La ley puede llegar tarde al dato

Una empresa puede tener miles o incluso millones de datos personales almacenados sin saber con precisión cuántos son, dónde están, quién puede acceder a ellos o por qué algunos continúan guardados. Pueden ser antecedentes de clientes antiguos, trabajadores que ya no pertenecen a la organización, formularios completados hace años, registros de contacto, bases comerciales, respaldos o información que fue pasando de un sistema a otro sin que nadie se detuviera a preguntar si todavía era necesario conservarla. Para que aparezca el problema ni siquiera hace falta un ataque informático; a veces basta con mirar con atención lo que la organización ya tiene.

Esta situación adquirirá una dimensión distinta a partir del 1 de diciembre de 2026, cuando entre en vigencia la Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. La norma sustituye en lo fundamental el marco que durante años estuvo radicado en la Ley N° 19.628 y establece nuevas exigencias para quienes recopilan, utilizan, almacenan o transfieren información de las personas. La discusión, sin embargo, no debería comenzar el día en que la ley entre en vigencia: las organizaciones ya tienen esos datos, y las decisiones que determinaron cómo fueron recopilados, utilizados y almacenados se tomaron mucho antes.

Durante años, acumular información fue considerado una ventaja. Una base de datos más grande permitía conocer mejor a los clientes, desarrollar campañas, segmentar mercados, automatizar procesos o construir nuevos modelos de negocio, y la pregunta sobre si realmente era necesario conservar cada antecedente quedó relegada frente a una idea sencilla: quizás algún día puedan servir. El nuevo escenario regulatorio obliga a revisar esa lógica, porque conservar información supone asumir una responsabilidad sobre ella.

La Ley N° 21.719 establece que el tratamiento de datos personales debe respetar los derechos y libertades de las personas y vincula expresamente esta regulación con el artículo 19 N° 4 de la Constitución, que reconoce el derecho a la protección de los datos personales. El dato que la organización administra es, a la vez, expresión de un derecho fundamental cuyo tratamiento debe sujetarse a condiciones determinadas.

Esto cambia la pregunta que deberían hacerse muchas organizaciones. Antes de discutir si cuentan con una política de privacidad o si sus sistemas tienen mecanismos de seguridad, deberían poder responder algo más básico: qué datos tienen, para qué los conservan, quién puede acceder a ellos y qué ocurriría si mañana una parte de esa información quedara expuesta.

Parece una pregunta sencilla y rara vez lo es. En organizaciones grandes la información se encuentra distribuida entre áreas, plataformas, aplicaciones, proveedores y respaldos; una parte reside en servidores propios y otra en servicios externos; existe información duplicada, registros históricos y bases creadas para una finalidad que ya cambió. Mientras más compleja es la organización, más difícil resulta tener una fotografía completa de la información que administra.

La nueva legislación introduce precisamente una lógica de responsabilidad que obliga a mirar ese problema. El responsable del tratamiento deberá ser capaz de acreditar que sus actuaciones se ajustan a la normativa y deberá adoptar medidas de seguridad adecuadas para proteger los datos frente a tratamientos no autorizados o ilícitos, así como frente a su pérdida, filtración, daño o destrucción.

Aquí la ciberseguridad adquiere una importancia que excede con mucho el evitar un ransomware. Proteger los datos supone decidir qué información debe permanecer almacenada, quién necesita acceder a ella, durante cuánto tiempo debe conservarse y qué ocurre cuando intervienen terceros en su tratamiento. Una organización puede invertir millones en sistemas de protección y mantener, al mismo tiempo, una cantidad de información que nadie necesita y a la que demasiadas personas acceden: la tecnología funcionando correctamente junto a una gobernanza del dato deficiente.

Esta cuestión conecta la Ley N° 21.719 con la Ley N° 21.663, Marco de Ciberseguridad. Ambas regulaciones responden a problemas diferentes y se encuentran en un mismo punto, la gestión adecuada de los riesgos digitales: la primera pone el foco en la protección y tratamiento de los datos personales; la segunda establece un marco institucional y obligaciones de ciberseguridad para determinados sujetos y servicios esenciales.

Un mismo incidente puede activar obligaciones desde ambos ámbitos y convertir una falla informática en un problema regulatorio, contractual, patrimonial e incluso penal. La Ley N° 21.459, sobre delitos informáticos, ya había mostrado que el derecho chileno dejó atrás la idea del ataque digital como asunto puramente tecnológico, y la Ley N° 21.595 incorporó determinados delitos informáticos al régimen de delitos económicos y modificó la responsabilidad penal de las personas jurídicas, sumando la protección de los sistemas y de la información a la conversación sobre prevención y responsabilidad corporativa.

El desafío para las empresas incluye prepararse para el día en que alguien vulnere sus sistemas y, con igual importancia, demostrar que existía una gestión razonable del riesgo antes de que ese día llegara. Una organización puede tener un documento que establezca cómo proteger los datos, contratar una consultora que revise sus procesos o exhibir una certificación; si nadie sabe qué información existe, por qué se conserva, quién puede utilizarla o qué sucede cuando un proveedor externo la procesa, el cumplimiento se queda en el papel.

La próxima entrada en vigencia de la Ley N° 21.719 debería ser, en este sentido, la oportunidad para ordenar una deuda que muchas organizaciones vienen acumulando desde hace años. Más que preparar documentos antes de diciembre o adaptar los textos legales de una página web, corresponde revisar decisiones tomadas cuando el valor de los datos crecía mucho más rápido que las obligaciones destinadas a protegerlos: identificar información, ordenar accesos, evaluar proveedores, revisar períodos de conservación y establecer qué debe ocurrir cuando un dato deja de ser necesario.

La discusión alcanza también a los directorios. La protección de datos no puede permanecer encerrada en el departamento jurídico ni en el área de tecnología: quienes toman las decisiones estratégicas deberían saber qué información constituye un activo relevante, qué riesgos existen, qué proveedores acceden a ella y qué consecuencias tendría una vulneración. Sin necesidad de convertirse en especialistas técnicos, les corresponde comprender que administrar información personal supone administrar un riesgo jurídico y reputacional.

Existe además una dimensión humana que suele quedar escondida detrás de las bases de datos. Cada registro corresponde a una persona. Un nombre, un teléfono, una dirección, una información financiera o un antecedente laboral puede parecer insignificante dentro de una planilla con cientos de miles de filas, hasta que esa información se utiliza para identificar, perfilar, contactar o perjudicar a alguien. La magnitud de una base de datos no reduce el valor de cada dato que contiene.

Por eso importa que la discusión sobre la Ley N° 21.719 no quede reducida a las multas ni a los costos de implementación. El cambio regulatorio tiene una razón más profunda: reconocer que la información personal no puede circular indefinidamente sin reglas claras sobre quién puede tratarla, para qué finalidad y bajo qué condiciones. La protección de datos es la consecuencia jurídica de reconocer que las personas mantienen derechos sobre la información que las identifica.

La ley llega después de muchos años de acumulación de datos, y ese es uno de los principales desafíos de su implementación. Las organizaciones tendrán que revisar aquello que hicieron antes de diciembre y ser capaces de explicar qué datos recopilaron, con qué propósito, quién los utilizó, cuánto tiempo los conservaron y qué medidas adoptaron para protegerlos. La preparación real para la Ley N° 21.719 comienza, por lo mismo, mirando ahora aquello que durante años nadie se preocupó de mirar: una regulación puede empezar a regir en una fecha determinada, pero los datos ya estaban ahí, y la empresa que descubre demasiado tarde qué información tenía, cuánto tiempo la conservó y quién podía acceder a ella se encontrará con que el problema es anterior a la ley que ahora lo alcanza.

Juan Pablo López M.

Director Ciberlegal