- Por José Lagos, Docente UEjecutivos Facultad de Economía y Negocios Universidad de Chile.
La eventual postergación de la entrada en vigencia de la Ley 21.719, que regula la protección y el tratamiento de los datos personales, hasta diciembre de 2027 puede ser interpretada de dos maneras: como una pausa o como una oportunidad. Para empresas y organismos públicos, la diferencia entre ambas lecturas será decisiva. El verdadero valor de un plazo adicional no está en ganar tiempo, sino en usar mejor el tiempo.
La nueva regulación de protección de datos personales exige mucho más que actualizar políticas, cláusulas o documentos. Implica avanzar hacia una lógica de responsabilidad demostrable: las organizaciones deberán ser capaces de acreditar cómo obtienen, utilizan, protegen, conservan y eliminan los datos personales bajo su responsabilidad. Ese cambio requiere capacidades que no se construyen de un día para otro.
Un período adicional permitiría realizar inventarios de datos y actividades de tratamiento, identificar sistemas y proveedores involucrados, revisar bases de licitud, contratos y períodos de conservación, y definir responsabilidades internas claras. También abre espacio para fortalecer la respuesta frente a incidentes. No basta con tener un procedimiento escrito: las organizaciones necesitan saber quién actúa, cómo se escala un evento, qué información debe reunirse y cómo se coordinan áreas como tecnología, ciberseguridad, legal, comunicaciones y alta administración.
Otra oportunidad relevante es incorporar la privacidad desde el diseño. Eso significa considerar la protección de datos desde el inicio de un nuevo producto, servicio, plataforma o proyecto de inteligencia artificial, y no solamente cuando la iniciativa ya está implementada. El eventual plazo adicional también puede utilizarse para algo menos visible, pero igualmente importante: desarrollar cultura organizacional. Marketing, recursos humanos, procurement, tecnología y áreas comerciales toman decisiones que involucran datos personales todos los días. Capacitar a esas áreas para reconocer riesgos, formular preguntas y escalar decisiones puede ser tan relevante como cualquier documento jurídico.
Por eso, si finalmente se aprueba la postergación, el peor uso posible de ese período sería detener los programas de adecuación y retomarlos pocos meses antes de la nueva fecha.
La mejor estrategia sería exactamente la contraria: aprovechar el tiempo para probar procesos, corregir errores y convertir obligaciones regulatorias en capacidades permanentes.
La Ley 21.719 puede marcar un cambio importante en la forma en que las organizaciones chilenas administran la información. Pero ese cambio no ocurrirá por el solo hecho de que exista una nueva regulación. Dependerá de lo que las organizaciones hagan antes de que comience a exigirse plenamente.