Por Raúl Arrieta Cortés*
La postergación de la entrada en vigencia de la Ley N° 21.719, ley de protección de datos personales, parece hoy necesaria. Pero conviene decirlo completo: es una postergación que no debimos necesitar.
La ley fue publicada en diciembre de 2024 y contempló casi dos años para su implementación. Debía entrar en vigencia el 1 de diciembre de 2026 y el proyecto propone trasladar esa fecha al 1 de diciembre de 2027. No puede decirse, por tanto, que empresas, organismos públicos o el propio Estado hayan sido sorprendidos por un plazo particularmente breve.
Sin embargo, la implementación ha sido más lenta de lo necesario y bastante más compleja de lo que se estimó. Se subestimó la profundidad del cambio. Durante demasiado tiempo se entendió la adecuación como un ejercicio principalmente jurídico: modificar políticas de privacidad, contratos, consentimientos y procedimientos. La experiencia ha demostrado que se trata de algo bastante distinto: cambiar la forma en que las organizaciones gobiernan sus datos.
Antes de determinar una base de licitud hay que saber qué tratamiento se realiza. Antes de responder un derecho hay que saber dónde están los datos. Antes de regular a un proveedor hay que entender qué información recibe y qué hace con ella. Antes de establecer períodos de conservación hay que saber qué información existe y por qué se mantiene.
No podemos proteger adecuadamente datos que no sabemos que tenemos, justificar tratamientos que no sabemos que realizamos ni responder derechos respecto de información que no somos capaces de encontrar.
La adecuación exige descubrir, inventariar, entender, calificar, evaluar riesgos, corregir, documentar y poder demostrar. Y eso requiere derecho, tecnología, seguridad, procesos, contratos, presupuesto, gobierno y cultura organizacional. Vale para las empresas y exactamente igual para el Estado, que además de construir la institucionalidad necesaria para fiscalizar la ley es uno de los mayores tratantes de datos personales del país.
Por eso la postergación es necesaria. Pero que sea necesaria constituye en sí misma una mala noticia. Tuvimos tiempo, no lo aprovechamos suficientemente y el Estado, el gran garante, no hizo lo que tenía que hacer.
Esto es especialmente evidente respecto de la institucionalidad. A pocos meses de la fecha originalmente prevista todavía no contamos con la Agencia que deberá interpretar, orientar y fiscalizar el nuevo régimen. Una autoridad que, entre muchas otras funciones, deberá dictar instrucciones generales, establecer estándares de cumplimiento y seguridad, orientar evaluaciones de impacto, intervenir en materia de transferencias internacionales y resolver procedimientos de tutela y sancionatorios. El proyecto intenta corregirlo anticipando su instalación y aumentando de tres a cinco los integrantes de su Consejo Directivo.
Pero postergar la Ley N° 21.719 no significa que durante 2027 no exista regulación. Postergar no es suspender.
Mientras la reforma no entre en vigencia seguirá aplicándose el régimen actual de la Ley N° 19.628. Se mantienen obligaciones, derechos, competencias y mecanismos de tutela. No habrá un espacio sin ley. Lo que habrá será otro año bajo una legislación que precisamente decidimos reemplazar.
Y junto con las competencias que se perpetúan, también se perpetúan sus vacíos.
Durante otro año tendremos que enfrentar problemas de inteligencia artificial, biometría, elaboración de perfiles, ecosistemas digitales, decisiones automatizadas y grandes flujos de información con un régimen concebido para una realidad tecnológica sustancialmente distinta.
La postergación tampoco necesariamente reduce la incertidumbre. Puede, en algunas materias, acentuarla. Empresas y organismos públicos seguirán adoptando decisiones sobre nuevos sistemas, proveedores, inteligencia artificial, seguridad, conservación y utilización de información mientras esperan criterios que deberá desarrollar una institucionalidad todavía en formación.
Eso no significa aplicar anticipadamente la Ley N° 21.719. Pero tampoco parece razonable diseñar en 2027 un nuevo tratamiento de datos ignorando un estándar legal aprobado y publicado desde 2024.
Hay además algo que una disposición transitoria no puede postergar: las expectativas de las personas.
La ley puede postergarse. Los ciudadanos probablemente no.
Las personas son crecientemente conscientes del valor de sus datos y de los riesgos asociados a su utilización. La nueva ley desarrolla derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Postergar su plena exigibilidad no hará desaparecer esa demanda. Incluso puede ampliar durante otro año la distancia entre lo que las personas esperan y las herramientas institucionales disponibles para responderles.
Por eso el peor mensaje posible sería interpretar la postergación como un año para no hacer nada.
Debe ser exactamente lo contrario. El Estado debe instalar la Agencia y avanzar en las definiciones regulatorias pendientes. Los organismos públicos y las empresas deben completar sus procesos de adecuación y construir capacidades reales para gobernar datos. El propio proyecto señala que el período adicional debe permitir una implementación “gradual, coordinada y sistematizada” y resguardar la certeza jurídica.
El 1 de diciembre de 2027 no puede ser la fecha para empezar a cumplir. Debe ser la fecha en que organizaciones que llevan meses operando bajo nuevas estructuras, procedimientos y capacidades pasan a estar plenamente sometidas al nuevo régimen.
La postergación parece necesaria e inevitable, pero llegar a necesitarla después de casi dos años revela que algo no hicimos bien. Parece que vamos a tener ahora una segunda oportunidad.
Hay que aprovecharla. Porque si en diciembre de 2027 volvemos a discutir que faltó tiempo, ya no podremos decir que se subestimó la complejidad.
La primera habrá sido una oportunidad desperdiciada. La segunda sería, simplemente, una farra.
*Por Raúl Arrieta Cortés
GA-Abogados
