La Ley 21.719 crea una institucionalidad especializada para la protección de datos personales en Chile. Esto modifica el contexto en que las empresas deben gestionar su información: los derechos dejan de depender únicamente de reclamos informales y el cumplimiento puede ser revisado con criterios, procedimientos y consecuencias definidos por la normativa.
La respuesta responsable no es esperar a conocer la primera sanción. Es construir controles antes de que una solicitud o un incidente revele la brecha.
El rol de la Agencia
La Agencia de Protección de Datos Personales tiene como objetivo velar por la protección efectiva de los derechos y fiscalizar el cumplimiento de la ley. El material docente la presenta como una autoridad con funciones de orientación, supervisión, procedimientos de tutela y potestades sancionatorias.
Para las empresas, esto implica prepararse para interactuar con una autoridad capaz de pedir antecedentes, revisar tratamientos y evaluar si las medidas declaradas existen y funcionan.
El camino de una solicitud no atendida
El primer nivel debería ser la propia empresa. La persona ejerce sus derechos ante el responsable y la organización debe contar con mecanismos sencillos, disponibles y trazables. Si la solicitud es rechazada o no se responde oportunamente, la persona puede recurrir a la Agencia bajo el procedimiento que corresponda.
La empresa debe poder demostrar qué recibió, qué buscó, qué evaluó, qué respondió y por qué. Un correo aislado sin registro ni coordinación con sistemas no es un proceso robusto.
Infracción, corrección y sanción cumplen funciones distintas
Una medida de tutela busca restituir o hacer efectivo un derecho, por ejemplo, corregir información o responder una solicitud. Un procedimiento sancionatorio busca determinar una infracción y aplicar la consecuencia que corresponda. La misma conducta puede tener ambas dimensiones.
Por eso la organización debe distinguir dos preguntas:
- ¿Cómo corregimos el problema que afecta a la persona?
- ¿Cómo prevenimos que vuelva a ocurrir y demostramos diligencia?
Resolver sólo el caso individual no elimina la necesidad de investigar la causa y mejorar el control.
Qué aumenta la exposición de una empresa
Aunque la evaluación concreta depende de la ley y de los hechos, ciertos patrones elevan el riesgo de incumplimiento:
- no saber qué datos se tratan;
- usar bases sin fuente o finalidad clara;
- pedir más información de la necesaria;
- mantener datos indefinidamente;
- no controlar a proveedores;
- ignorar oposiciones o solicitudes de supresión;
- tener accesos excesivos o cuentas compartidas;
- no registrar incidentes ni medidas correctivas;
- declarar controles que no funcionan;
- dejar sin responsable la protección de datos.
La falta de evidencia puede agravar la dificultad de explicar una decisión, incluso cuando existan buenas intenciones.
La importancia del modelo de prevención
El material de la Academia Judicial relaciona el nuevo sistema con prevención, gestión de riesgos y responsabilidad demostrable. Un modelo útil debe ser proporcional al tamaño y complejidad de la empresa, pero contener responsabilidades claras, políticas, procedimientos, capacitación, controles y seguimiento.
No se trata de crear burocracia. Se trata de hacer visible la forma en que la empresa decide sobre información personal y de detectar brechas antes de que generen daño.
Cómo prepararse para una revisión
Una carpeta ejecutiva de preparación debería permitir encontrar rápidamente:
- mapa e inventario de tratamientos;
- responsables y encargados identificados;
- bases de legitimidad por finalidad;
- avisos, políticas y versiones;
- contratos y controles de proveedores;
- procedimiento de derechos;
- plan de incidentes;
- evaluaciones de riesgo o impacto;
- revisiones de seguridad y accesos;
- plan de acciones pendientes.
El valor está en que los documentos reflejen la operación. Una carpeta prolija que contradice los sistemas reales puede generar más preguntas que respuestas.
Conclusión
La nueva Agencia y el régimen de sanciones hacen visible una realidad que ya existía: la protección de datos es una responsabilidad de gestión. Prepararse consiste en conocer la situación actual, priorizar brechas y construir evidencia de que la empresa actúa con diligencia.
El primer paso puede ser una revisión ejecutiva. Solicita un diagnóstico de preparación para la Ley 21.719.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
