7 de cada 10 empresas chilenas dicen no estar listas para la nueva ley de datos: cinco errores que todavía cometen

La nueva Ley de Protección de Datos Personales chilena promete cambiar la forma en que empresas y organismos manejan información de clientes, trabajadores y proveedores. El problema es que, cuando la regulación se acerca, muchas organizaciones todavía no saben exactamente dónde están sus datos ni quién puede acceder a ellos.

Un estudio elaborado por LemonTech y la Asociación Chilena de Ética y Compliance (ACEC), sobre una muestra de 127 organizaciones con operaciones en Chile, encontró que 72% no se considera preparada para cumplir las nuevas exigencias. Solo 9% afirma estar completamente lista y 46% reconoce que todavía no ha implementado ninguna de las medidas requeridas, según los resultados del estudio publicados por Emol.

La fecha definitiva todavía está en discusión. El Gobierno propuso trasladar la entrada en vigencia de la Ley 21.719 al 1 de diciembre de 2027, un año después del calendario original. Mientras ese cambio siga su trámite legislativo, corresponde hablar de una propuesta de postergación, no de una prórroga ya consumada.

1. No saber exactamente qué datos tiene la empresa

El primer problema no suele ser un hacker sofisticado. Muchas organizaciones almacenan información personal repartida entre planillas Excel, carpetas compartidas, notebooks individuales, sistemas de remuneraciones y herramientas que distintos equipos adoptaron con el tiempo.

César Ozán, CEO de IntelliHelp, explicó en información enviada a OH! Zom que el punto de partida debería ser un inventario: qué información personal existe, dónde está, qué nivel de exposición tiene, quién puede verla y cuál es la base legal que permite tratarla.

2. Guardar información corporativa en computadores personales

Un archivo local puede sentirse más seguro porque “no está en la nube”, pero concentra otros riesgos. Si el notebook se pierde, falla o necesita formatearse, la empresa puede perder información o dejar datos sensibles expuestos fuera de los controles corporativos.

La protección no depende únicamente de elegir nube o disco local. Depende de contar con respaldos, cifrado, control de acceso y trazabilidad sobre quién puede abrir cada archivo.

3. Compartir liquidaciones, cédulas o contraseñas por WhatsApp

IntelliHelp identifica como práctica frecuente el envío de información sensible mediante cuentas personales de correo o mensajería. El problema no es que WhatsApp sea intrínsecamente inseguro, sino que la empresa pierde control sobre dónde termina el archivo, cuánto tiempo queda almacenado y quién conserva una copia.

Para información de trabajadores, clientes o proveedores conviene utilizar herramientas corporativas donde sea posible definir permisos, revocar accesos y activar mecanismos como doble factor de autenticación.

4. Mantener accesos que nadie revisa

Una empresa puede configurar correctamente una carpeta y aun así acumular problemas con el tiempo. Personas que cambiaron de cargo, proveedores cuyo contrato terminó o trabajadores que dejaron la organización pueden conservar permisos si no existe un proceso formal para retirarlos.

Eso transforma la gestión de identidades en una parte central de la protección de datos. No basta con crear una contraseña fuerte: hay que decidir quién aprueba cada acceso y qué ocurre cuando una persona deja de necesitarlo.

5. Tener respaldos sin comprobar si realmente funcionan

Un backup que nunca se ha probado puede fallar justo cuando se necesita. Ante ransomware, corrupción de datos o pérdida de un equipo, la capacidad de restaurar información es tan importante como haber generado una copia.

Ozán recomienda respaldos automáticos, idealmente con copias fuera de la red principal, y pruebas periódicas de recuperación. También propone cifrar discos cuando sea posible, utilizar gestores de contraseñas y evitar cuentas compartidas.

La posible postergación no elimina el trabajo pendiente

El proyecto del Gobierno busca entregar más tiempo para instalar la nueva Agencia de Protección de Datos Personales, definir estándares y permitir que sector público y privado adapten sus procesos. Si se aprueba, la nueva fecha sería el 1 de diciembre de 2027.

Pero un año adicional no resuelve por sí solo los problemas que revela la encuesta. Inventariar datos, limpiar permisos, formalizar contratos, preparar respuesta a incidentes y ordenar respaldos son trabajos que pueden tomar meses en organizaciones grandes.

La ley obliga a mirar algo que muchas empresas nunca mapearon

La transformación más profunda quizá no sea una nueva multa o formulario. Es la obligación de tratar la información personal como un activo que tiene dueño, reglas de uso, ciclo de vida y riesgo.

Cuando una organización no sabe dónde están sus datos, tampoco puede saber con certeza quién los está usando, cuánto tiempo debería conservarlos ni qué tendría que hacer si mañana se filtran. El 72% del estudio no describe solo un problema legal: describe una deuda básica de gestión tecnológica.