De la ley a la tecnología: lo que pasa dentro de las empresas cuando llega la Ley 21.719
Cuando entro a una organización a levantar su situación de datos personales, la primera pregunta que hago no es jurídica. Es más simple: ¿dónde están sus datos? La respuesta casi nunca llega el mismo día. Llega por partes, y suele armarse así: están en el CRM, sí, pero también en una planilla que la jefa de administración mantiene desde hace años, en la plataforma de mailing y en el formulario del sitio web que descarga a una casilla compartida. Al tercer día aparece la agencia externa que hace las campañas y que tiene acceso a la base completa. Y casi al final, alguien recuerda el respaldo que quedó en el Drive personal de un colaborador que se fue el año pasado. Ese inventario incómodo es el verdadero punto de partida de la Ley 21.719.
Lo que la ley pide y nadie estaba pidiendo
La ley entra en vigencia plena el 1 de diciembre de 2026 y crea una Agencia de Protección de Datos Personales con facultades de fiscalización y sanción. Hasta ahí, el titular conocido. Lo que cambia el trabajo de verdad es otra cosa, más silenciosa: la responsabilidad demostrable.
Ya no basta con actuar de buena fe, ni con tener una política publicada en el sitio. La organización tiene que poder acreditar qué datos trata, para qué, bajo qué base legal, quién accede a ellos, cuánto tiempo los conserva y qué hace cuando un titular reclama. Eso no se resuelve con un documento bien redactado. Se resuelve con evidencia, y la evidencia hay que producirla, mantenerla y poder mostrarla el día que alguien la pida.
Me tocó vivirlo desde adentro. Como Chief Data Officer de una compañía con clientes en Europa, operé bajo el GDPR —el reglamento que sirvió de referencia a la ley chilena— y bajo el ENS, el Esquema Nacional de Seguridad español, trabajando con organismos de gobierno y empresas en España. Allá el cumplimiento no es una carpeta que se desempolva cuando llega una auditoría: se vive en la operación. Los proveedores se evalúan antes de firmar, los sistemas tienen responsables con nombre y apellido, los accesos quedan registrados, y cuando la autoridad pide evidencia, la evidencia existe. Y las organizaciones que mejor
llegaron a ese estándar no fueron las de mayor presupuesto legal, sino las que abordaron el cumplimiento como un proyecto de ingeniería de procesos: levantamiento, responsables, controles, trazabilidad. Esa lección es la que más me sirve hoy en Chile.
Cookies, terceros y lo que ya estamos usando
Hay un punto ciego que se repite. Cuando se habla de datos personales, casi todos piensan en la base de clientes. Pocos piensan en su propio sitio web. Un sitio corporativo promedio en Chile carga analítica, píxeles de publicidad, un chat de atención, tipografías externas y a veces un formulario alojado en un servicio de terceros. Todo eso se ejecuta en el navegador del visitante, en ocasiones antes de que alcance a decidir nada en el aviso de cookies. Cada componente es un tercero que recibe información, y la ley no distingue entre lo que configuramos a propósito y lo que venía por defecto en la plantilla que instalamos. Con los proveedores pasa lo mismo. La contabilidad externa, quien procesa las remuneraciones, la nube donde viven los respaldos, la plataforma de firma electrónica: todos tratan datos por cuenta de la empresa, y eso exige contratos que muchas organizaciones todavía no tienen firmados.
Lo que la ley pide y nadie estaba pidiendo
A todo lo anterior se sumó algo que hace tres años casi no existía en la operación diaria. Hoy es normal que alguien pegue una lista de clientes en una herramienta de IA para ordenarla, que un equipo comercial suba correos para redactar una propuesta, o que se conecte un asistente automático al sitio sin revisar dónde quedan guardadas las conversaciones.
La tecnología no es el problema. El problema es de gobernanza: la herramienta entró a la empresa sin pasar por ninguna decisión formal. Y las preguntas que corresponde hacerse son concretas, al alcance de cualquiera. ¿Dónde se procesa esa información? ¿Queda almacenada? ¿Se usa para entrenar modelos? ¿Hay un contrato que lo cubra?
En mi experiencia implementando gobernanza de datos en Chile y la región —incluyendo una zona franca del norte del país, banca, medios y más de doscientas municipalidades— el patrón se repite: el sistema central suele estar bien administrado. El riesgo se acumula en los bordes. En la planilla paralela, en la herramienta que alguien instaló por su cuenta, en el acceso que nunca se revocó. Por dónde empezar
Si tuviera que recomendar un solo paso, sería este: hagan el inventario antes que la política. Una política de privacidad redactada sin saber qué datos tiene la organización es un texto bien escrito sobre una realidad que nadie conoce. El inventario es aburrido, no luce en una presentación al directorio, y es lo único que después permite tomar decisiones defendibles.
Para quienes venimos de la ingeniería, nada de esto debería resultar ajeno. Es un levantamiento de procesos, un mapa de flujos, una matriz de responsables, un plan de control. El método lo conocemos hace décadas. Lo nuevo es que ahora hay una
fecha, una autoridad y una consecuencia.
Claudio Martínez A.
DPO certificado (SMS Forum, Europa).
Gerente de Alaska Chile.
Founder de GOBERNANZA.IO y CUMPLEAHORA.CL