Ley 21.719: qué debería revisar primero una empresa

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y moderniza el régimen chileno de protección de datos personales. Para una empresa, el primer trabajo útil no suele ser redactar una política nueva. Es conocer su operación real y detectar dónde existen decisiones, documentos o controles pendientes.

1. Identificar los tratamientos de datos

El diagnóstico comienza ubicando los procesos que reciben, consultan, comparten o eliminan datos personales. Clientes, trabajadores, postulantes, proveedores, visitas, usuarios web y contactos comerciales suelen recorrer sistemas distintos y quedar bajo responsabilidades diferentes.

• Qué categorías de datos se utilizan y de quiénes son.
• Para qué finalidad se recoge cada dato.
• En qué sistema, planilla, correo o archivo se conserva.
• Quién puede acceder y con qué necesidad operacional.
• Con qué proveedores o entidades se comparte.
• Durante cuánto tiempo se mantiene y cómo se elimina.

2. Revisar la justificación y la información entregada

Una vez conocido el flujo, corresponde revisar la base que permite cada tratamiento y si la información entregada a las personas coincide con lo que la empresa hace en la práctica. Un aviso de privacidad genérico no corrige finalidades ambiguas, accesos innecesarios o proveedores sin obligaciones claras.

3. Ordenar responsables y proveedores

La protección de datos no puede quedar asignada de manera informal a una sola persona. Conviene definir quién responde solicitudes, quién autoriza nuevos usos, quién coordina incidentes y quién mantiene la evidencia. También deben revisarse los contratos con plataformas, procesadores, servicios de marketing, soporte y almacenamiento.

4. Preparar una ruta priorizada

El resultado del diagnóstico debería ser una lista de brechas con responsable, prioridad y próximo paso. Algunas exigirán decisiones jurídicas; otras, cambios técnicos, contractuales o de operación. Separarlas permite trabajar por etapas y comprobar qué se corrigió.

• Procesos y datos críticos identificados.
• Documentos existentes y documentos pendientes.
• Contratos con terceros que necesitan revisión.
• Canal y procedimiento para ejercer derechos.
• Protocolo de incidentes y preservación de evidencia.
• Responsables y calendario de implementación.