Por Mauricio Moreno*
La nueva Ley N° 21.719, que regula la protección y el tratamiento de los datos personales, comenzará a regir el 1 de diciembre de 2026 y modificará la forma en que las empresas deben gestionarlos. Durante años, muchas organizaciones han actuado después de que el problema ya ocurrió: corrigen un envío equivocado, cambian contraseñas tras una filtración o revisan sus contratos cuando reciben un reclamo.
La principal innovación de la ley consiste en la denominada “protección de datos desde el diseño”, que desplaza el enfoque desde una perspectiva reactiva hacia otra preventiva. A continuación, propongo tres preguntas esenciales para que las empresas se preparen para estos nuevos desafíos:
¿Qué datos manejo y cómo los trato? Para adoptar la protección desde el diseño, las empresas deben contar con un panorama completo de sus operaciones de tratamiento de datos personales. Esto exige identificar qué datos recopilan, con qué finalidad los almacenan, dónde se conservan y quiénes acceden a ellos. A partir de ese mapa, es posible incorporar una estructura de datos sólida y defendible.
¿Qué desafíos plantea el tamaño de la empresa? Todas las empresas deberán cumplir con la nueva ley; sin embargo, sus exigencias plantean desafíos distintos según su tamaño. Así, por ejemplo, una pyme puede comenzar designando a un responsable interno, elaborando un inventario sencillo, delimitando permisos de acceso, fijando plazos de eliminación y estableciendo un procedimiento para responder ante incidentes. Una gran empresa, en cambio, tendrá que coordinar filiales, sistemas heredados y proveedores de gran escala.
Las empresas de menor tamaño, contarán durante los primeros 12 meses de vigencia, con una regla transitoria: cuando corresponda imponer una sanción, la Agencia podrá optar por una amonestación escrita. Esto no constituye una inmunidad frente a las multas, pues la norma utiliza el verbo “podrá” y, además, la amonestación quedará registrada. Por eso, esta flexibilidad debe entenderse como una oportunidad para adecuarse, no como una autorización para postergar el cumplimiento.
¿Qué enseña la experiencia comparada? Chile se suma a la tendencia internacional de modernizar las leyes de protección de datos. La experiencia comparada ofrece lecciones valiosas sobre las medidas que permiten a las empresas afrontar estos desafíos con mejores resultados.
Así, por ejemplo, en enero de 2026 la autoridad francesa de protección de datos impuso multas que sumaron 42 millones de euros a dos operadores de telecomunicaciones, después de que un atacante accediera a datos asociados a 24 millones de contratos. La investigación detectó deficiencias en la arquitectura de seguridad de ambas empresas, entre ellas, una autenticación remota insuficiente, controles ineficaces frente a comportamientos anómalos y la conservación injustificada de datos de antiguos clientes.
Por otro lado, hay casos en que las medidas de seguridad, la cooperación con la autoridad y la reacción oportuna permiten mitigar significativamente las consecuencias de una brecha. En 2019, la autoridad británica propuso a Marriott una multa de £99,2 millones por una brecha de seguridad que expuso 339 millones de registros. La sanción finalmente quedó en £18,4 millones, tras considerar, entre otros factores, las inversiones realizadas en seguridad, la cooperación de la empresa con la investigación y las medidas adoptadas para mitigar los efectos del incidente.
El desafío consiste en pasar de una protección declarativa a un control efectivo. Las empresas mejor preparadas no serán necesariamente las que dispongan de mayor presupuesto, sino aquellas capaces de responder y demostrar qué datos tratan, con qué finalidad, dónde los conservan, quiénes acceden a ellos y con quién los comparten. Tomarse en serio la protección de datos comienza antes del primer incidente.
Mauricio Moreno
Abogado
Acuña-Silva Asociados. Rechtsanwälte
www.acuna-silva.cl
