Ley de Datos Personales: los cinco pasos que las empresas deben abordar antes de su entrada en vigencia
La Ley de Datos Personales exigirá a las empresas avanzar en gobernanza, seguridad y gestión responsable de la información. Si bien el Gobierno ingresó un proyecto para extender hasta el 1 de diciembre de 2027 el plazo para la entrada en vigencia de la Ley N°21.719, desde Asimov Consultores plantean que un eventual período adicional debería aprovecharse para preparar procesos internos, responsabilidades y políticas de tratamiento de datos.
Ley de Datos Personales y nuevo plazo propuesto
El Gobierno ingresó al Senado un proyecto que propone postergar hasta el 1 de diciembre de 2027 la entrada en vigencia de la Ley N°21.719 sobre protección y tratamiento de datos personales, actualmente prevista para el 1 de diciembre de 2026. En este escenario, un eventual aplazamiento no debería traducirse en una pausa para las organizaciones, sino en una oportunidad para avanzar en las materias que serán claves para adaptarse al nuevo marco regulatorio.
La Ley N°21.719 actualiza el marco chileno sobre protección de datos personales y crea la Agencia de Protección de Datos Personales, institucionalidad que tendrá un rol central en la aplicación del nuevo sistema. Por eso, más allá de la discusión legislativa sobre el calendario, las empresas deberán prepararse para un estándar más exigente en la forma en que recopilan, almacenan, usan, comparten y eliminan información personal.
Gobernanza de datos como primer desafío
"El principal desafío no es necesariamente tecnológico, sino de gobernanza interna", afirma Felipe Mancini, CEO de Asimov Consultores y vicepresidente de Chiletec.
A poco más de un año de la eventual entrada en vigencia, y considerando que el nivel de preparación entre las organizaciones es desigual, el ejecutivo identifica cinco ámbitos que las empresas deberían comenzar a trabajar desde ahora. La clave está en pasar de una mirada reactiva a una estrategia preventiva, donde la gestión de datos personales deje de ser un tema aislado del área legal o tecnológica y se convierta en una responsabilidad transversal.
1. Saber qué datos tiene la empresa y para qué los utiliza
El primer paso consiste en identificar qué información personal maneja la organización, dónde se encuentra, quién tiene acceso a ella y con qué propósito se utiliza. Este diagnóstico permite conocer el estado actual de la gestión de datos y detectar posibles brechas.
Para muchas empresas, este punto puede parecer básico, pero suele ser uno de los más complejos. Los datos personales pueden estar distribuidos en sistemas de ventas, plataformas de marketing, bases de clientes, registros de proveedores, formularios web, planillas internas, servicios en la nube o herramientas utilizadas por distintas áreas. Sin un mapa claro de esa información, resulta difícil aplicar medidas de protección proporcionales al riesgo.
Datos personales y uso legítimo de la información
Saber qué datos existen dentro de una organización también permite evaluar si su uso responde a una finalidad clara. La nueva exigencia no solo apunta a proteger bases de datos, sino a ordenar el ciclo completo de tratamiento de la información: desde su recolección hasta su almacenamiento, uso, transferencia y eliminación.
En la práctica, esto implica preguntarse si todos los datos que se recopilan son realmente necesarios, si las personas fueron informadas adecuadamente, si existen accesos restringidos y si la empresa puede justificar el propósito para el cual utiliza esa información.
2. Revisar procesos, contratos y responsabilidades
Las empresas deben revisar sus procesos internos, los contratos con terceros y las responsabilidades asociadas al tratamiento de datos personales. El objetivo es identificar eventuales brechas y establecer con claridad quiénes participan y qué obligaciones tienen en el manejo de esta información.
Este punto resulta especialmente relevante cuando una organización trabaja con proveedores tecnológicos, plataformas externas, agencias, servicios de almacenamiento, sistemas de pago o empresas que procesan información por cuenta de terceros. En esos casos, no basta con mirar solo la operación interna: también es necesario revisar cómo se comparten los datos y bajo qué condiciones.
Contratos y terceros en el tratamiento de datos
La gestión responsable de datos personales exige definir roles, responsabilidades y obligaciones. Una empresa puede recopilar información directamente, pero también puede encargar a un tercero parte de su tratamiento. Por eso, los contratos deben establecer con claridad qué información se comparte, para qué se utiliza, cómo se protege y qué ocurre si se produce un incidente.
Una revisión temprana de contratos y procesos permite anticipar ajustes antes de que la regulación entre plenamente en vigencia. También ayuda a evitar zonas grises entre áreas internas, proveedores y socios comerciales, especialmente cuando existen flujos de información sensibles o de alto volumen.
3. Integrar protección de datos y ciberseguridad
La protección de los datos personales debe estar vinculada a las capacidades de seguridad de la organización. Esto implica abordar ambas materias de manera coordinada, considerando los riesgos asociados al acceso, almacenamiento y tratamiento de la información. "Son dos caras de una misma moneda", señala Mancini.
No puede existir una estrategia robusta de protección de datos sin medidas de seguridad adecuadas. La información personal puede verse expuesta por accesos indebidos, errores humanos, configuraciones deficientes, ataques informáticos, uso de herramientas no autorizadas o falta de controles sobre quién puede consultar y modificar determinados registros.
Seguridad para la Ley de Datos Personales
Integrar protección de datos y ciberseguridad implica revisar controles de acceso, políticas de contraseñas, respaldo de información, gestión de incidentes, trazabilidad, capacitación interna y protocolos frente a vulneraciones. La tecnología es importante, pero también lo son los hábitos, procesos y decisiones de las personas que administran o utilizan datos a diario.
En este sentido, las empresas que ya cuentan con prácticas de ciberseguridad tendrán un punto de partida más avanzado. Sin embargo, deberán conectar esas prácticas con una mirada específica de privacidad, proporcionalidad y responsabilidad en el tratamiento de datos personales.
4. Involucrar a la alta dirección y anticipar nuevos riesgos
La adaptación al nuevo escenario requiere una mirada transversal y el involucramiento de la alta dirección, especialmente ante desafíos asociados al uso de inteligencia artificial, el profiling y la shadow AI. "No existe una estrategia seria de IA sin una buena gobernanza de datos", advierte el ejecutivo.
El uso creciente de herramientas de inteligencia artificial eleva la importancia de contar con datos bien gestionados. Las empresas que utilizan IA para automatizar procesos, analizar clientes, segmentar audiencias, evaluar comportamientos o apoyar decisiones internas deberán entender qué información alimenta esos sistemas y qué riesgos pueden generarse en el proceso.
Inteligencia artificial y gobernanza de datos
La shadow AI, entendida como el uso de herramientas de inteligencia artificial sin autorización o control formal de la organización, puede convertirse en una fuente relevante de exposición. Cuando equipos internos cargan información personal en plataformas externas sin evaluación previa, la empresa puede perder control sobre datos, finalidades, accesos y responsabilidades.
Por eso, la alta dirección debe participar activamente en la definición de políticas y criterios. La protección de datos personales no puede depender solo de soluciones técnicas: requiere decisiones estratégicas sobre cultura organizacional, gestión de riesgos, adopción tecnológica y responsabilidad corporativa.
5. Aplicar el principio de minimización de datos
Las organizaciones también deberán avanzar hacia una gestión más responsable de la información, evitando recopilar o conservar datos personales que no sean necesarios para los fines definidos. La aplicación del principio de data minimization permite reducir la exposición de la empresa y ordenar el manejo de la información.
Este principio obliga a mirar con mayor rigurosidad qué datos se solicitan y por qué. En muchos casos, las empresas acumulan información por inercia, por formularios antiguos, por prácticas comerciales heredadas o por la idea de que más datos siempre significan más valor. Sin embargo, conservar información innecesaria también aumenta el riesgo.
Menos datos, menor exposición
Aplicar minimización no significa debilitar la operación comercial, sino recopilar solo la información pertinente para cada finalidad. Si una empresa no necesita determinado dato para entregar un servicio, gestionar una relación contractual o cumplir una obligación, debería cuestionar su recolección y conservación.
Además, reducir datos innecesarios puede facilitar la gestión interna, mejorar la seguridad, disminuir costos de almacenamiento y limitar el impacto potencial ante incidentes. En un entorno regulatorio más exigente, ordenar lo que se tiene puede ser tan importante como protegerlo.
Prepararse antes de la fiscalización
Para Mancini, un eventual aplazamiento del plazo de entrada en vigencia debe entenderse como una oportunidad para abordar este proceso con mayor preparación, y no como una razón para postergarlo. "El primer error es esperar, ya sea esperar el reglamento, esperar la fiscalización o esperar a que el problema le ocurra a otra empresa", puntualiza.
El mensaje apunta a una realidad concreta: la adaptación a la Ley de Datos Personales requiere tiempo, coordinación y cambios internos. Las empresas que comiencen antes podrán identificar brechas, capacitar equipos, ordenar contratos, definir responsables y establecer controles con menor presión.
Ley de Datos Personales como cambio cultural
La entrada en vigencia de la Ley N°21.719 no debe entenderse únicamente como un hito legal, sino como un cambio en la forma en que las organizaciones gestionan la confianza. Los datos personales son parte central de la relación entre empresas, clientes, colaboradores y proveedores.
Por eso, el desafío no será solo cumplir una norma, sino demostrar que la información se trata de manera responsable. En un escenario donde la digitalización, la inteligencia artificial y los servicios en línea multiplican el uso de datos, la preparación temprana puede convertirse en una ventaja competitiva y reputacional para las empresas.
