden a finalidades distintas.
Casilla voluntaria. El titular decide si autoriza una finalidad adicional, sin que esa elección bloquee la solicitud principal.
Finalidad visible. La persona entiende para qué se usará el dato y qué tipo de comunicación puede esperar.
Opción independiente. El consentimiento para marketing queda separado de la aceptación de una política de privacidad o de una solicitud de servicio.
Libertad de elección
Solicitar un servicio y aceptar marketing son finalidades diferentes
Cuando una persona completa un formulario para solicitar un diagnóstico, cotización o servicio, esa finalidad debe distinguirse de cualquier autorización adicional para recibir comunicaciones comerciales.
Si la organización desea solicitar consentimiento para marketing, debe presentarlo de manera separada y comprensible.
La ley establece además una presunción de que el consentimiento no ha sido otorgado libremente cuando se exige dentro de un contrato o servicio para realizar un tratamiento que no resulta necesario para esa prestación, con la excepción específica contemplada en la propia norma. Ley Chile.
Bases de licitud
Primero identifica por qué puedes tratar los datos
El artículo 13 contempla otras fuentes de licitud para determinados tratamientos. La base debe analizarse según el tratamiento concreto; no basta con escoger una etiqueta general.
Consentimiento
Cuando el titular autoriza el tratamiento conforme a los requisitos establecidos por la ley.
Obligación legal
Cuando el tratamiento es necesario para cumplir una obligación legal o está dispuesto por la ley.
Contrato
Cuando resulta necesario para celebrar o ejecutar un contrato con el titular o realizar medidas precontractuales solicitadas por éste.
Interés legítimo
Cuando el tratamiento es necesario para un interés legítimo del responsable o de un tercero, siempre que no se afecten los derechos y libertades del titular.
Ejercicio o defensa de derechos
Cuando resulta necesario para formular, ejercer o defender un derecho ante tribunales u órganos públicos.
Información regulada
El artículo 13 incluye un supuesto relativo a determinada información económica, financiera, bancaria o comercial regulada por el Título III. Ley Chile.
Trazabilidad
Cada tratamiento debe conectarse con su fundamento
El Registro de Actividades de Tratamiento permite relacionar cada actividad con su finalidad y base de licitud, facilitando la trazabilidad de las decisiones tomadas por la organización.
El consentimiento también tiene un ciclo de vida
Gestionar consentimiento no termina al marcar una casilla. Debe mantenerse conectado con el tratamiento, la finalidad, el estado vigente y los mecanismos de revocación.
Informar
Explicar finalidad y condiciones asociadas al tratamiento.
Obtener
Registrar la manifestación de voluntad del titular.
Asociar
Relacionar el consentimiento con una finalidad y tratamiento concretos.
Mantener
Conservar evidencia suficiente sobre su obtención.
Actualizar
Revisar cambios relevantes en finalidad o tratamiento.
Revocar
Permitir que el titular retire el consentimiento mediante mecanismos adecuados.
Control del titular
Otorgar y retirar el consentimiento deben formar parte del mismo proceso
El titular puede revocar el consentimiento en cualquier momento y sin expresión de causa. La ley exige que la revocación pueda realizarse utilizando medios similares o equivalentes a los utilizados para otorgarlo.
Los mecanismos de otorgamiento y revocación deben ser expeditos, fidedignos, gratuitos y permanecer disponibles para el titular. La revocación no produce efectos retroactivos. Ley Chile.
Accountability
El responsable debe poder demostrar el consentimiento
Gestionar consentimiento requiere poder reconstruir qué aceptó el titular, para qué finalidad, mediante qué mecanismo y en qué contexto se obtuvo. La Ley 21.719 asigna al responsable la carga de probar que contó con el consentimiento y que el tratamiento fue realizado de forma lícita, leal y transparente. Ley Chile.
Una vista operativa para sostener trazabilidad y control.
- Activo
- Revocado
- Actualizado
De una casilla aislada a una gestión de consentimiento
El consentimiento debe operar como un proceso, no únicamente como un checkbox. Esa diferencia permite sostener evidencia, versionado, control y actualización.
Gestión fragmentada
- Consentimientos dispersos
- Versiones diferentes de textos
- Finalidades poco claras
- Registros separados
- Revocaciones manuales
Gestión operativa
- Finalidades definidas
- Consentimientos relacionados con tratamientos
- Versionado
- Trazabilidad
- Estado actualizado
- Evidencia
Consentimiento y derechos deben operar conectados
Las decisiones sobre consentimiento también pueden afectar otros procesos de privacidad. Por ejemplo, una revocación puede requerir revisar si el tratamiento cuenta con otro fundamento que permita mantenerlo o si corresponde adoptar otras acciones.
Consentimiento
Estado, finalidad, texto informado, aceptación y revocación.
ARSOP — Derechos de los Titulares
Supresión, oposición y otros derechos pueden requerir revisar la base del tratamiento.
RAT — Registro de Actividades de Tratamiento
El registro conecta tratamiento, finalidad, titulares, datos, responsables y fundamento.
Terceros y proveedores
Los encargados, plataformas y proveedores deben mapearse cuando intervienen en el tratamiento.
DPIA — Evaluación de Impacto
Algunos tratamientos pueden requerir una evaluación más profunda de riesgos e impactos.
En particular, la ley contempla la supresión cuando el titular revoca el consentimiento y el tratamiento no cuenta con otro fundamento legal. Ley Chile.
Privacy by design
Diseña el consentimiento dentro del proceso
Los mecanismos de consentimiento deben diseñarse considerando desde el inicio qué datos se solicitan, qué finalidad existe, cómo se informa al titular y cómo se mantendrá la evidencia.
La Ley 21.719 incorpora deberes de protección de datos desde el diseño y por defecto, considerando naturaleza, contexto, finalidad y riesgos del tratamiento. Este diseño se conecta con la Evaluación de Impacto en Protección de Datos (DPIA) y con la gestión de terceros y proveedores. Fuente normativa: Ley Chile.
Privacy Operations
Opera consentimientos con trazabilidad
PHARUS Privacy permite integrar la gestión de consentimiento dentro de una operación de privacidad conectada con tratamientos, responsables, solicitudes y evidencia.
- Consentimientos
- Finalidades
- Titulares
- Estados
- Evidencia
- Trazabilidad
Implementación
De los formularios a una gestión de licitud verificable
Levantamiento
Identificamos tratamientos, finalidades, canales y mecanismos actuales de consentimiento.
Revisión de licitud
Relacionamos cada tratamiento con el fundamento que corresponde evaluar.
Diseño
Definimos textos, mecanismos, registros, responsables y procesos de revocación.
Implementación
Aplicamos los mecanismos definidos en formularios, sistemas y procesos involucrados.
Operación
Establecemos seguimiento, actualización y evidencia.
Análisis por tratamiento
La determinación de la base legal surge del análisis del tratamiento concreto y su finalidad.
¿En qué estado está tu gestión de consentimiento?
Empezar
Utilizamos formularios y necesitamos identificar qué consentimientos realmente corresponden.
Ordenar
Ya contamos con consentimientos, pero necesitamos conectarlos con tratamientos, finalidades y evidencia.
Operar
Queremos gestionar consentimiento, trazabilidad y revocaciones de manera continua.
Ruta de implementación
Conecta consentimiento con tu programa de privacidad
La gestión de consentimiento funciona mejor cuando se integra con el marco general de cumplimiento, el RAT, derechos de titulares, terceros, DPIA y operación tecnológica.
Ley 21.719 y marco general de protección de datos
Revisa la ruta completa de preparación para la nueva regulación chilena.
TrazabilidadRegistro de Actividades de Tratamiento (RAT)
Relaciona tratamientos, finalidades, bases de licitud, responsables y evidencia.
DerechosDerechos ARSOP
Conecta revocación, supresión, oposición y otros derechos de los titulares.
EcosistemaGestión de terceros y proveedores
Identifica plataformas, encargados y proveedores que intervienen en los tratamientos.
RiesgoEvaluación de Impacto en Protección de Datos (DPIA)
Profundiza en tratamientos que requieren análisis de riesgo e impacto.
ImplementaciónNuestros Servicios GTD
Conoce cómo acompañamos diseño, implementación y operación de privacidad.
Preguntas frecuentes sobre consentimiento y Ley 21.719
¿Qué requisitos debe cumplir el consentimiento?
Debe ser libre, informado, específico respecto de su finalidad, previo e inequívoco, mediante una declaración o acto afirmativo que demuestre claramente la voluntad del titular. Biblioteca del Congreso Nacional de Chile.
¿El consentimiento es siempre necesario?
No. La ley contempla otras fuentes de licitud para determinados tratamientos. La base aplicable debe analizarse según las características y finalidad del tratamiento.
¿Puede revocarse?
Sí. El titular puede revocarlo en cualquier momento y sin expresión de causa. La revocación no tiene efectos retroactivos.
¿Una casilla preseleccionada sirve como consentimiento?
El consentimiento debe manifestarse de manera inequívoca mediante una declaración o acción afirmativa clara. Por eso, el mecanismo utilizado debe permitir demostrar efectivamente la voluntad del titular.
¿Debo guardar evidencia?
Sí. Cuando un tratamiento se funda en consentimiento, el responsable debe poder probar que contó con él y que el tratamiento se realizó lícitamente.
¿Marketing y solicitud de servicio deberían utilizar la misma autorización?
Conviene distinguir las finalidades y mecanismos correspondientes. La solicitud de un servicio y el consentimiento para comunicaciones comerciales responden a finalidades diferentes.
¿Puedo administrar consentimientos con PHARUS?
Sí. La gestión de consentimiento forma parte de las capacidades de privacidad operativa de PHARUS.
Gestión de consentimiento
¿Necesitas revisar o implementar tu gestión de consentimiento?
Cuéntanos cómo gestionas consentimientos y bases de licitud. Revisaremos una ruta trazable para ordenarlos, revocarlos u operarlos con tecnología.
También puede formar parte de un diagnóstico Ley 21.719.
Solicitar Diagnóstico Ejecutivo¿Necesitas revisar toda tu preparación para la Ley 21.719?
Evalúa tratamientos, derechos de titulares, RAT, consentimiento, seguridad, terceros, riesgos y evidencia dentro de una ruta integral.