Ley 21.719: lo que TI tiene que tener listo antes del 1 de diciembre

Respuesta corta: la Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026. Además de políticas y contratos, exige que los sistemas puedan demostrar qué datos personales tiene la empresa, con qué autorización los usa y cómo responde cuando una persona pide verlos, corregirlos o eliminarlos. Eso es trabajo de TI, no solo del área legal.

Por qué esto también es un tema de TI

La ley lleva a Chile a un estándar parecido al europeo (GDPR) y crea una Agencia de Protección de Datos Personales que fiscaliza y sanciona. Una política bien escrita no alcanza si los sistemas no la cumplen: cuando llega una fiscalización, lo que se pide es evidencia.

En la práctica, casi todas las obligaciones terminan en preguntas técnicas:

• ¿En qué bases de datos, repositorios y correos hay datos personales?
• ¿Dónde queda registrado que el cliente dio su consentimiento, y cómo se revoca?
• Si alguien pide eliminar sus datos, ¿podemos encontrarlos en todos los sistemas?
• Si hay una filtración, ¿cómo la detectamos y la reportamos a tiempo?

Lo que tiene que estar listo

1. Saber dónde están los datos. Es el punto de partida y el que más se subestima. Los datos personales no viven solo en el CRM: también están en el ERP, en planillas, en correos y en repositorios documentales con años de historia.

2. Consentimientos con evidencia. El consentimiento tiene que ser explícito, libre, previo e informado. Se acaba el consentimiento tácito. Cada autorización debe quedar registrada y cada sistema que usa el dato debe saber si existe.

3. Un registro de actividades (RAT) vivo. Qué datos se tratan, con qué base legal, a quién se ceden y por cuánto tiempo. Si se mantiene en una planilla, queda desactualizado al mes siguiente.

4. Un canal para los derechos ARCO-P. Acceso, rectificación, cancelación, oposición y portabilidad. Las personas deben poder pedirlos de forma gratuita y expedita, y la empresa debe responder a tiempo y dejar constancia.

5. Seguridad y protocolo de brechas. Medidas de seguridad desde el diseño y un procedimiento claro para reportar filtraciones a la Agencia.

Por dónde partir

Con poco tiempo, lo más útil es un diagnóstico que cruce lo legal con lo técnico: qué datos hay, dónde están, qué riesgo implican y qué hay que cambiar primero. Desde ahí se prioriza, igual que en cualquier proyecto de automatización: primero lo que más expone a la empresa.

Por eso trabajamos esta ley en alianza con Legal Prisma. Ellos lideran la parte jurídica (políticas, contratos, modelo de prevención y el rol del Delegado de Protección de Datos) y nosotros la técnica: descubrir los datos, implementar la plataforma de consentimientos, integrarla con los sistemas y automatizar las solicitudes.

Una oportunidad, no solo una obligación

Bien implementada, la ley ordena algo que muchas empresas tenían pendiente: saber qué datos tienen y para qué los usan. Eso reduce riesgos, pero también mejora la relación con los clientes, porque la confianza en cómo se cuidan sus datos pasa a ser parte del servicio.