Ley de Protección de Datos: el desafío que las pymes no pueden seguir postergando
¿Cuántos currículums recibe mensualmente una empresa por correo electrónico? ¿Cuántas planillas contienen nombres, teléfonos o correos de clientes? ¿Cuánta información de trabajadores, postulantes o contactos comerciales permanece almacenada en computadores, teléfonos o servicios en la nube?
Para muchas pequeñas y medianas empresas en Chile, estas son prácticas cotidianas que rara vez se observan desde la perspectiva de la protección de datos. Sin embargo, almacenar, utilizar, compartir o eliminar información asociada a una persona forma parte del tratamiento de datos personales y, desde diciembre, estará sujeto a un estándar regulatorio considerablemente más exigente.
El próximo 1 de diciembre de 2026 entrará en vigencia la Ley N.º 21.719, que moderniza el régimen chileno de protección de datos personales. Entre sus principales cambios está la creación de la Agencia de Protección de Datos Personales, una autoridad especializada con facultades de fiscalización y sanción. El nuevo sistema contempla multas que, en el caso de las infracciones gravísimas, pueden alcanzar las 20.000 UTM.
El desafío, sin embargo, no está únicamente en las sanciones. Existe todavía una percepción extendida de que la protección de datos es una preocupación reservada para grandes compañías, instituciones financieras o empresas tecnológicas. Para una pyme, una base de clientes almacenada en una planilla, una carpeta con antecedentes laborales o los currículums recibidos durante un proceso de selección pueden parecer asuntos exclusivamente administrativos.
No lo son.
El tamaño de una organización no hace irrelevantes los datos que administra. Una empresa pequeña también puede manejar información de clientes, trabajadores, postulantes o personas de contacto de sus proveedores. Por lo tanto, también necesita conocer qué información mantiene, por qué la conserva, quién puede acceder a ella y qué medidas ha adoptado para protegerla.
Es precisamente allí donde aparece una de las principales brechas para las pymes. Las grandes organizaciones suelen contar con áreas legales, de cumplimiento, tecnología y ciberseguridad. En empresas de menor tamaño, en cambio, es frecuente que la información se encuentre distribuida entre correos electrónicos, computadores, teléfonos de trabajadores, sistemas de gestión, carpetas compartidas e incluso documentación física, sin que exista necesariamente una visión completa de los datos almacenados.
En este contexto, una de las primeras preguntas que debería hacerse una pyme es bastante sencilla: ¿sabemos realmente qué datos personales tenemos, dónde están, para qué los utilizamos y quién puede acceder a ellos?
Si hoy la respuesta no es clara, probablemente allí existe una primera brecha que abordar.
Prepararse para la nueva legislación no debería comenzar necesariamente con una gran inversión tecnológica. El primer paso es mucho más básico: conocer la información que la organización ya tiene, identificar cómo la utiliza y detectar dónde existen brechas respecto de las nuevas exigencias.
Este diagnóstico permite además dimensionar el desafío de manera adecuada. No todas las empresas tratan la misma cantidad de información ni enfrentan los mismos riesgos. Por eso, la implementación de la nueva normativa debe considerar la realidad, tamaño y operación de cada organización, evitando soluciones estandarizadas que no necesariamente respondan a sus necesidades.
Anticiparse no significa solamente evitar eventuales sanciones. También implica ordenar procesos, establecer responsabilidades y generar mayor control sobre una información que, muchas veces, forma parte esencial de la operación diaria de la empresa.
La pregunta, entonces, ya no es si una pyme trata datos personales. La pregunta es si sabe qué datos tiene, cómo los utiliza y si está preparada para demostrar que los gestiona adecuadamente.
Con la entrada en vigencia de la nueva ley cada vez más cerca, identificar esas brechas y definir una hoja de ruta de cumplimiento es un buen punto de partida.
Gabriela González Iacoponi
Abogada de Auditeris
