Chile acaba de dar un paso importante en la protección de los datos personales con la Ley N° 21.719, que regula cómo las empresas y organismos públicos deben manejar la información de los ciudadanos. Esta nueva ley está diseñada para fortalecer la privacidad de los datos personales y poner al país en línea con los estándares internacionales, como el GDPR de la Unión Europea.
Sin embargo, la falta de cumplimiento puede traer serias consecuencias, desde sanciones económicas de hasta 20,000 UTM, hasta daños irreparables a la reputación de las empresas. Con la ley entrando en vigor en diciembre de 2026, es crucial que las organizaciones comiencen a prepararse con anticipación.
Actuar ahora no solo ayuda a evitar las sanciones mencionadas, también ayudará a adaptarse de manera proactiva lo que facilitará la transición hacia las normativas internacionales de privacidad. Aquí te presentaremos una hoja de ruta de dos años para que puedas cumplir con los requisitos de esta ley de manera progresiva.
FASE 1: Diagnóstico y Evaluación Inicial (Meses 1-6)
La primera fase, que puede abarcar los primeros seis meses, tiene como objetivo realizar un diagnóstico completo de la situación actual de la empresa frente a la ley de protección de datos. El resultado esperado es tener una visión clara de los cambios que deben implementarse.
Durante esta fase, se destinará tiempo a entender las prácticas actuales, identificar brechas y planificar los siguientes pasos.
Estas son nuestras recomendaciones:
- Diagnóstico de prácticas actuales: Comienza revisando cómo se están manejando los datos en este momento. ¿Estás cumpliendo con algún estándar de protección y privacidad requeridos?
- Inventario de datos: Haz un inventario completo de los datos personales que maneja tu empresa. Asegúrate de incluir los siguientes puntos en tu checklist:
- Tipo de datos personales recolectados: ¿Qué tipo de información recoges (nombre, dirección, correo electrónico, datos sensibles, etc.)?
- Ubicación de los datos: ¿Dónde se almacenan esos datos? (servidores locales, en la nube, etc.)
- Accesos y permisos: ¿Quién tiene acceso a esos datos dentro de la empresa? ¿Están restringidos según el rol?
- Duración de almacenamiento: ¿Por cuánto tiempo retienes los datos personales y bajo qué justificación?
- Transferencias de datos: ¿Se transfieren los datos a terceros o fuera del país? Si es así, ¿estás cumpliendo con las reglas para las transferencias internacionales?
- Revisión de brechas de cumplimiento: Compara tus prácticas actuales con los requisitos de la ley para identificar cualquier brecha. ¿Qué procesos necesitan ser ajustados para cumplir con la normativa?
- Evaluación de proveedores: Revisa los contratos con proveedores externos que gestionan los datos. Asegúrate de que estén alineados con la nueva ley y, si es necesario, actualízalos.
- Evaluación de Impacto en Protección de Datos (PIA): Determina si necesitas realizar una Evaluación de Impacto, especialmente si tu empresa maneja datos sensibles o realiza procesos de alto riesgo.
FASE 2: Planificación y Diseño de Estrategia (Meses 6-12)
En esta fase, el objetivo es diseñar políticas, procesos y medidas de seguridad que te permitirán estar listo para cumplir con la ley. Tendrás 6 meses para construir una estrategia sólida. Este tiempo debe aprovecharse para planificar cada paso, asignar responsabilidades y asegurarte de que todo esté alineado con los requisitos de la ley. Al final de esta fase, tu empresa tendrá una estrategia clara y bien documentada para avanzar hacia el cumplimiento.
Recomendamos los siguientes pasos:
- Diseñar un cronograma de cumplimiento escalonado: Crea un plan detallado de lo que se debe hacer y cuándo. Esto te ayudará a medir el progreso y asegurarte de que todo esté listo para cuando la ley entre en vigencia.
- Asignación de roles y responsabilidades en el equipo:
- Rol y funciones del DPO: Aunque no es legalmente obligatorio, consideramos que es necesario tener un DPO. Por eso nombra a un Delegado de Protección de Datos (DPO) que se encargue de supervisar el cumplimiento. Su tarea será guiar a la empresa y ser el punto de contacto con la Agencia de Protección de Datos.
- Opciones para micro, pequeñas y medianas empresas: Si tu empresa es pequeña, se puede asignar esta tarea a los dueños o a las autoridades máximas de la empresa o en su defecto, designar algún ente externo que te apoye con la gestión.
- Adaptación de políticas internas:
- Revisar políticas existentes: Haz un repaso de las políticas actuales sobre privacidad y protección de datos, adaptándolas a las nuevas exigencias de la ley.
- Incluir cláusulas sobre transferencia internacional de datos: Si gestionas o transfieres datos fuera del país, asegúrate de incorporar las cláusulas que exigen la ley para que esas transferencias sean legales.
- Definir protocolos para gestionar derechos ARCO (Acceso, Rectificación, Cancelación y Oposición): Crea procesos claros para que los usuarios puedan ejercer sus derechos ARCO. Esto incluye permitir que los titulares de datos accedan, corrijan, eliminen u opongan el uso de sus datos de manera fácil y efectiva.
- Crear un plan de respuesta a incidentes de seguridad:
- Desarrollar planes para responder a violaciones de datos: Si ocurre una filtración de datos, es crucial tener un plan para minimizar el daño y resolver la situación rápidamente.
- Plan de rápida notificación: Define cómo y cuándo notificarás a la Agencia de Protección de Datos y a los afectados en caso de un incidente.
- Capacitación y sensibilización:
- Entrenar a los empleados: Proporciona formación continua sobre los principios de la nueva ley para que todos en la empresa comprendan su importancia y cómo manejar los datos correctamente.
- Establecer una cultura de privacidad y seguridad de datos: Asegúrate de que la privacidad y la seguridad de datos no solo sean tareas de un departamento, sino un compromiso de toda la empresa.
FASE 3: Implementación y Seguridad de Datos (Meses 12-18)
En esta fase, el objetivo es implementar las nuevas políticas de protección de datos con las existentes, asegurando que las medidas de seguridad estén en su lugar para cumplir con la normativa. Durante estos 6 meses, te enfocarás en implementar los controles técnicos y de seguridad que protejan la información personal de manera efectiva. Al finalizar esta fase, tu empresa contará con los sistemas adecuados para garantizar la seguridad de los datos.
- Cifrado y anonimización de datos sensibles: Para proteger la información confidencial, asegúrate de cifrar los datos sensibles (como los de salud o financieros) tanto en tránsito como en reposo. Además, la anonimización es una excelente práctica para garantizar que los datos no sean fácilmente identificables.
- Control de accesos y permisos: Establece controles de acceso estrictos para limitar quién puede ver o modificar los datos. Implementa sistemas de autenticación fuerte y asigna permisos de manera que solo las personas autorizadas tengan acceso a la información sensible.
- Respaldo y recuperación de datos: Define políticas claras de retención de datos, especificando cuánto tiempo se conservarán y cuándo se eliminarán de manera segura. Es vital tener un plan de respaldo de datos para garantizar la recuperación en caso de incidentes.
- Monitoreo y protección de dispositivos corporativos: Los dispositivos corporativos, como computadoras portátiles y teléfonos móviles, deben estar protegidos contra el robo o perdida. Implementa soluciones de gestión y monitoreo de flotas que permitan identificar y actuar ante comportamientos inusuales que puedan poner en riesgo la seguridad de los datos.
- Medidas de ciberseguridad: Implementa protocolos de seguridad como firewalls, software antivirus, y herramientas de detección de intrusos. Estas medidas te ayudarán a prevenir ataques cibernéticos, minimizando el riesgo de filtraciones o pérdidas de datos.
Fase 4: Monitoreo, revisión y actualización (Meses 18-24)
En esta fase, el enfoque está en evaluar el nivel de cumplimiento alcanzado y hacer los ajustes necesarios para garantizar que tu empresa esté completamente lista para la entrada en vigor de la ley en diciembre de 2026. Durante estos últimos 6 meses, se debe realizar un seguimiento constante para corregir cualquier área que necesite mejorar y asegurarse de que todas las políticas y medidas estén al día.
- Auditorías periódicas: Realiza revisiones internas del cumplimiento para asegurarte de que todas las prácticas estén alineadas con los requisitos de la ley. Estas auditorías también te permitirán identificar áreas de mejora y ajustar los procesos según sea necesario. Además, mantén actualizadas las prácticas conforme a nuevas normativas o cambios en los estándares internacionales.
- Evaluar certificaciones en estándares internacionales: Si aún no lo has hecho, considera obtener certificaciones como el GDPR, SOC o ISO 27001. Estas certificaciones no solo te ayudarán a cumplir con la ley, sino que también fortalecen la confianza de clientes y socios al mostrar tu compromiso con la protección de datos.
- Preparar documentación para posibles auditorías externas: Mantén toda la documentación organizada y lista para auditorías externas. Esto incluye los registros de tratamiento de datos, políticas internas actualizadas y pruebas de cumplimiento con los protocolos establecidos. Estar bien preparado facilitará cualquier inspección o revisión por parte de autoridades reguladoras.
Desde el diagnóstico hasta el cumplimiento
Ahora ya sabes que adaptarse a la nueva Ley de Protección de Datos no tiene por qué ser un dolor de cabeza si sigues un plan bien estructurado. Primero, diagnosticas cómo manejas los datos y qué necesitas cambiar. Luego, diseñas estrategias para cumplir con la ley, implementas medidas de seguridad y, finalmente, te aseguras de que todo esté funcionando correctamente con revisiones periódicas.
Mantener un orden estructurado en cada fase no solo te ayudará a evitar multas, sino que garantizará que tu empresa esté siempre alineada con los estándares internacionales, como el GDPR, y mantendrá la seguridad de los datos en todo momento.
