Durante años, muchas organizaciones chilenas entendieron la protección de datos personales como una combinación de políticas de privacidad, cláusulas contractuales y medidas básicas de seguridad informática.
Eso está a punto de cambiar.
El 1 de diciembre de 2026 entra en vigencia la Ley 21.719, que transforma profundamente las reglas sobre tratamiento y protección de datos personales en Chile.
Pero hay algo todavía más importante que conocer la nueva normativa: entender que cumplirla requerirá saber exactamente qué ocurre con los datos dentro de la organización.
Y ahí aparece el verdadero problema.
¿Su empresa sabe realmente dónde están los datos personales?
La pregunta parece sencilla.
Piense en la información de clientes, trabajadores, postulantes, proveedores y contactos comerciales.
Ahora intente responder:
- ¿En qué sistemas está almacenada?
- ¿Quién puede acceder a ella?
- ¿Durante cuánto tiempo se conserva?
- ¿Qué proveedores externos pueden verla?
- ¿Existen copias en computadores personales?
- ¿Hay información en Excel, Google Drive, SharePoint, OneDrive o sistemas antiguos?
- ¿Qué información se encuentra respaldada?
- ¿Dónde están físicamente esos respaldos?
- ¿Qué aplicaciones SaaS procesan información de la empresa?
- ¿Qué ocurre con los datos cuando termina la relación con un cliente o trabajador?
En muchas organizaciones no existe una respuesta completa.
El problema es que no se puede proteger aquello que no se sabe que existe.
Ese será probablemente uno de los mayores desafíos de la implementación de la Ley 21.719.
El nuevo activo crítico de las empresas no es solamente la información: es su trazabilidad
Durante mucho tiempo la ciberseguridad se concentró principalmente en impedir accesos no autorizados.
Firewalls, antivirus, respaldos, MFA y sistemas de detección siguen siendo fundamentales, pero la protección de datos introduce una capa adicional.
Ya no basta con preguntar:
¿Está segura esta información?
También tendremos que responder:
¿Por qué tenemos esta información?
¿Estamos autorizados para tratarla?
¿Quién la utilizó?
¿Con quién fue compartida?
¿Cuánto tiempo debemos conservarla?
¿Podemos eliminarla cuando corresponda?
¿Podemos demostrar todo lo anterior?
Ese último punto cambia completamente la discusión.
La protección de datos pasa de ser una declaración de buenas prácticas a convertirse en un proceso que necesita evidencia verificable.
El Excel olvidado también cuenta
Uno de los riesgos más subestimados está fuera de los grandes sistemas corporativos.
Una planilla con cientos de clientes guardada hace cinco años.
Un currículum recibido por correo y almacenado indefinidamente.
Una exportación de la base de clientes utilizada para una campaña comercial.
Una carpeta compartida con información de trabajadores.
Un antiguo respaldo que nadie recuerda.
Una base entregada a un proveedor externo.
Todo eso puede contener datos personales.
Por eso, abordar la Ley 21.719 exclusivamente desde el área jurídica sería un error.
La adecuación necesita necesariamente la participación coordinada de legal, tecnología, ciberseguridad, recursos humanos, operaciones, administración y dirección.
El RUT hace especialmente complejo el escenario chileno
Chile tiene además una característica particular: utilizamos constantemente el RUT como identificador.
Está presente en contratos, sistemas financieros, plataformas comerciales, sistemas laborales, servicios públicos, salud, educación y múltiples bases de datos.
Esto aumenta considerablemente la capacidad de relacionar información proveniente de diferentes fuentes.
Una base aparentemente sencilla puede adquirir un nivel de sensibilidad mucho mayor cuando puede cruzarse con otras fuentes utilizando un identificador común.
Por eso será necesario revisar una práctica profundamente instalada en nuestro país:
¿Realmente necesitamos solicitar el RUT para este proceso?
Y esa misma pregunta debería comenzar a realizarse respecto de cada dato solicitado.
La nube tampoco elimina la responsabilidad
Microsoft 365, Google Workspace, plataformas CRM, ERP, sistemas de recursos humanos, herramientas de marketing, inteligencia artificial y cientos de aplicaciones SaaS forman parte actualmente de la operación cotidiana.
Utilizar servicios cloud no significa transferir automáticamente la responsabilidad sobre los datos.
Las organizaciones deberán comprender mejor qué proveedores procesan información, bajo qué condiciones, desde dónde se presta el servicio y qué mecanismos existen para protegerla.
Esto también alcanza a una tecnología que muchas empresas están adoptando aceleradamente: la inteligencia artificial.
Copiar información de clientes, contratos, antecedentes laborales o documentación interna dentro de una herramienta de IA puede constituir tratamiento y eventualmente transferencia de información.
La pregunta ya no puede ser simplemente:
«¿Podemos utilizar IA?»
También tendremos que preguntarnos:
«¿Qué información podemos entregar a esa IA y bajo qué condiciones?»
Las brechas de seguridad serán una prueba operacional
Cuando ocurre un incidente importante, las primeras horas suelen ser caóticas.
Tecnología intenta determinar qué ocurrió.
Seguridad busca contener el incidente.
Gerencia solicita respuestas.
Los proveedores revisan sus plataformas.
Comunicaciones intenta entender qué debe informar.
Y alguien finalmente pregunta:
¿Qué datos estaban comprometidos?
Ese no es el momento para comenzar a descubrirlo.
La nueva regulación aumenta significativamente la importancia de contar previamente con procedimientos para detectar, analizar, escalar, documentar y comunicar incidentes relacionados con datos personales.
Un procedimiento de respuesta a incidentes que solamente existe en un documento pero nunca fue probado puede resultar insuficiente cuando comienza a correr el reloj.
Las organizaciones deberían realizar simulaciones antes de diciembre.
El directorio y la alta administración también deberían involucrarse
La protección de datos no debería permanecer exclusivamente dentro del área de informática.
Existe exposición financiera, operacional, jurídica y reputacional.
La Ley 21.719 contempla un régimen sancionatorio considerablemente más exigente que el existente hasta ahora, incluyendo multas que pueden alcanzar 20.000 UTM para determinadas infracciones, además de reglas especiales frente a reincidencias.
Por eso, la conversación que debería producirse en las empresas durante estos meses no es simplemente:
«¿Tenemos una política de privacidad actualizada?»
La conversación debería ser:
«¿Podemos demostrar que nuestra organización controla adecuadamente los datos personales que utiliza?»
Son preguntas completamente diferentes.
¿Qué debería estar haciendo una organización hoy?
A pocos meses de la entrada en vigencia, comenzar por comprar tecnología probablemente sea invertir el orden del problema.
Primero hay que entender la situación actual.
Una estrategia razonable debería comenzar identificando los tratamientos de datos existentes, clasificando la información, determinando responsables, revisando proveedores y contratos, evaluando accesos, estableciendo períodos de conservación y preparando procedimientos frente a incidentes.
Después viene la tecnología necesaria para respaldar esos procesos.
Porque probablemente aparecerán sistemas antiguos, cuentas sin propietario, respaldos olvidados, carpetas compartidas excesivamente abiertas y proveedores que llevan años recibiendo información sin que nadie haya revisado nuevamente las condiciones bajo las cuales lo hacen.
Encontrar esos problemas antes de diciembre es precisamente el objetivo.
Diciembre no debería ser la fecha para comenzar
La entrada en vigencia de la Ley 21.719 no debería sorprender a ninguna organización.
Todavía existe tiempo para prepararse.
Pero implementar un modelo serio de protección de datos requiere levantamiento, decisiones, cambios tecnológicos, modificaciones contractuales, capacitación y, especialmente, cambios en procesos internos.
No ocurre de un día para otro.
En LEG Technologies estamos abordando este desafío desde una perspectiva tecnológica y operacional: ayudando a las organizaciones a identificar dónde se encuentra su información, revisar su infraestructura, fortalecer controles de acceso, proteger respaldos, evaluar servicios cloud, mejorar la trazabilidad y preparar capacidades de continuidad y respuesta frente a incidentes.
Porque la nueva etapa de protección de datos en Chile no se resolverá únicamente escribiendo políticas.
Se resolverá cuando una organización pueda responder, con evidencia, cuatro preguntas fundamentales:
Qué datos tiene.
Por qué los tiene.
Quién puede acceder a ellos.
Y qué hará cuando algo salga mal.
El 1 de diciembre de 2026 esas preguntas dejarán de ser solamente buenas prácticas.
Serán parte de una nueva realidad para las organizaciones chilenas.