Ley de Datos en Chile: la prórroga no posterga el problema
Ley de Datos en Chile: la prórroga no posterga el problema
Chile discute correr un año la entrada en vigencia de la Ley 21.719. Pero quienes están implementando coinciden en algo: lo difícil no era la fecha.
Hay leyes que se cumplen con un proyecto. Y hay leyes que se cumplen cambiando cómo trabaja una organización.
La nueva Ley de Protección de Datos Personales de Chile es de las segundas. Por eso la discusión sobre su postergación, del 1 de diciembre de 2026 al 1 de diciembre de 2027, genera una tentación peligrosa: leer el año extra como un año de respiro.
En un encuentro reciente organizado por Diario Financiero, una consultora, un estudio de abogados y el DPO de BancoEstado respaldaron la prórroga. Pero sus argumentos dicen más sobre lo que falta hacer que sobre el tiempo disponible: procesos que nadie documentó, consentimientos que no se pueden probar y equipos que todavía no saben de qué son responsables.
Dónde estamos: una fecha en discusión y una agencia que todavía no existe
La Ley 21.719 fija su entrada en vigencia para el 1 de diciembre de 2026. El 1 de septiembre, el Ejecutivo ingresó al Senado un proyecto que propone moverla a diciembre de 2027 y ampliar de tres a cinco los integrantes del Consejo Directivo de la futura Agencia de Protección de Datos Personales.
Esta semana, la Comisión de Constitución del Senado aprobó por unanimidad la idea de legislar. El proyecto sigue en primer trámite: hoy la fecha vigente sigue siendo diciembre de 2026. En la discusión también apareció una alternativa intermedia: mantener las obligaciones desde 2026 y postergar solo las facultades de fiscalización y sanción.
Mientras tanto, el problema de fondo sigue ahí. Es una ley basada en principios, y sin una agencia instalada no hay directrices. Catherine Muñoz, CEO de Idónea Consultores, lo describió como un "malabarismo interpretativo" apoyado en criterios europeos, sobre todo en interés legítimo y transferencias internacionales. "No puedo sancionar a alguien que no tiene claro cómo cumplir una ley", resumió.
El RAT: el inventario que expone lo que nadie escribió
El Registro de Actividades de Tratamiento (RAT) suena a planilla. En la práctica, es una radiografía de la organización: qué datos personales se usan, para qué, con qué base legal, quién accede, con qué proveedores se comparten y cuánto tiempo se guardan.
Muñoz fue directa: el RAT "es la base del cumplimiento". Y advirtió algo que reconoce cualquiera que haya intentado levantarlo. En las empresas hay "un conocimiento tácito" sobre procesos que "no están descritos". Documentarlos genera fricciones y puede exigir una reingeniería de procesos.
Eso tiene una consecuencia directa: "Si tengo mal levantado el registro de actividad de tratamiento, todo lo que viene después lo voy a hacer mal". Las políticas, las medidas de seguridad, los contratos con proveedores y la respuesta a titulares dependen de esa base.
Por eso el RAT no es tarea de un área. Requiere a Recursos Humanos, Marketing, TI, Comercial, Legal y a cada dueño de proceso sentados con el mismo mapa. Diego Lizama, socio de Lizama Abogados, planteó un ejemplo: los CV y la documentación laboral. Hoy la Dirección del Trabajo permite conservarlos al menos cinco años después del fin del vínculo, pero falta ver si la agencia va a mantener ese criterio.
De cumplir a poder demostrarlo
El cambio más profundo de la ley no está en una obligación puntual. Está en la carga de la prueba: ya no alcanza con cumplir, hay que poder mostrarlo.
El consentimiento es el ejemplo más claro. Durante años funcionó como "una casilla que bastaba con marcar", en palabras de Hugo Díaz, CEO de Autentikar, en Publimetro. Con la nueva ley, una empresa debería poder reconstruir:
- qué versión del texto aceptó la persona;
- cuándo y por qué canal;
- para qué finalidad;
- y si quien aceptó era efectivamente el titular.
Las casillas premarcadas y las autorizaciones agrupadas para varios fines quedan, en el mejor de los casos, en zona gris.
Lo mismo aplica puertas adentro. Los antecedentes médicos de los trabajadores están entre los datos más sensibles. Según advierte el abogado Patricio Silva-Riesco, divulgarlos o usarlos de forma indebida puede ser una infracción gravísima, con multas de hasta 20.000 UTM. Según Diario Financiero, eso equivale a unos $1.400 millones de pesos chilenos.
Lizama sumó un matiz: las multas son altas "con poca posibilidad de revisión", y el proyecto de prórroga no las tocó. Por eso muchas empresas siguen preparándose, con o sin año extra.
La pregunta para el directorio no es "¿cumplimos?". Es "¿podríamos probarlo mañana si alguien lo pide?".
El cuello de botella no es tecnológico
De los tres panelistas, el que habló desde adentro de una gran organización fue el más claro. Luis Emilio Ríos, DPO de BancoEstado, reconoció límites tecnológicos, pero puso el problema en otro lado:
"Que las personas entiendan qué pueden realizar y de qué son responsables es el principal desafío al interior y la mayor dificultad. (…) Sin duda el cambio cultural es donde se genera mayor cantidad de tensión."
Tiene sentido. Una política de datos se firma en una reunión. Pero se cumple, o no, en miles de decisiones chicas: el analista que exporta una base a su notebook, el reclutador que guarda CV en una carpeta compartida, el equipo de marketing que reutiliza una lista para otra campaña.
Ninguna de esas decisiones pasa por Legal. Todas pueden convertirse en una infracción.
Por eso una capacitación anual no alcanza. Lo que la ley pide, en la práctica, es que cada rol sepa qué datos toca, qué puede hacer con ellos y a quién avisar cuando algo no cierra. Eso se construye con un programa continuo: roles definidos, mensajes por área, refuerzo y medición de comportamiento. No con una charla.
Qué hacer con el año extra (si llega)
Ríos propuso una lectura útil. Para las organizaciones atrasadas, la prórroga es tiempo para ordenarse. Para las avanzadas, es "un período de marcha blanca extendido". Y dejó una advertencia: si se extiende más de un año, "tiende a generar una falsa sensación de tranquilidad".
Cinco decisiones que no deberían esperar a la votación
- Levantar o auditar el RAT. Con todas las áreas, no solo con Legal y TI. Si ya existe, validá que refleje cómo se trabaja de verdad.
- Revisar cómo se captura y se guarda el consentimiento. ¿Podemos reconstruir qué aceptó cada persona, cuándo, por qué canal y para qué?
- Mapear a los proveedores que tratan datos personales. Contratos, transferencias internacionales y quién responde ante un incidente.
- Asignar responsabilidades con nombre y apellido. Quién es dueño de cada tratamiento y quién responde las solicitudes de los titulares.
- Diseñar el cambio cultural como programa. Por rol y por área, con indicadores de comportamiento, no solo de asistencia.
Si la ley entra en vigencia en 2026, estas cinco cosas son urgentes. Si entra en 2027, son la diferencia entre llegar preparado o llegar apurado.
La conversación que importa ya empezó
La discusión sobre la fecha va a seguir en el Congreso. La conversación que importa ya está pasando adentro de cada empresa: quién sabe qué datos tenemos, quién decide qué hacemos con ellos y cómo lo probamos.
La protección de datos se termina de resolver en cómo trabajan las personas. Ahí está el trabajo más largo, y ninguna prórroga lo acorta.
Un buen punto de partida es saber dónde estás parado. Nuestro autodiagnóstico de ciberseguridad mide, en pocos minutos, la madurez de tu organización en 10 dimensiones, entre ellas protección de datos, cultura, riesgos de terceras partes y cumplimiento. Al final recibís tus resultados por categoría y una orientación inicial sobre por dónde empezar.
Hacé el autodiagnóstico y descubrí dónde están tus brechas →