Read Time:4 Minute
La entrada en vigencia de la Ley 21.719 en diciembre de 2026 está empezando a mover la conversación en las empresas chilenas: ya no bastaría con revisar contratos o políticas, porque el tratamiento de datos podría pasar a tocar operaciones, tecnología y experiencia de cliente.
Durante años, hablar de protección de datos en muchas empresas chilenas sonó a tema jurídico, de compliance o, con suerte, de seguridad informática. Algo importante, sí, pero bien encerrado entre abogados, TI y documentos internos. Esa lógica podría empezar a quedarse corta. Con la Ley 21.719 ya publicada y con entrada en vigencia fijada para el 1 de diciembre de 2026, el ajuste que viene no apuntaría solo a “cumplir”, sino a revisar cómo una organización captura, usa, guarda, comparte y elimina información personal en su operación diaria.
La norma, publicada el 13 de diciembre de 2024, regula la protección y el tratamiento de los datos personales, reforma íntegramente la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales, que tendrá facultades para fiscalizar, interpretar la norma y sancionar incumplimientos. Además, la ley se aplica al tratamiento de datos realizado tanto por privados como por órganos públicos, con excepción del tratamiento efectuado en el ejercicio de la libertad de informar y opinar bajo ciertas condiciones.
Ya no bastaría con “tener una política”: el dato se mete en toda la operación
El punto de fondo es que esta ley redefine el lugar de la información dentro de las empresas. Según el comunicado compartido por Zerviz, el desafío no sería un mero ajuste normativo, sino una transformación estructural que impacta procesos críticos relacionados con clientes, colaboradores y uso de datos. En esa línea, el cofundador de la firma, Julio Farías, sostiene que “la gestión de datos ya no es un tema aislado o técnico: es un eje estratégico que impacta la experiencia, la operación y la toma de decisiones”.
Esa lectura conversa bastante con el texto oficial. La ley establece principios de licitud, finalidad, proporcionalidad, calidad, seguridad, transparencia e información. También reconoce derechos de acceso, rectificación, supresión, oposición y portabilidad de los datos, lo que obliga a que las organizaciones no solo recolecten información, sino que sepan explicar para qué la usan, por cuánto tiempo la conservan y cómo responden cuando una persona pide revisar o eliminar sus datos.
En simple, esto podría pegarle a varias áreas al mismo tiempo. Marketing digital, recursos humanos, atención al cliente, plataformas cloud, proveedores externos y sistemas con decisiones automatizadas tendrían que mirar de nuevo sus flujos. El propio comunicado advierte que la afectación será transversal y que el reto pasa por conectar cumplimiento, arquitectura tecnológica y operación diaria, especialmente en empresas donde todavía no existe un gobierno de datos maduro.
Lo que las empresas tendrían que empezar a ordenar desde ya
La bajada práctica no se ve precisamente liviana. La guía oficial de implementación elaborada por la Secretaría de Gobierno Digital para la administración pública propone partir designando una persona responsable, levantar información sobre todos los datos personales tratados, definir políticas, documentar medidas de seguridad y establecer protocolos concretos para accesos, transferencias, conservación y uso de herramientas tecnológicas. Aunque esa guía está pensada para organismos públicos, sirve como señal bastante clara de la clase de trabajo operativo que la nueva ley va a exigir.
La misma guía sugiere, por ejemplo, identificar las finalidades del tratamiento, la base de legitimidad para usar esos datos, las medidas de seguridad adoptadas, los canales para que los titulares ejerzan sus derechos, los períodos de conservación y la existencia de decisiones automatizadas o elaboración de perfiles. En paralelo, la ley exige evaluaciones de impacto cuando un tratamiento pueda implicar alto riesgo para los derechos de las personas, y establece una regla general de consentimiento expreso para el tratamiento de datos sensibles, salvo excepciones específicas previstas por la propia norma.
Ahí es donde el asunto deja de ser solo legal y se pone bien de negocio. Porque una empresa puede tener un discurso bonito sobre privacidad, pero si sus formularios, CRM, procesos de atención, nubes, automatizaciones o campañas no están alineados con lo que declara, el problema ya no es teórico. Y eso podría traducirse no solo en exposición regulatoria, sino también en fricción con clientes, daño reputacional y pérdida de confianza. Según el documento compartido, esa coherencia entre lo que la empresa promete y lo que realmente ejecuta es justamente una de las brechas que hoy siguen abiertas en muchas organizaciones chilenas.
El verdadero cambio: tratar los datos como parte de la estrategia
Quizás lo más interesante de esta discusión es que obliga a cambiar la pregunta. Ya no sería solo “qué tan expuesta estoy a una multa”, sino “qué tan preparada está mi operación para tratar datos de manera seria, transparente y sostenible”. La ley también incorpora elementos ligados a perfiles automatizados, transferencias internacionales y fiscalización especializada, mientras el debate empresarial empieza a extenderse hacia inteligencia artificial, uso de datos sensibles y responsabilidad en decisiones automáticas.
Por eso, más que una carrera de última hora antes de diciembre de 2026, esto empieza a parecer un proceso de maduración interna. Las compañías que se adelanten probablemente no solo van a reducir riesgos. También podrían ordenar mejor sus sistemas, mejorar su relación con clientes y usuarios, y convertir la privacidad en un factor de confianza. En un mercado donde cada vez más procesos dependen de datos, esa diferencia podría sentirse bastante más allá del área legal.
Average Rating