Ley de Protección de Datos Personales: impacto técnico y organizacional
La adecuación requiere unir interpretación jurídica con cambios concretos de procesos y sistemas. ## Haga inventario del tratamiento Identifique categorías de datos, finalidades, sistemas, proveedores, copias e
La adecuación requiere unir interpretación jurídica con cambios concretos de procesos y sistemas.
Nota legislativa: posible postergación de la Ley 21.719
Al 9 de noviembre de 2026, la fecha legal de entrada en vigencia sigue siendo el 1 de diciembre de 2026. El Senado aprobó el 28 de octubre un proyecto (Boletín 18.623-07) que propone el 15 de octubre de 2027, pero sigue en trámite ante la Cámara de Diputadas y Diputados. No corresponde tratar esa postergación como efectiva hasta que se apruebe y publique. Consulte el expediente legislativo oficial.
La adecuación empieza con los flujos de datos
El primer paso no es redactar una política, sino saber qué datos personales recibe la organización, de dónde vienen, para qué se usan y dónde terminan. Un mismo dato puede aparecer en formularios, CRM, planillas exportadas, correos, respaldos y registros de soporte. Es necesario localizar responsables de cada tratamiento, proveedores involucrados y periodos de conservación. El inventario debe describir el flujo real, incluyendo intercambios con aplicaciones externas. Sin ese mapa, una empresa puede declarar controles que solo se aplican a su base principal mientras continúan existiendo copias sin supervisión.
Accesos, trazabilidad y retención
Los equipos técnicos deben convertir las decisiones legales y organizacionales en mecanismos verificables. Esto puede incluir autorización por rol, revisión de permisos, registros de acceso, procedimientos para atender solicitudes y eliminación controlada cuando corresponda. No todos los datos requieren exactamente la misma medida: la exposición, finalidad y riesgos orientan el diseño. Un registro de auditoría debería ser útil para investigar hechos sin convertirse en una nueva fuente innecesaria de datos sensibles. Las políticas de conservación también deben considerar respaldos y sistemas heredados, donde eliminar o rectificar información puede requerir procesos adicionales.
El papel de proveedores y plataformas
Una empresa puede utilizar servicios externos para correo, alojamiento, analítica, mensajería y soporte. Eso no significa que desaparezcan sus responsabilidades sobre los tratamientos bajo su control. Conviene revisar contratos, ubicación del procesamiento, reglas de acceso, mecanismos de notificación y medidas de seguridad razonables. Las integraciones mediante API deben limitar los datos compartidos a lo necesario y registrar fallas de sincronización. Antes de trasladar información a una nueva plataforma, evalúe si la finalidad está documentada y si existe un proceso para responder cuando el proveedor cambia condiciones o termina el servicio.
La gobernanza no es solo una tarea de TI
Legal y cumplimiento interpretan obligaciones; operaciones describen usos reales; recursos humanos y comercial identifican otras fuentes; TI implementa controles; dirección acepta prioridades y financia las mejoras. Si se entrega toda la responsabilidad a un administrador de bases de datos, aparecerán vacíos en procesos que dependen de personas y proveedores. Es recomendable establecer un comité o responsable de coordinación y un registro de decisiones. El equipo debe revisar versiones, vigencia y disposiciones transitorias de la normativa chilena en fuentes oficiales, sin deducir obligaciones específicas desde artículos de divulgación.
Plan de adecuación basado en evidencia
Un programa inicial puede comenzar por los sistemas de mayor exposición y los tratamientos más críticos. Cada brecha necesita propietario, fecha, medida propuesta y forma de prueba. Ejemplos de evidencia incluyen una matriz de permisos revisada, un formulario corregido, pruebas de atención de solicitudes y registros de eliminación cuando proceda. No basta marcar una casilla que diga que el procedimiento existe. Conviene comprobar que los usuarios efectivamente puedan realizarlo y que las excepciones estén resueltas. El seguimiento ejecutivo debe distinguir avances documentales, implementación técnica y funcionamiento operacional.
Errores frecuentes al modernizar sistemas
Durante una migración es sencillo copiar todas las tablas históricas al nuevo entorno sin validar necesidad, conservar exportaciones temporales sin plazo o exponer datos completos a ambientes de pruebas. Para reducir ese riesgo se requieren criterios de minimización, anonimización cuando corresponda, permisos separados y una política de borrado de temporales. También importa revisar logs, herramientas de analítica y respaldos. El objetivo es que la arquitectura respete las decisiones sobre datos desde el diseño. Este contenido es orientativo: para obligaciones y plazos concretos corresponde asesoría jurídica y verificación de fuentes oficiales vigentes.
Ejercicio práctico: seguir un dato desde el formulario
Elija un formulario utilizado habitualmente, como una solicitud de contacto. Identifique en qué aplicación se recibe el dato, qué empleados lo consultan, si se envía por correo, si llega a otra plataforma y dónde se respaldan sus registros. Luego compruebe cómo se atendería una solicitud relacionada con esa información y qué evidencia quedaría del procedimiento. Este recorrido suele descubrir exportaciones, accesos heredados y copias en ambientes de prueba que no figuran en una política general. La recomendación es registrar hallazgos con fecha y responsables, sin recopilar más datos personales de los necesarios durante el propio diagnóstico. El resultado debe revisarse junto al equipo legal para definir las medidas que realmente corresponden.
Lecturas y referencias
El objetivo no es sumar tecnología porque sí, sino comprender el problema, simplificar el camino y construir lo que genera valor.
Llevemos la idea a un plan de implementación.
Podemos revisar tu contexto, restricciones y el camino más corto para generar valor.