Columnas
Conocer antes de documentar
Mientras se debate cuánto durará la postergación y cuánto costarán las multas, la pregunta de fondo sigue sin respuesta: ¿sabe su organización qué datos personales tiene?
Por Alex Eduardo Haros Kaiser*
El Senado aprobó postergar hasta el 15 de octubre de 2027 la entrada en vigencia de la Ley N.° 21.719, y el proyecto está ahora en la Cámara. Mientras no se publique, rige el 1 de diciembre de 2026.
El debate se concentra en el plazo y las multas. Casi nadie habla de cómo se cumple. Un estudio de LemonTech y la Asociación Chilena de Ética y Compliance, con 127 organizaciones, halló que el 72 % no se siente preparado. Eso no es un problema de calendario: es de conocimiento.
Nadie cumple con lo que no conoce. Antes de redactar una política, toda organización debe responder tres preguntas.
Primero: ¿qué datos tenemos? Cuáles son, dónde están, quién los trata, para qué, a quién se entregan y por cuánto tiempo se conservan. En la mayoría de las empresas esa información está dispersa en planillas, correos, sistemas de remuneraciones y proveedores que nadie ha mapeado.
Segundo: ¿qué respondemos si mañana un cliente o un trabajador nos pide sus datos? La ley reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. ¿Quién recibe la solicitud? ¿Cómo verificamos la identidad? ¿Dónde buscamos? ¿Quién autoriza la respuesta? Si la respuesta es «depende de quién esté ese día», ahí está el problema.
Tercero: ¿cuáles son nuestros riesgos reales? Los datos de salud, las licencias médicas o los de menores no pesan igual que una base de contactos comerciales, ni el riesgo es el mismo en una clínica que en una pyme familiar.
Aquí la gestión de riesgos y el compliance dejan de ser conceptos de manual. La primera permite priorizar: no se puede ordenar todo a la vez. El segundo convierte obligaciones en responsabilidades con nombre, plazo y evidencia. Y ninguno funciona si las áreas que realmente tratan los datos —recursos humanos, comercial, operaciones, tecnología— no se hacen cargo de lo suyo.
Hablar de multas es hablar de lo que ocurre cuando algo falla. Hablar de cómo cumpliremos es hablar de cómo opera la organización. Lo segundo es más útil y mucho menos comentado.
Esto vale para todos, con proporcionalidad: una pyme necesita un inventario simple pero real, un responsable identificado y un procedimiento breve que haya probado al menos una vez. Una corporación necesitará más capas, pero parte de la misma pregunta.
Si la postergación se concreta, será un año para mirar hacia adentro: mapear, probar, corregir. Gastarlo en más papel sobre una realidad que nadie ha examinado sería desperdiciarlo.
No se cumple lo que no se conoce. Y no se conoce lo que nunca se ha mirado.
*Publicado por Alex Eduardo Haros Kaiser
Director General, Wert Strategy, Risk & Compliance SpA
Compliance | Protección de Datos | Auditoría Interna | Gestión de Riesgos
