¿Tienes una política de privacidad guardada en alguna carpeta de Drive que nadie ha abierto en dos años? Si la respuesta es «probablemente sí», este artículo es para ti.
La Ley 21.719 de Protección de Datos Personales entrará en vigencia el 1 de diciembre de 2026 en Chile y no vendrá a hacer adorno. La Ley estará asociada con una agencia fiscalizadora, multas millonarias y la capacidad de suspender operaciones de tu empresa si no cumples. Ya no estamos hablando de un PDF con buenas intenciones. Estamos hablando de evidencia operativa verificable.
¿Por qué ahora?
Chile está construyendo un marco regulatorio serio en materia digital. La Ley 21.719 es parte de un paquete de cuatro leyes coordinadas: ciberdelitos, ciberseguridad, protección de datos y próximamente inteligencia artificial. La analogía que nos viene a la cabeza es el GDPR europeo, y si quieres saber cómo le fue a las empresas que esperaron al último momento, el dato habla solo: cuando esa ley entró en vigencia en Portugal, el 90% de las PYMEs no sabía ni qué era.
Chile tiene más de 770.000 PYMEs que generan el 60% del empleo formal. La pregunta no es si la ley te aplica. La pregunta es si ya empezaste.
Qué cambió en la práctica
Lo más importante que trae esta ley no son las multas (aunque también). Es el cambio de paradigma, por ejemplo, ya no basta con tener políticas escritas. Ahora necesitas evidencia de que las estás aplicando. El fiscalizador puede aparecer sin que nadie lo denuncie, pedirte documentación en 15 días hábiles, y si no tienes qué mostrar, la cosa se pone cara. Literalmente, con tipificaciones de multas leves a gravísimas asociadas a los siguientes montos:
Tipificación | Multa máxima |
|---|---|
Leve | ~$300 millones CLP |
Grave | ~$600 millones CLP |
Gravísima | ~$1.400 millones CLP |
Las 5 obligaciones que tienes que conocer
- RAT – Registro de Actividades de Tratamiento:
No es una planilla de Excel estática. Es un mapa vivo de qué datos tienes, para qué los usas, cómo los proteges y quién accede. Lo primero que te van a pedir si llega el fiscalizador. - ARSOP+ – Los derechos de tus usuarios:
Tus clientes, colaboradores y proveedores tienen derecho a acceder, corregir, eliminar y portabilizar sus datos. Y tú tienes plazos para responderles, con evidencia. Este es probablemente el punto que más brechas operativas va a dejar al descubierto en las empresas chilenas. - Medidas técnicas de seguridad:
Cifrado, control de acceso, trazabilidad, borrado verificable. Y aquí viene la parte que muchos no anticipan: las medidas técnicas tienen que producir evidencia. Un antivirus que nadie gestiona no cuenta. Es una ilusión de seguridad.
- Notificación de brechas:
Si tienes un incidente, el reloj parte desde que lo sabes. Hay un plazo definido para notificar a la Agencia y a los afectados. No hay tiempo para el «esperemos a ver cómo evoluciona»
- Evaluaciones de Impacto (DPIA):
Antes de lanzar procesos que traten datos sensibles a gran escala, hay que evaluar el riesgo. No es burocracia — es la diferencia entre descubrir el problema antes o después del incidente.
Lo difícil ya no es la IA. Lo difícil es la base.
El error más común: tener la herramienta pero no usarla
Aquí está el dato que más incomoda: el 85% de las organizaciones tiene antivirus instalado. Pero solo el 7,7% gestiona activamente sus dispositivos. Y el 46% de las investigaciones por credenciales robadas tiene origen en dispositivos que nadie estaba mirando.
¿Cuántos computadores tiene tu empresa? ¿Sabes si todos tienen cifrado activo ahora mismo? ¿Si alguno se perdió hoy, cuánto demorarías en bloquearlo?
Los dispositivos son el vector de ataque principal en la mayoría de los incidentes. En ellos viajan nóminas, contratos, datos médicos, correos con información de clientes. Y en la mayoría de las empresas chilenas, nadie tiene una imagen clara de qué hay en esos equipos ni dónde están.
La ley lo sabe. Por eso la fiscalización se enfoca ahí.
Los 7 controles que el fiscalizador te va a pedir demostrar
- Cifrado activo en todos los dispositivos (BitLocker / FileVault), con registro de estado
- Control de acceso con política de contraseñas y MFA, con evidencia de configuración
- Parches al día: sistema operativo, navegador y software corporativo actualizado
- Borrado remoto con bitácora de fecha y hora de ejecución
- Inventario de dispositivos actualizable en tiempo real
- Trazabilidad: logs de conexión y acciones exportables
- Detección de pérdida: alertas cuando un equipo se desconecta por más de 48 horas sin respuesta
El punto 7 tiene una historia detrás: si un equipo desaparece y tu empresa no reacciona en las primeras 48 horas, ya estás en zona de riesgo. Y si era de un ex colaborador que nunca lo devolvió — escenario más común de lo que parece — la exposición es mayor todavía.
Lo que un CEO no puede delegar
Hay tres decisiones que tienen que salir de arriba y no pueden quedar dando vueltas en el equipo de TI:
- Nombrar un responsable, por escrito. Puede ser un DPO formal, un rol interno o externalizado. Sin un nombre asignado, no hay accountability. Si algo sale mal y nadie era responsable, todos lo son.
- Asignar presupuesto propio. No lo que sobra del presupuesto de TI. Una línea específica, ya que una sola multa gravísima financia años de cumplimiento preventivo.
- Incluir métricas en el reporting al directorio. Porcentaje de dispositivos con controles activos, tiempos de detección de incidentes, cumplimiento de plazos ARSOP+. La protección de datos es riesgo de gobernanza corporativa, no un tema de soporte técnico.
¿Tu empresa ya está trabajando en esto? ¿Cuál ha sido el mayor dolor de cabeza? Cuéntanos en los comentarios o escríbenos directamente, con gusto te ayudamos a ver por dónde partir.
