Si quitamos el ruido y miramos lo que la Ley 21.719 cambia de fondo, hay una frase que define el problema operativo del próximo lustro chileno. Está al final del artículo 12 y dice algo simple, casi banal, pero cuyo alcance todavía no ha aterrizado en la mayoría de las empresas:
Esa oración traslada la carga de la prueba. Ya no es el titular quien tiene que demostrar que su consentimiento fue inválido o nunca se otorgó. Es la empresa la que tiene que demostrar que sí lo hubo, qué versión exacta del texto se le presentó, en qué canal, en qué fecha y bajo qué condiciones técnicas. Cuando el procedimiento sancionatorio comienza, lo que la Agencia y los tribunales esperan no es un PDF firmado a mano, ni un listado en Excel, ni un checkbox almacenado en una tabla. Esperan evidencia que aguante un análisis forense.
Por qué los checkboxes ya no funcionan
Durante veinte años el modelo chileno —y latinoamericano— de gestión del consentimiento se construyó sobre una pieza simple: el casillero. Un usuario marcaba una casilla, y eso era el consentimiento. Detrás del casillero podía haber una columna en una base de datos con un valor "true" o "1", y eso era la prueba.
Bajo el nuevo régimen, esa prueba no resiste tres preguntas básicas:
- ¿Qué texto exacto vio el titular? Las políticas de privacidad cambian. Si la versión que estaba publicada el día del consentimiento ya no existe, no se puede demostrar qué se aceptó.
- ¿Cómo se sabe que el titular fue realmente quien marcó? Una sesión web sin autenticación robusta no individualiza. Una IP no individualiza. Un cookie tampoco.
- ¿Qué garantía hay de que el registro no fue alterado después? Una columna en una base de datos administrada por la propia empresa puede modificarse sin que quede rastro.
Las tres preguntas las puede hacer un fiscalizador o un abogado de la contraparte. Si las respuestas son débiles, el consentimiento es indefendible y el tratamiento se considera ilícito. Y la Ley 21.719 sanciona el tratamiento ilícito como infracción gravísima, con multas de hasta 20.000 UTM —del orden de mil trescientos millones de pesos— o el dos a cuatro por ciento de los ingresos anuales para empresas grandes reincidentes.
Qué es una prueba forense del consentimiento
Una prueba forense es aquella que sobrevive el escrutinio. Tiene cinco capas, cada una con un rol específico, y ninguna sirve sola.
Capa 1: el contenido del acto
Aquí va la información del Art. 14 ter Ley 21.719: identificación del responsable, finalidades específicas, base de licitud, categorías de datos, destinatarios, transferencias internacionales con sus garantías, plazos de conservación, decisiones automatizadas si las hay, datos del DPO. Y la finalidad concreta que el titular aceptó, no como un bloque, sino con granularidad: cada finalidad por separado, cada checkbox individualizado.
Capa 2: la versión exacta de la política
La política de tratamiento se versiona. Cada versión queda almacenada con su hash SHA-256, su fecha de vigencia y su contenido íntegro. Cuando un titular consiente, su consentimiento queda referenciado a una versión específica. Si después la política cambia materialmente, el sistema lo detecta y exige re-consentimiento; los consentimientos anteriores se mantienen vinculados a la versión vieja.
Capa 3: el contexto técnico de la captura
IP, user-agent, idioma, dimensiones de pantalla, fingerprint del dispositivo, geolocalización si fue consentida, identificador del flujo, identificador del operador si fue presencial o por voz. No para vigilar al titular, sino para que más adelante cualquier perito pueda reconstruir el momento del acto.
Capa 4: el sello criptográfico
Un hash SHA-256 sobre el payload completo del consentimiento, serializado de forma canónica. Sobre ese hash, un sello de tiempo según el protocolo RFC 3161, emitido por una TSA acreditada conforme a la Ley 19.799. El sello da no-repudio temporal: prueba que el evento existía a una fecha y hora determinadas.
Capa 5: el encadenamiento
Cada evento se incluye en una cadena privada de bloques donde cada bloque referencia al anterior. Si alguien edita un evento intermedio, todos los siguientes quedan invalidados. Esa cadena se publica periódicamente —cada veinticuatro horas, por ejemplo— en una blockchain pública como Bitcoin o Ethereum mainnet. Lo que se publica no es información del titular, es solo el hash de la cabeza de la cadena. Pero ese hash, una vez en una blockchain pública, no puede modificarse jamás. Esa es la garantía de irrefutabilidad pública.
Lo que la Agencia va a pedir cuando llegue una fiscalización
La Agencia de Protección de Datos Personales no está aún operativa, pero el Decreto 662/2025 ya define los estándares que aplicará. En materia de consentimiento, lo que cabe esperar es que pida exactamente esto:
- El Registro de Actividades de Tratamiento con los campos que precisará el reglamento de la Ley 21.719 (Decreto 662 de 2025, pendiente de publicación), donde figuren las finalidades y la base de licitud.
- Una muestra aleatoria de consentimientos con su evidencia completa: política mostrada, contexto técnico, sello de tiempo, hash y referencias de cadena.
- Los flujos de captura revisados con el lente del Art. 12 inc. 6 de la Ley 21.719: si una finalidad opcional se condiciona a la prestación de un servicio que no la requiere, el consentimiento se presume no libre y el tratamiento es ilícito.
- La política de revocación: la Ley exige que sea tan simple como el otorgamiento. Un consentimiento que se da con un click pero requiere un correo, un trámite y dos semanas para revocarse, viola el Art. 12 inc. 4 de la Ley 21.719.
El estándar internacional que pocos conocen en Chile
Mientras la regulación chilena se asentaba, la comunidad internacional desarrollaba un estándar técnico para el formato del consentimiento. Se llama ISO/IEC TS 27560:2023 — Privacy technologies — Consent record information structure y define exactamente qué campos debe contener un registro de consentimiento para que sea interoperable, exportable y oponible más allá de una jurisdicción concreta. Su antecesora directa es la Kantara Consent Receipt v1.1.0, una especificación abierta publicada en 2018 que define cómo construir un "recibo de consentimiento" que el titular puede llevar consigo, presentar a otros responsables y verificar de forma independiente.
En la práctica chilena, ningún producto de consumo masivo lo implementa todavía. Pero implementarlo nativamente tiene tres ventajas inmediatas:
- El consentimiento es portable entre sistemas. Un titular que cambia de proveedor puede llevar su consentimiento documentado.
- El consentimiento es auditable por terceros. Un perito puede leer el ConsentReceipt sin necesidad de la cooperación de la empresa.
- El consentimiento es defendible en cualquier jurisdicción que reconozca el estándar. Para una empresa con operación LATAM o europea, eso reduce el costo legal de cumplir múltiples regímenes.
Multi-canal: el ángulo ciego de las CMP
La mayoría de las plataformas de gestión de consentimiento (CMP) que operan hoy en Chile son extensiones de los frameworks europeos GDPR. Su foco es el banner web de cookies. Sirven para eso. No sirven cuando un banco captura consentimiento por teléfono en un call center, cuando una clínica lo captura en sucursal con un tablet, cuando una telco lo captura por IVR o cuando un seguro lo captura sobre papel que después se digitaliza con OCR.
Una empresa real captura consentimientos en múltiples canales y necesita una única fuente de verdad. Esa fuente debe acreditar igual de bien lo que pasó por web que lo que pasó por voz. Si no, la empresa termina con dos sistemas paralelos: uno robusto para web y otro precario para los demás canales. El día de la fiscalización, los canales precarios son los que la van a hundir.
Qué hacer ahora
Las empresas que esperan que la Ley 21.719 entre en vigencia en diciembre de 2026 para empezar a moverse llegan tarde. La adecuación toma entre tres y seis meses cuando hay claridad y voluntad política interna. Cuando no la hay, toma más. Lo que conviene hacer en los próximos sesenta días es concreto:
- Inventariar los flujos de captura actuales. Cada uno por canal, finalidad y volumen.
- Identificar qué evidencia se conserva hoy. Para la mayoría, la respuesta honesta será "muy poca".
- Evaluar si el consentimiento legacy es migrable. Bajo la Ley 19.628 muchas capturas tienen lagunas que la Ley 21.719 no tolera. Es probable que parte requiera re-recolección.
- Definir la fuente única de acreditación. Una sola plataforma que reciba todos los canales, aplique el mismo formato canónico (idealmente ISO 27560) y produzca evidencia oponible.
- Postular al Modelo de Prevención del Decreto 662. Es voluntario, pero certificarse opera como atenuante de sanciones, lo que en una infracción gravísima puede significar una diferencia de cientos de millones.
Voluntas: la propuesta de Nortika
Voluntas es la plataforma de Nortika que resuelve el problema de la prueba forense del consentimiento en producción. Captura en cualquier canal —web, móvil, voz, sucursal, papel digitalizado—, sella criptográficamente con TSA acreditada, encadena los eventos en una cadena privada con anclaje en blockchain pública, y exhibe la evidencia como un Certificado Voluntas firmado con FEA acreditada. Implementa nativamente ISO/IEC TS 27560:2023 y Kantara Consent Receipt v1.1.0, así que el consentimiento es interoperable y oponible. El módulo M7 produce el paquete documental para postular al Modelo de Prevención del Decreto 662.
La carga de la prueba ya no es discutible. Lo que sí es discutible es cuánto cuesta enfrentarla con herramientas adecuadas o sin ellas. Para la mayoría de las empresas, la respuesta —cuando aterrice— va a ser mucho menos cara que el primer procedimiento sancionatorio que se les abra.