Ley 21.719: antes de proteger los datos, hay que entender dónde están
- 28 jul
- 4 min de lectura
Durante los últimos meses se ha hablado mucho de la nueva Ley 21.719 sobre Protección de Datos Personales en Chile.
Y es lógico. La normativa eleva el estándar para el tratamiento de datos, fortalece los derechos de las personas y crea una nueva autoridad encargada de fiscalizar su cumplimiento. Su entrada en vigencia está prevista para el 1 de diciembre de 2026.
Sin embargo, mientras más conversamos con organizaciones sobre cómo prepararse para la Ley 21.719, más evidente se vuelve que el verdadero desafío no comienza en la ley.
Comienza mucho antes.
Comienza con una pregunta aparentemente sencilla:
¿Conocemos realmente nuestro ecosistema digital y los datos que circulan a través de él?
El cumplimiento no comienza redactando una política
Una política de privacidad es importante. Los contratos, consentimientos y procedimientos también lo son.
Pero ninguno de esos documentos puede reflejar correctamente la operación si la empresa no sabe:
Qué datos personales recopila.
Para qué utiliza esos datos.
En qué plataformas, documentos o bases están almacenados.
Qué áreas y personas acceden a ellos.
Qué proveedores participan en su tratamiento.
Durante cuánto tiempo se conservan.
Qué ocurre cuando dejan de ser necesarios.
Qué medidas existen para protegerlos.
Cómo respondería ante una solicitud o un incidente.
Por eso, prepararse para la Ley 21.719 no consiste únicamente en producir textos legales. Requiere comprender cómo funciona realmente la organización.
No se puede regular correctamente lo que no se ha identificado. Tampoco es posible proteger lo que no se sabe que existe.
¿Qué es el ecosistema digital de una empresa?
El ecosistema digital es el conjunto de activos, plataformas, personas, proveedores, accesos, integraciones y datos que permiten que una organización opere.
Puede incluir, entre otros elementos:
Sitios web y formularios.
Tiendas en línea.
CRM y plataformas comerciales.
Sistemas de facturación.
Aplicaciones internas.
Correos electrónicos.
Plataformas de marketing.
Servicios de almacenamiento en la nube.
Bases de datos.
Herramientas de analítica.
Sistemas de recursos humanos.
Respaldos.
Proveedores tecnológicos.
Cuentas, usuarios y credenciales.
El problema es que este ecosistema suele crecer de manera fragmentada.
Un área contrata una plataforma. Otra crea una base de datos. Marketing incorpora una nueva herramienta. Un proveedor mantiene el sitio web. Un antiguo colaborador conserva accesos. Algunos antecedentes se almacenan en la nube y otros continúan circulando por correo o planillas.
Cada solución puede cumplir correctamente su función individual, pero la organización pierde progresivamente la visión del conjunto.
Y cuando no existe una visión integrada, también se pierde el control sobre los datos personales.
Los datos no viven en una política de privacidad
Los datos personales circulan por toda la operación.
Una solicitud de cotización puede comenzar en un formulario web, llegar por correo, copiarse en una planilla, registrarse en un CRM, compartirse con un proveedor y permanecer durante años en un respaldo.
El dato es el mismo, pero atraviesa múltiples activos, responsables y decisiones.
Por eso, para comprender un tratamiento de datos no basta con identificar que la empresa utiliza nombres, correos electrónicos, RUT o información sensible. Es necesario relacionar cada dato con su contexto:
¿De quién se obtiene?
¿Con qué finalidad?
¿Mediante qué canal?
¿Con qué fundamento se trata?
¿Dónde se almacena?
¿Quién puede acceder?
¿Con quién se comparte?
¿Cuánto tiempo se conserva?
¿Qué evidencia demuestra lo declarado?
Esta relación entre datos, finalidades, sistemas, personas y proveedores es la que permite construir una gestión real de la privacidad.
Del diagnóstico a una gestión continua
El ecosistema digital no permanece estático.
Se incorporan nuevas plataformas, cambian los proveedores, se crean campañas, aparecen formularios, ingresan colaboradores y se modifican los procesos.
Por eso, el cumplimiento no puede quedar contenido en una carpeta que se actualiza una vez al año. Necesita convertirse en una capacidad permanente de la organización.
Debe existir una forma de mantener conectados:
Activos digitales.
Tratamientos de datos.
Sistemas y proveedores.
Responsables.
Accesos.
Riesgos y brechas.
Planes de acción.
Solicitudes de titulares.
Incidentes.
Evidencias.
Revisiones e historial.
La empresa no solo debe cumplir. También debe poder demostrar cómo administra sus obligaciones en el tiempo.
Después de más de 15 años diseñando, desarrollando y operando plataformas digitales, en Goose hemos comprobado que muchas organizaciones no tienen un problema de falta de herramientas.
Tienen un problema de visibilidad.
No existe claridad suficiente sobre qué activos poseen, quién los administra, qué datos manejan, quién tiene acceso o qué proveedores forman parte de la operación.
La nueva Ley 21.719 vuelve urgente enfrentar esta realidad, pero la necesidad de recuperar el control sobre el ecosistema digital va mucho más allá del cumplimiento normativo.
Permite reducir riesgos, ordenar responsabilidades, tomar mejores decisiones y construir una operación digital más segura y resiliente.
Para abordar este desafío, en Goose desarrollamos un modelo que parte con un diagnóstico para entender la situación real y detectar brechas, continúa con la implementación de las mejoras necesarias y permite, mediante nuestra plataforma, gestionarlas en el tiempo, manteniendo evidencia y trazabilidad.
Así, el cumplimiento no queda solo en políticas y documentos.
¿Estaría hoy tu organización preparada para demostrar qué activos digitales posee, qué datos personales trata, quién es responsable y cómo se gestionan?
Si la respuesta no es clara, el primer paso no es proteger.
Es entender.
