Ley 21.719 y preparación de las empresas en Chile

Una planilla de clientes enviada por correo puede decir más sobre la protección de datos de una empresa que su política de privacidad. ¿Quién la recibió? ¿Sigue guardada en un computador personal? ¿Era necesario compartir todos sus campos? La Ley 21.719 obliga a mirar esas decisiones cotidianas con mayor atención.

Para una gerencia, el trabajo empieza por entender cómo circula la información y quién responde por ella. Comprar una herramienta antes de resolver esas preguntas puede dejar intacto el problema.

Qué cambia con la Ley 21.719

La norma modifica la Ley 19.628 y crea la Agencia de Protección de Datos Personales. Refuerza los derechos de las personas e incorpora mayores exigencias para quienes tratan sus datos. La seguridad tecnológica deberá acompañarse de decisiones justificadas sobre el uso de la información.

Al 28 de octubre de 2026, la entrada en vigencia sigue fijada para el 1 de diciembre de 2026, según la Biblioteca del Congreso Nacional. Existe un proyecto en tramitación para postergarla a diciembre de 2027. Una propuesta legislativa todavía no cambia la fecha legal.

El primer trabajo es seguir el recorrido del dato

Conviene escoger un proceso concreto, como la contratación de personal o la gestión comercial, y seguirlo de principio a fin. Qué información se pide, para qué se utiliza, dónde queda almacenada, quién la recibe y cuándo corresponde eliminarla. Ese recorrido suele ser más útil que comenzar con un inventario de servidores.

Pensemos en una empresa que recibe currículums por correo, los descarga y los comparte por mensajería. Aunque el sistema de recursos humanos esté protegido, quedan copias fuera de su control. Ordenar ese circuito exige acordar un canal, limitar accesos y definir plazos de conservación con fundamento legal.

La revisión también debe incluir proveedores: plataformas cloud, remuneraciones y soporte externo. Hay que conocer qué datos manejan, bajo qué instrucciones y qué ocurre con la información cuando termina el servicio. Externalizar una tarea exige conservar capacidad de supervisión.

Controles que se puedan comprobar

La ley contempla medidas de seguridad adecuadas al riesgo. En la práctica, una empresa puede empezar revisando permisos y cuentas que ya no deberían seguir activas. La autenticación multifactor, el cifrado y los respaldos probados son controles a evaluar según cada entorno; no constituyen una receta universal de cumplimiento.

La pregunta decisiva es si funcionan. Tener respaldo sirve de poco si nadie ha probado una recuperación. Una política de accesos pierde valor cuando un trabajador cambia de cargo y conserva privilegios anteriores. Registrar revisiones, corregir hallazgos y asignar responsables permite convertir buenas intenciones en una rutina verificable.

La respuesta a incidentes también se prepara

Cuando aparece una filtración, improvisar la coordinación consume tiempo. Conviene definir quién contiene el incidente, quién investiga el alcance y quién evalúa las comunicaciones legales. La norma contempla reportar a la Agencia sin dilaciones indebidas cuando exista riesgo razonable para los derechos y libertades de los titulares; también informar a los afectados en los casos previstos.

Un ejercicio de simulación ayuda a detectar vacíos antes de una emergencia. Basta ensayar qué haría la empresa si una cuenta comprometida permitiera descargar su base de clientes. Si nadie sabe quién decide o cómo obtener los registros, ya existe una tarea pendiente.

Una decisión que necesita respaldo de gerencia

Prepararse requiere presupuesto, prioridades y coordinación entre TI, el área legal y quienes usan los datos. Conviene partir por un proceso relevante, documentar sus brechas y asignar fechas de corrección. Ese avance concreto permite dimensionar el siguiente paso y evita que la protección de datos quede relegada a una política que nadie aplica.

En TIBOX podemos ayudarte a revisar los controles tecnológicos de tu empresa. Conoce nuestros servicios de ciberseguridad para empresas y conversemos sobre las brechas que conviene abordar primero.

Preguntas frecuentes

¿Cuándo entra en vigencia la Ley 21.719?

Al 28 de octubre de 2026, la fecha legal es el 1 de diciembre de 2026. La postergación a 2027 continúa en tramitación.

¿La ley también alcanza a las pymes?

Sí, si tratan datos personales dentro de su ámbito de aplicación. El tamaño de la empresa no supone una exención general.

¿Contratar ciberseguridad garantiza el cumplimiento?

No. Apoya la protección tecnológica, pero también se requieren bases legales, procedimientos y gestión de los derechos de las personas.