Opinión
La gestión de datos personales en la función de Cumplimiento: de la buena práctica a la exigencia legal, por César Robledo O’Ryan
A menos de nueve meses de la entrada en vigencia de la Ley N° 21.719, las empresas enfrentan un nuevo desafío: integrar la protección de datos personales en los procesos de integridad y cumplimiento. La función de Cumplimiento, tradicionalmente enfocada en la confidencialidad de la información, deberá ahora gestionar el tratamiento de datos bajo un marco jurídico más exigente, incorporando estándares de responsabilidad proactiva, seguridad y control en ámbitos críticos como canales de denuncia, investigaciones internas y gestión de conflictos de interés.
César Robledo O’Ryan
Abogado, Licenciado en Ciencias Jurídicas y Sociales de la Universidad de Chile.
A menos de nueve meses de la entrada en vigencia de la Ley N° 21.719 de protección de datos personales, muchas empresas han concentrado sus esfuerzos en revisar los tratamientos de datos en sus áreas operativas, con especial énfasis en los departamentos de ventas, marketing, recursos humanos, atención a clientes y TI. Esta es una reacción natural: son áreas que manejan grandes volúmenes de información personal.
Sin embargo, en dicho proceso resulta imperativo no soslayar a un actor estratégico, cuya posición —en la línea de supervisión— le permite gestionar y cautelar información crítica dentro de la empresa: la función de Cumplimiento.
Tradicionalmente, la función de Cumplimiento —sea ejercida de forma unipersonal o departamental— ha articulado su gestión bajo un régimen de confidencialidad respecto a las materias que administra, especialmente en asuntos relativos a: canal de denuncias, investigaciones internas, conflictos de interés y debida diligencia.
Este enfoque se ha basado, fundamentalmente, en el principio de privacidad de la información y en protocolos corporativos sobre la materia que, si bien podían encontrar un asidero formal en la Ley N° 19.628 de protección a la vida privada, operaban más como una buena práctica ética que como un sistema de cumplimiento normativo exigible.
Con la Ley N° 21.719, mantener la confidencialidad del dato personal ya no basta: la función de Cumplimiento deberá ir más allá y gestionar esta información bajo la lógica de una obligación jurídica estructurada, asegurando una coherencia entre sus procesos de integridad y el exigente nuevo marco regulatorio de protección de datos personales.
Ante este escenario, la pregunta resulta obligatoria: ¿cómo enfrentar este desafío con éxito? A continuación, se presentan cinco ejes fundamentales para orientar este proceso.
- Reconocer a Cumplimiento como una función de tratamiento activo de datos
Resulta clave comprender que esta función no solo supervisa, sino que —a diario— procesa datos personales en el ejercicio de sus labores de control y monitoreo. Esto implica el tratamiento de datos de trabajadores, directivos y terceros, muchas veces en contextos críticos desde una perspectiva reputacional, ética o disciplinaria.
En este sentido, Cumplimiento debe contar con su propio registro y mapeo de actividades de tratamiento, asegurando que sus procesos internos cumplan con el estándar de responsabilidad proactiva que la nueva normativa exige a toda la organización.
- Pasar de la confidencialidad a la gestión estructurada de la información
Frente a las nuevas exigencias de la Ley N° 21.719, resulta insuficiente el mero compromiso ético de «mantener el secreto». Es necesario que la función de Cumplimiento estructure sus flujos de información bajo estándares de seguridad que permitan mitigar riesgos y responder ante eventuales fiscalizaciones de la autoridad.
Esto implica preguntarse, por ejemplo: ¿qué datos personales se recopilan?; ¿para qué finalidad específica?; ¿quién puede acceder a ellos?; y ¿por cuánto tiempo deben conservarse?
Una manera de ilustrar lo anterior son las declaraciones de conflictos de interés. En muchos casos, las organizaciones solicitan información, sobre: relaciones familiares, participaciones societarias, vínculos con proveedores o autoridades, entre otras.
Estas declaraciones involucran datos personales del trabajador y de terceros, lo que obliga a revisar aspectos como la finalidad del tratamiento, la proporcionalidad de la información solicitada y las reglas de acceso y conservación de estos registros. La nueva regulación obliga, por tanto, a ordenar estos procesos y establecer criterios claros sobre el tratamiento de la información recopilada.
- Reforzar el canal de denuncias como espacio crítico de protección de datos
El canal de denuncias es uno de los elementos esenciales de los Modelos de Prevención de Delitos bajo la Ley N° 20.393 de responsabilidad penal de las personas jurídicas y, al mismo tiempo, es uno de los espacios donde existe mayor concentración de información de alta reserva: testimonios, pruebas y datos de identidad que exigen el máximo estándar de protección.
La nueva regulación exige reforzar las medidas de protección de esta información, asegurando aspectos como: acceso restringido a la información, almacenamiento seguro de antecedentes, criterios claros de conservación y confidencialidad del denunciante.
Una gestión deficiente en este espacio no solo compromete la ética corporativa, sino que podría generar una vulnerabilidad legal directa frente a la autoridad de protección de datos.
- Revisar prácticas en investigaciones internas
Las investigaciones internas en materia penal no se encuentras reguladas en la legislación nacional, por tanto, cada empresa diseña sus procedimientos de investigación en base a reglas y principios extraídos de la normativa constitucional, penal, laboral y de normas de estandarización internacional.
En estos procesos es habitual recopilar información y declaración de personas (testigos, denunciante, denunciado); revisar y analizar documentos/registros; examinar videos y/o fotografías; entre otros. Todo ello puede implicar tratamientos intensivos de datos personales que deberán ajustarse a estándares de proporcionalidad, minimización y limitación temporal.
Considerando este escenario, la eficacia investigativa no es suficiente por sí sola. La empresa deberá autorregularse para que, en sus indagatorias, la obtención y el tratamiento de evidencias respeten los principios y normas previstos en la Ley N° 21.719.
- Integrar la protección de datos dentro de la cultura de integridad
Finalmente, es importante poner de manifiesto que la protección de datos personales no es solo una obligación legal, sino también una cuestión de coherencia institucional. Los Modelos de Prevención de Delitos —por lo general— promueven valores como integridad, transparencia y responsabilidad.
Desde tal perspectiva, el tratamiento responsable de la información personal debe formar parte de ese mismo estándar ético. En efecto, la función de Cumplimiento no solo debe adoptar estas prácticas, sino liderar su promoción como un pilar clave de la integridad corporativa.
César Robledo O’Ryan es abogado, Licenciado en Ciencias Jurídicas y Sociales de la Universidad de Chile. Máster en Compliance por la Universidad de Castilla-La Mancha (UCLM). Becario del Instituto de Derecho Penal Europeo e Internacional de la UCLM. Director de Compliance en Ovalle y Cía. Abogados. Asesor corporativo en diseño, implementación y monitoreo de programas de cumplimiento.
Temas
Te puede interesar
Disponible a contar del 28 de mayo
Poder Judicial estrena nuevo canal abierto a la comunidad para recibir denuncias por faltas disciplinarias, administrativas y en contra de la probidad
Opinión.
El silencioso delito de corrupción en los negocios, por César Robledo O’Ryan.
Opinión.
Desafíos y estrategias en compliance para las empresas en 2025, por César Robledo O’Ryan.
