Cuando una empresa chilena empieza a buscar herramientas para gestionar consentimiento bajo la Ley 21.719, lo más probable es que termine evaluando lo que ofrece el mercado global: OneTrust, TrustArc, Didomi, Usercentrics, Cookiebot. Son productos consolidados, con buena ingeniería detrás y miles de clientes en Europa y Estados Unidos. Y resuelven, para todos esos clientes, exactamente un problema: el banner de cookies del sitio web.
El problema es que las empresas chilenas reales —los bancos, las telcos, las isapres, las aseguradoras, los retailers, los burós de información comercial— no capturan consentimiento solo por web. Lo capturan por teléfono cuando un cliente llama al call center. Lo capturan en la sucursal cuando un ejecutivo abre una cuenta. Lo capturan sobre papel cuando un médico hace firmar un formulario en el box de atención. Lo capturan por API cuando otro sistema consume sus datos. Y la Ley 21.719 no distingue: la prueba se exige igual en todos los canales.
El ángulo ciego del enfoque web
Un CMP web bien implementado resuelve la captura del consentimiento del visitante de un sitio. Hace bien dos cosas: presenta el banner con la granularidad correcta y guarda el evento en una base de datos. Lo que no hace es:
- Capturar el consentimiento del cliente que llama al 600 de la empresa.
- Capturar el consentimiento de quien firma en sucursal sobre un tablet o papel.
- Procesar el consentimiento que llega ya escrito en un formulario digitalizado por OCR.
- Recibir el consentimiento que un sistema externo otorga vía API, integrando su cadena de evidencia.
El día que un fiscalizador llegue a una empresa que tiene buen banner de cookies pero captura por voz, sucursal y papel sin sistema, lo que va a encontrar son tres operaciones distintas con tres niveles de prueba distintos. La buena resiste; las otras tres no. Y como la sanción se aplica al tratamiento ilícito, no al tratamiento parcialmente ilícito, una sola operación débil arrastra al resto.
Los cinco canales que importan
Una operación real captura consentimiento en al menos uno —y normalmente en varios— de los siguientes canales. Cada uno tiene exigencias técnicas y forenses propias.
Web y móvil
SDK que renderiza el flujo, captura clics, registra IP, user-agent y fingerprint, sella criptográficamente. El canal mejor cubierto del mercado.
Voz / IVR / call center
Script aprobado, grabación con consentimiento previo a la grabación, transcripción automática, marcas temporales por respuesta. El operador presiona "cerrar consentimiento" y se sella todo.
Sucursal con tablet
Aplicación nativa que muestra el flujo, identifica al ejecutivo, captura firma manuscrita sobre la pantalla o doble OTP del titular.
Papel digitalizado
Formulario impreso con código QR; al firmarse se escanea, se ejecuta OCR, se detecta la firma manuscrita y se cruza con el código QR para vincular al titular y a la versión de la política.
API server-to-server
Integración entre sistemas. Una solicitud de crédito que el banco envía al buró lleva consigo un token de consentimiento ya capturado. La API valida el token, ejecuta la consulta y registra el evento.
Portal del titular
Para revocaciones, ejercicio de derechos ARCO+POB, descarga de Certificado, oposición a decisiones automatizadas. El titular es el actor.
El requisito de "facilidad equivalente"
El Art. 12 inc. 4 de la Ley 21.719 establece algo que muchas empresas pasan por alto: "Los medios utilizados para el otorgamiento o la revocación del consentimiento deben ser expeditos, fidedignos, gratuitos y estar permanentemente disponibles para el titular." En la práctica, eso significa que si una empresa captura consentimiento por web en treinta segundos, el titular debe poder revocar en treinta segundos. No por correo, no por oficina, no por trámite. Por el mismo canal o uno equivalente.
Esto convierte la operación multicanal en un requisito doble: hay que poder capturar bien en cualquier canal y hay que poder revocar bien por al menos un canal análogo. Una empresa que captura por sucursal pero solo permite revocar por web está incumpliendo. Una empresa que captura por web pero exige una llamada para revocar está incumpliendo.
La fuente única de verdad
La forma correcta de resolver el problema multicanal es no tener un sistema por canal. Tener un solo sistema que reciba todos los canales y guarde la evidencia en un único formato canónico. Cuando llegue la fiscalización, no se exhibe la operación de cada canal por separado, sino la línea de tiempo completa de un titular: web, voz, sucursal, papel, API. Todo con la misma estructura, los mismos campos, los mismos hashes, las mismas referencias de cadena.
Eso pide un diseño técnico específico: un núcleo de acreditación común al que cada canal envía su evento, y un formato canónico para serializar el evento antes de hashearlo. Si el núcleo se construye bien, agregar un canal nuevo —digamos, un chatbot, o un kiosko de autoservicio, o una integración con WhatsApp Business— consiste en escribir un adaptador que produzca el mismo formato. La estructura forense queda intacta.
Cómo lo hace Voluntas
Voluntas, la plataforma de Nortika, fue diseñada con la captura multicanal como requerimiento de primera clase. Tiene SDK web y móvil para los canales digitales, conector de voz con script y grabación, conector de sucursal con app nativa para tablet, módulo de papel digitalizado con OCR y verificación de firma, y API REST/gRPC para integraciones server-to-server. Todos producen el mismo ConsentReceipt ISO/IEC TS 27560:2023, todos pasan por el mismo núcleo de acreditación M2 que sella con TSA, calcula hash SHA-256, encadena en cadena privada y ancla periódicamente en blockchain pública.
La diferencia operativa es lo que se ve cuando un titular pide su historia o cuando un fiscalizador pide la trazabilidad de un caso: una sola línea de tiempo, con todos los canales, con la misma calidad de evidencia. No tres sistemas hablando idiomas distintos.
Qué hacer ahora
Si tu empresa captura consentimiento por más de un canal, conviene auditar la operación con tres preguntas simples por cada canal:
- ¿Qué evidencia se conserva del acto?
- ¿Es comparable en calidad a la del canal mejor cubierto?
- Si un titular ejerce su derecho de portabilidad sobre el consentimiento de ese canal, ¿se puede entregar?
Si la respuesta a las tres no es clara y positiva, ese canal es una vulnerabilidad. La forma de resolverlo es elegir una plataforma que trate los canales como peers y no como ciudadanos de segunda clase. Con la Ley 21.719 vigente plenamente desde diciembre de 2026 y la Agencia ya en formación, el costo de no resolverlo se vuelve material.