Tener el consentimiento no basta: la Ley 21.719 te obliga a demostrarlo

Pongamos la escena que importa. Es 2027. Una persona presenta un reclamo ante la Agencia de Protección de Datos Personales: dice que tu empresa trató sus datos sin su consentimiento. La Agencia te escribe y te pide una cosa, una sola: demuéstranos que esta persona te dio su consentimiento, para qué finalidad, y cuándo.

¿Qué le enseñas? ¿Una captura de pantalla de tu banner de cookies? ¿Un correo donde dices que "siempre pedimos consentimiento"? Nada de eso prueba que esa persona concreta consintió esa finalidad concreta en esa fecha concreta. Y según la ley, esa prueba tienes que poder ponerla sobre la mesa.

La frase del Artículo 12 que lo cambia todo

El Artículo 12 de la Ley 21.719 define cómo debe ser el consentimiento —libre, informado, específico, previo, inequívoco—. Pero su último inciso es el que convierte el consentimiento en una obligación de evidencia, no solo de conducta:

Léelo despacio: la carga de la prueba es tuya. No es el titular quien debe demostrar que no consintió; eres tú quien debe demostrar que sí lo hizo. En derecho a esto se le llama inversión de la carga probatoria, y es exactamente lo que convierte "tener un banner" en algo radicalmente insuficiente.

El consentimiento no es una foto. Es una película.

El mismo Artículo 12 añade otra capa que la mayoría de las implementaciones ignora: el titular puede revocar su consentimiento en cualquier momento, y los medios para otorgarlo y para revocarlo deben ser "expeditos, fidedignos, gratuitos y estar permanentemente disponibles".

Eso significa que el consentimiento de una persona tiene una historia: lo dio el martes para recibir tu newsletter, amplió a marketing en marzo, revocó el marketing en julio. Cada uno de esos "sí" y cada uno de esos "ya no" es un hecho con fecha que, llegado el caso, tienes que poder reconstruir. Una foto de un momento no sirve. Necesitas el registro completo de la película.

Por qué una planilla de Excel no te va a salvar

La reacción natural es: "vale, lo anoto en una hoja de cálculo". El problema es que una planilla que cualquiera puede editar no prueba nada. Si la fila se puede cambiar a posteriori —la fecha, la finalidad, el "sí"—, su valor probatorio ante la Agencia es prácticamente nulo. Lo mismo que un contrato sin firma.

Una evidencia de consentimiento que sirva tiene que cumplir tres condiciones que una planilla no cumple:

• Inmutable: una vez registrado un "sí", nadie —ni tú— puede editarlo después. Las correcciones se apilan como entradas nuevas, no reescriben el pasado. Como un libro contable.
• Sellada en el tiempo: cada entrada lleva la fecha y la hora exacta en que ocurrió, generada por el sistema, no escrita a mano.
• Verificable: cada entrada lleva un sello criptográfico (un hash) que permite demostrar que no se ha alterado desde que se creó.

A ese tipo de registro —inmutable, sellado y verificable— es a lo que se le puede llamar, con propiedad, una prueba.

¿Y cómo se consigue, en la práctica, que un «sí» sea inmutable y verificable? Con un sello: una huella criptográfica que se pone en el momento de la captura y delata cualquier cambio posterior con un badge VERIFICADO o ALTERADO. Lo explicamos sin tecnicismos en «VERIFICADO o ALTERADO: por qué tu registro necesita un lacre».

Esto encaja en tu programa de cumplimiento (Artículo 49)

Hay un incentivo adicional, y es estratégico. El Artículo 49 permite a las empresas adoptar voluntariamente un "modelo de prevención de infracciones" —un programa de cumplimiento—. Tener un modelo así documentado puede atenuar la responsabilidad ante una eventual sanción.

Un registro de consentimiento demostrable es exactamente el tipo de evidencia que da cuerpo a ese programa: prueba, de forma objetiva y trazable, que tu organización no solo dice que pide consentimiento, sino que lo registra, lo conserva y lo puede exhibir. Pasas de "confía en que cumplimos" a "aquí está la prueba".

Qué construimos en AGLAYA: el Registro de Consentimiento

Esto no es teoría para nosotros. Lo construimos, y es lo que vendemos. El Registro de Consentimiento de AGLAYA es un cuaderno a prueba de trampas que apunta cada "sí" y cada "ya no" de cada persona que pasa por tus formularios, y lo hace demostrable cuando te lo pidan: buscas a la persona, ves todo su recorrido —finalidad, fecha, base legal, evidencia con sello de tiempo y hash— y exportas la prueba para la Agencia.

Y aquí está la diferencia que nos define: no es un software al que te suscribes para siempre. El Registro se instala en tu infraestructura y es tuyo. Corre sin nosotros. No te volvemos rehén de nuestra plataforma: te entregamos un sistema soberano que posees, y si un día dejas de trabajar con nosotros, sigue funcionando. Eso es lo que diferencia una instalación de un alquiler.

Qué campos guarda un registro que sí prueba

Si demostrar el consentimiento es la obligación, la pregunta práctica es: ¿qué hay que guardar exactamente para poder probarlo? No es la respuesta del "sí"; es el expediente alrededor de ese sí. Un registro que resiste una inspección guarda, como mínimo:

• Quién consintió: un identificador de la persona —no necesariamente su nombre completo, pero sí algo que la vincule de forma fidedigna.
• Para qué: la finalidad concreta que aceptó —analítica, marketing, perfilado—, no un "acepto" global.
• Cuándo: la fecha y hora exactas del consentimiento.
• Bajo qué versión: qué texto de política y qué condiciones estaban vigentes en ese momento, porque cambian con el tiempo.
• Cómo: el mecanismo por el que se obtuvo —el banner, el checkbox del formulario, el doble opt-in del email.
• Y la revocación: si la persona retiró el consentimiento, cuándo y cómo, con la misma trazabilidad que el "sí".

Esto es justo lo que una hoja de cálculo no aguanta y lo que un sistema de registro sí: cada uno de esos campos, sellado en el momento, inmutable y consultable. La diferencia entre tener el consentimiento y poder demostrarlo es, literalmente, esta lista.

El orden correcto

Primero, deja tu web conforme: el banner que pide permiso, la política de privacidad adaptada, los formularios con su consentimiento explícito. Eso es el Plan de Adecuación: la foto del momento, hecha bien y demostrada.

Después, mantén ese consentimiento demostrable en el tiempo. Esa es la película, y es el Registro. La ley te pide las dos cosas: tener el consentimiento, y poder probarlo cuando llegue el momento. Casi todo el mundo se está preparando solo para la primera. La segunda es la que te van a pedir.

Marco legal · fuente oficial: Ley N.º 21.719 — texto íntegro, Biblioteca del Congreso Nacional de Chile.

Lectura relacionada: Estudio: 7 brechas recurrentes en 50 webs chilenas auditadas — los datos reales de qué falla, medidos por el escáner de AGLAYA.

Preguntas frecuentes

¿Qué exige el Artículo 12 de la Ley 21.719 sobre el consentimiento?

Que sea libre, informado, específico, previo e inequívoco. Además, los medios para otorgarlo y para revocarlo deben ser expeditos, fidedignos, gratuitos y disponibles de forma permanente.

¿Basta con anotar el consentimiento en una planilla de Excel?

No. Una hoja de cálculo no acredita de forma fidedigna qué persona consintió qué finalidad y en qué fecha, ni resiste una inspección. El consentimiento no es una foto puntual: hay que poder demostrarlo en el tiempo.

¿Por qué demostrar el consentimiento encaja en un programa de cumplimiento?

Porque el Artículo 49 contempla el programa de cumplimiento como atenuante. Poder acreditar el consentimiento de forma ordenada y demostrable es parte de esa diligencia.

¿Cuál es el orden correcto?

Primero dejar la web conforme: el banner que pide permiso, la política de privacidad adaptada y los formularios con consentimiento explícito. Después, registrar de forma demostrable cada consentimiento.