Lo que termina en diciembre y lo que recién empieza

Por: Daniel S. Acevedo Sánchez | Linkedin | Email*

El 1 de diciembre entra en plena vigencia la Ley 21.719, que reemplaza a la Ley 19.628 de 1999 y somete el tratamiento de datos personales a un régimen con capacidad real de sanción. La Agencia de Protección de Datos Personales podrá investigar de oficio, suspender tratamientos por hasta treinta días y aplicar multas que alcanzan las 20.000 UTM. Las áreas legales chilenas llevan meses trabajando contra esa fecha y lo están haciendo como si se tratara de un solo proyecto con una sola entrega. Dentro del mismo plazo conviven dos trabajos de forma distinta y tratarlos como uno es la decisión de gestión más cara que puede tomarse en estos meses.

El primero es una puesta al día. Levantar el registro de actividades de tratamiento supone recorrer la organización preguntando qué datos existen, dónde están alojados, con qué finalidad se recogieron y bajo qué base de licitud se conservan. Aparecen entonces las bases heredadas que nadie administra, las planillas que un área armó por su cuenta y los proveedores que reciben información sin claridad sobre qué hacen con ella. A eso se suma remediar contratos e incorporar cláusulas que antes nadie exigía. Es una carga intensa y transversal, con una característica decisiva: termina.

El segundo empieza cuando el primero acaba. Desde el 1 de diciembre, una brecha activa un plazo de notificación de setenta y dos horas que corre igual si ocurre un viernes por la noche o en pleno febrero. Cada titular puede ejercer derechos de acceso, rectificación, cancelación, oposición y portabilidad, con plazos propios de respuesta. Cada proyecto que implique riesgo exigirá su evaluación de impacto antes de salir a producción. Y el registro levantado en noviembre deja de describir la realidad en pocos meses si nadie lo mantiene.

Las dos cargas están conectadas. La calidad del trabajo transitorio determina el costo del permanente. Un inventario bien hecho, con responsables por sistema y criterios documentados, convierte una solicitud de acceso en una consulta de quince minutos. Uno armado a las apuradas convierte esa misma solicitud en una investigación interna de varios días, repetida cada vez que llegue otra. La compañía que solo busca llegar a diciembre paga dos veces, primero el apuro y después la operación cara que el apuro dejó montada.

Piden además cosas opuestas. La primera necesita mucha capacidad durante un período acotado. La segunda necesita poca capacidad de manera permanente y disponible en cualquier momento. Una gerencia que contrata dotación fija dimensionada para el levantamiento se encontrará en 2027 con un equipo diseñado para un trabajo que ya terminó. Otra que resuelve todo con apoyo temporal contratado hasta noviembre descubrirá el 2 de diciembre que la primera brecha llega cuando ya nadie está mirando.

Vista así, la fecha mide algo distinto de lo que aparenta. Las gerencias jurídicas se construyeron para una operación de régimen, con consultas del negocio, contratos recurrentes y un flujo previsible. La presión regulatoria dejó de comportarse de esa manera y llega en oleadas que se anuncian con meses de anticipación y golpean todas juntas. Un área que oscila entre el desborde y la subutilización enfrenta un problema de arquitectura antes que uno de dotación.

El 1 de diciembre pasará y la mayoría de las compañías llegará con algo. Lo que quede instalado el 2 de diciembre dirá más sobre cómo se administró la gerencia legal que cualquier multa que la Agencia imponga en sus primeros meses. La organización que separó las dos cargas tendrá el inventario hecho y una función viva capaz de responder en plazo. La que trató todo como un proyecto único tendrá una carpeta bien armada y descubrirá con la primera solicitud que llegue que este cumplimiento se parece menos a una entrega y más a una operación que hay que sostener.

*Por Daniel S. Acevedo Sánchez | Linkedin | Email

CEO de Bredia. Legaltech & Taxtech.