A pocos meses de que la Ley N° 21.719 modifique de forma sustancial el marco regulatorio en Chile, especialistas advierten sobre la baja preparación cultural de las empresas y la urgencia de estructurar programas de cumplimiento efectivos.

La protección de datos personales en Chile está a punto de dar un salto regulatorio sin precedentes tras más de 25 años sin modificaciones de fondo. Con la promulgación de la Ley N° 21.719, el país busca alinearse con estándares internacionales como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Sin embargo, la brecha entre la exigencia legal y la preparación del ecosistema empresarial aún es preocupante.

En un nuevo episodio de Digital Bank Latam TV, conducido por Luis Medina, el abogado y especialista en compliance laboral y protección de datos, Gabriel Halpern (socio de AMH Legal), desmenuzó las implicancias, desafíos operacionales y vacíos de implementación que enfrenta esta nueva normativa en el país.

1. Tres pilares que transforman el ecosistema digital en Chile

Durante la entrevista, se destacaron tres transformaciones estructurales que introduce la nueva ley en comparación con el marco vigente desde 1999:

1. Creación de la Agencia de Protección de Datos Personales: Un organismo técnico independiente dotado de facultades fiscalizadoras, normativas y sancionadoras.
2. Nuevos derechos para los ciudadanos: Consagración y profundización de los derechos de acceso, rectificación, cancelación, oposición y la portabilidad de datos entre empresas.
3. Sanciones severas: Las multas por incumplimiento o tratamiento indebido de datos podrán alcanzar hasta 100 millones de pesos o el 4% de los ingresos brutos anuales de una compañía.

“Culturalmente no existe conciencia de qué es un dato personal ni de la importancia de protegerlo. Hoy la gente entrega su RUT o clave única por defecto. La ley cambia drásticamente las reglas del juego, pero el cambio cultural apenas comienza”, señaló Gabriel Halpern.

2. El estado actual de las empresas: ¿Están preparadas para la exigencia?

Según el especialista, la adopción de medidas de cumplimiento en el sector privado es marcadamente desigual y depende en gran medida de si los datos forman parte del núcleo del negocio:

• Banca, Retail y HealthTech: Empresas tecnológicas, instituciones financieras y clínicas ya muestran avances significativos, dado que una brecha o filtración compromete directamente la continuidad operacional y la confianza del cliente.
• Sectores tradicionales y PyMEs: En industrias como la construcción, la ingeniería o la logística, el tratamiento de datos suele ser visto como un aspecto secundario, lo que deja a un alto porcentaje de estas organizaciones en “fase cero” de preparación.

Halpern enfatizó que un programa de cumplimiento (compliance) no es solo un trámite administrativo, sino un seguro o atenuante crítico ante posibles contingencias o fiscalizaciones de la Agencia.

3. Retrasos estatales y señales ambiguas

Un punto crítico abordado en la entrevista fue la demora por parte del propio Estado en la implementación de la infraestructura regulatoria. La normativa fijaba el 1 de junio como fecha límite para la designación y ratificación de los consejeros que integrarán la nueva Agencia de Protección de Datos en el Senado, hito que sufrió postergaciones por falta de acuerdo político.

Esta inacción estatal genera incerteza jurídica, puesto que la Agencia no solo fiscaliza, sino que debe emitir las guías técnicas clave (sobre videovigilancia, relaciones laborales, datos médicos, entre otras) que orientarán el debido cumplimiento del mercado.

4. Las tres etapas para estructurar un Programa de Cumplimiento Efectivo

Para las empresas que deben iniciar su adaptación normativa, Halpern detalló las tres fases metodológicas indispensables para construir un modelo de prevención de infracciones sólido:

1. Diagnóstico y Mapeo:
   • Creación del Registro de Actividades de Tratamiento (RAT) para identificar qué datos se recaban, para qué fin, dónde se almacenan y por cuánto tiempo.
   • Elaboración de una Matriz de Riesgo de Datos para evaluar vulnerabilidades de disponibilidad, integridad y confidencialidad.
2. Implementación Operativa:
   • Redacción de políticas de privacidad, videovigilancia y gestión de datos sensibles.
   • Firma de acuerdos de encargo de tratamiento (Data Protection Agreements – DPA) con proveedores, auditores y consultores externos.
   • Actualización de contratos laborales y reglamentos internos.
3. Cierre, Capacitación y Monitoreo:
   • Designación de un Delegado de Protección de Datos (DPD / DPO) interno o externo.
   • Programas continuos de capacitación al personal y revisiones anuales del modelo para garantizar que sea un sistema dinámico y auditable.

El valor del dato desde la perspectiva del ciudadano

La conversación concluyó resaltando el cambio de paradigma para las personas comunes. La normativa no solo busca multar a las empresas, sino devolver al ciudadano la titularidad sobre sus datos personales, biométricos y de salud.

“En la era digital, la privacidad y el correcto tratamiento de la información no son un costo superfluo, sino un pilar de la confianza comercial y los derechos fundamentales de las personas”, concluyó Halpern.

Ve el capitulo completo Aquí

Fuente:EbankingNews