Por Lucas Maisterow San Martín, Especialista en Comunicaciones de Yourdevs
Durante meses el mensaje al mercado fue uno solo: quedan semanas para el 1 de diciembre. Consultoras, estudios de abogados y proveedores (nosotros incluidos), repetimos el conteo regresivo hacia la entrada en vigencia de la Ley 21.719. El 1 de septiembre, el Gobierno ingresó al Senado un proyecto para mover esa fecha a diciembre de 2027.
Vale la pena detenerse en el motivo, porque no es menor. Se postergó porque el regulador nunca se instaló: el Senado rechazó en mayo la terna de consejeros propuesta para la Agencia de Protección de Datos Personales y en junio venció el plazo legal para designarlos. El país llegó a septiembre sin el organismo que debía fiscalizar, orientar y sancionar.
Es un dato incómodo y conviene decirlo sin adornos: la institución encargada de exigir gobernanza de datos no logró resolver a tiempo su propia gobernanza. Cualquiera que haya intentado ordenar los accesos de una empresa mediana reconoce el patrón. La distancia entre la norma escrita y la operación real es donde se pierden todos los proyectos de cumplimiento.
El detalle que nadie está leyendo
La lectura fácil de la prórroga es que todos ganaron un año. Para las empresas más pequeñas, no es exactamente así.
El texto original contemplaba un régimen transitorio: durante el primer año de vigencia, la Agencia podía aplicar solo una amonestación por escrito, y ese beneficio estaba reservado a las empresas de menor tamaño. El proyecto elimina esa referencia. La amonestación pasa a estar disponible para todos los obligados por la ley.
Suena a que se amplía un beneficio. En la práctica, lo que desaparece es el trato preferente. Una pyme que antes tenía un colchón que las grandes no tenían, ahora comparte el mismo régimen que una corporación con área legal, oficial de cumplimiento y presupuesto. La ventaja relativa se disolvió.
Qué hacer este año
La reacción natural de un gerente al leer la noticia es archivar el tema hasta 2027. Es la decisión más cara disponible, por tres razones.
La primera: el proyecto todavía no es ley. Está radicado en las comisiones de Constitución y Hacienda del Senado. Hasta que se publique, la fecha vigente sigue siendo el 1 de diciembre de 2026.
La segunda: el núcleo del régimen no se tocó. Derechos de los titulares, obligaciones, multas y sanciones quedan exactamente igual. Solo se movió el calendario, sin cambiar las exigencias.
La tercera es la que menos se discute: Lo que la ley pide no se compra ni se redacta en una semana. Saber qué datos personales tiene la empresa, dónde están, quién los toca y con qué justificación es un ejercicio de arqueología en la mayoría de las organizaciones chilenas. En las revisiones que hacemos aparecen las mismas cosas: bases de clientes en carpetas compartidas con ex empleados que nunca perdieron el acceso, respaldos en cuentas personales, planillas con RUT y datos de salud circulando por correo, proveedores que tratan datos sin ningún contrato que lo regule.
Estos hallazgos se resuelven con inventario, control de accesos, trazabilidad del consentimiento y decisiones sobre arquitectura. Eso toma meses, y son meses que ahora existen y ahora hay que aprovechar.
Tres cosas que hacer en 2027
Levantar el inventario: No se puede proteger lo que no se sabe que existe. Es la tarea más aburrida y la única que no se puede saltar.
Cerrar los accesos heredados: Revisar quién tiene permisos sobre bases con datos personales y quitar todo lo que no tenga justificación vigente. Es lo más barato de ejecutar y lo que más reduce el riesgo real.
Ordenar la cadena de proveedores: Buena parte del tratamiento de datos ocurre fuera de la empresa. Si no está mapeado ni contractualizado, la responsabilidad sigue siendo de quien encargó el tratamiento.
La prórroga hará la diferencia entre llegar a diciembre de 2027 con un proceso implementado o con un documento firmado a última hora que no describe nada de lo que realmente pasa dentro de la organización. El Estado ya mostró lo que ocurre cuando la implementación se deja para el final. Es una lección gratis, y sería una lástima no aprovecharla.
Lucas Maisterow San Martín es Marketing and Communications Specialist en Yourdevs, consultora tecnológica chilena especializada en seguridad cloud, protección de datos, infraestructura y optimización de costos.
Equipo Prensa
Portal Innova
