¿Sabe realmente qué hace su empresa con los datos que posee?
La nueva ley cambiará las reglas, pero el verdadero problema puede estar en algo mucho más básico: no saber qué datos tiene su empresa, dónde están ni cómo los está utilizando.
Durante años, muchas empresas han tratado los datos personales como algo casi administrativo. Una planilla con clientes, una base de correos, currículums guardados en una carpeta, teléfonos de proveedores, cámaras de seguridad, registros de trabajadores o una lista de contactos utilizada para enviar promociones.
Todo bastante normal.
El problema es que, desde el 1 de diciembre de 2026, la Ley N.º 21.719 cambiará significativamente las reglas sobre protección y tratamiento de datos personales en Chile. Esa sigue siendo, a la fecha, la fecha oficial de entrada en vigencia establecida en la legislación.
Existe, eso sí, una situación particular. Durante los primeros días de agosto el Gobierno confirmó que está evaluando una eventual postergación, principalmente porque aún existen dificultades para completar la instalación de la nueva Agencia de Protección de Datos Personales. Pero mientras esa modificación no ocurra legalmente, el calendario sigue corriendo hacia el 1 de diciembre.
La discusión sobre la fecha puede, sin embargo, distraernos del problema verdaderamente importante.
Las empresas deberían comenzar a preguntarse qué tan bien conocen los datos que ya tienen.
No es un problema exclusivo de las grandes empresas
Cuando hablamos de protección de datos es fácil imaginar bancos, compañías tecnológicas o grandes plataformas digitales. Pero la definición de tratamiento de datos que establece la nueva regulación es mucho más amplia y alcanza numerosas actividades habituales de cualquier organización que recopile, almacene, utilice, comunique o elimine información personal.
Pensemos en una empresa normal.
Tiene información de sus trabajadores. Mantiene registros de clientes. Recibe currículums. Guarda números telefónicos y correos electrónicos. Utiliza WhatsApp. Tiene cámaras de seguridad. Envía promociones. Conserva facturas y antecedentes comerciales. Comparte información con contadores, proveedores tecnológicos o empresas externas. Probablemente además mantiene respaldos digitales que nadie ha revisado en años.
El problema ya no será simplemente tener esos datos.
Será poder explicar por qué los tenemos, para qué los utilizamos, quién accede a ellos y bajo qué condiciones los conservamos.
Ese es un cambio bastante más profundo de lo que parece.
La empresa tendrá que poder demostrar lo que hace
La nueva normativa fortalece derechos de las personas respecto de sus datos y establece obligaciones para quienes los tratan. Entre ellos se encuentran derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, junto con mayores exigencias respecto de la licitud, finalidad, proporcionalidad, transparencia y seguridad del tratamiento.
También aumenta sustancialmente la capacidad de fiscalización y sanción mediante la creación de una Agencia de Protección de Datos Personales.
Pero probablemente el mayor cambio para muchas empresas no estará en una nueva política de privacidad ni en comprar algún software.
Estará en algo mucho más básico:
ordenar la casa.
Porque antes de hablar de cumplimiento hay preguntas bastante elementales que cualquier gerente debería poder responder:
-
¿Qué datos personales posee realmente nuestra empresa?
-
¿Dónde están almacenados?
-
¿Sabemos por qué los recopilamos y para qué los utilizamos?
-
¿Quién dentro —o fuera— de la empresa puede acceder a ellos?
-
¿Cuánto tiempo los conservamos y qué hacemos después con ellos?
-
¿Qué ocurriría si mañana una persona solicita conocer, corregir o eliminar sus datos?
-
¿Podríamos demostrar que el tratamiento que realizamos tiene una justificación válida?
Si responder estas preguntas resulta difícil, probablemente el problema no comienza con la nueva ley.
El problema ya existía.
La ley simplemente lo está haciendo visible.
No partir comprando soluciones
Este punto merece especial cuidado.
Cuando aparece una nueva regulación, el mercado suele reaccionar rápidamente ofreciendo sistemas, certificaciones, consultorías, plataformas y soluciones tecnológicas. Algunas serán necesarias y otras probablemente muy útiles.
Pero comprar una solución antes de entender el problema sigue siendo una mala decisión.
Una empresa que no sabe qué información posee difícilmente podrá decidir qué herramienta necesita para protegerla.
El primer paso razonable debería ser mucho más sencillo: diagnosticar.
Identificar qué información existe, dónde está, cómo circula, quién la utiliza, qué riesgos presenta y qué brechas deben corregirse. Recién después tiene sentido decidir qué cambios jurídicos, tecnológicos, operacionales o de gestión serán necesarios.
Si la ley se posterga, el problema no desaparece
Es posible que finalmente el Gobierno decida modificar la fecha de entrada en vigencia. Hoy esa discusión existe.
Si ocurre, probablemente muchas empresas respirarán tranquilas y dejarán el tema para más adelante.
Sería un error.
Una eventual postergación no cambia el fondo del problema. Solo entregaría más tiempo para resolverlo.
Y quizás esa sea precisamente la mejor forma de mirar esta nueva regulación: no solamente como una obligación legal que habrá que cumplir, sino como una oportunidad para revisar algo que muchas organizaciones han dejado crecer silenciosamente durante años.
Bases de datos, correos, respaldos, planillas, sistemas y archivos llenos de información cuyo verdadero uso, origen o necesidad nadie recuerda con demasiada claridad.
La pregunta entonces no es solamente si su empresa estará preparada cuando comience a regir la nueva ley.
La pregunta más incómoda es otra:
¿Sabe realmente qué está haciendo hoy su empresa con los datos que posee?
