Ley 21.719: lo que los equipos de TI necesitan tener listo antes de diciembre de 2026

Durante años, la protección de datos personales en Chile fue, para la mayoría de los equipos de tecnología, un tema que resolvía el área legal con un documento de políticas y poco más. La Ley 19.628, vigente desde 1999, nunca exigió nada parecido a controles técnicos verificables: no había autoridad fiscalizadora, las sanciones eran mínimas y, en la práctica, bastaba con declarar buenas intenciones. Ese escenario cambia por completo con la Ley 21.719, que entra en plena vigencia el 1 de diciembre de 2026, y que traslada buena parte del peso del cumplimiento directamente a la infraestructura, los sistemas y los procesos que administran los equipos de TI.

A diferencia de su antecesora, esta ley no se conforma con políticas redactadas. La nueva Agencia de Protección de Datos Personales fiscaliza evidencia operativa: registros con fecha, inventarios de datos, logs de acceso, controles de seguridad documentados. Dicho de otra forma, lo que hasta ahora era un ejercicio de redacción legal se convierte en un proyecto de arquitectura de datos.

Inventario y trazabilidad: el punto de partida técnico

Lo primero que exige la ley, en la práctica, es algo que muchos equipos de TI llevan tiempo posponiendo: saber exactamente qué datos personales se están tratando, dónde residen, quién tiene acceso a ellos y con qué finalidad se procesan. Esto incluye no solo bases de datos de clientes, sino también información de trabajadores, proveedores, postulantes y usuarios de plataformas digitales, muchas veces dispersa entre sistemas de RR.HH., CRM, ERP, planillas locales y servicios en la nube contratados por distintas áreas sin coordinación central.

Construir ese inventario no es un ejercicio administrativo. Requiere mapear flujos de datos entre sistemas, identificar integraciones de terceros, revisar qué proveedores de infraestructura o SaaS procesan información en nombre de la organización, y dejar todo eso documentado de forma que pueda auditarse. Sin ese mapa, cualquier otro esfuerzo de cumplimiento se construye sobre una base incompleta.

Seguridad desde el diseño, no como parche

La ley incorpora el principio de protección desde el diseño y por defecto, tomado directamente del modelo europeo del GDPR. Para un equipo de TI, esto se traduce en decisiones muy concretas: minimizar los datos que se recopilan y almacenan, aplicar controles de acceso basados en roles, cifrar información sensible tanto en tránsito como en reposo, y establecer plazos de retención con procesos automáticos de eliminación cuando esos datos dejan de ser necesarios.

También implica revisar arquitecturas ya existentes con una mirada crítica. Muchos sistemas se diseñaron priorizando funcionalidad y velocidad de desarrollo, sin considerar controles de privacidad desde el inicio. Adecuarlos ahora puede significar rediseñar esquemas de bases de datos, segmentar entornos de producción y pruebas para evitar exponer datos reales en ambientes de testing, y reforzar la autenticación en los sistemas que concentran mayor volumen de información personal.

Notificación de brechas: un proceso que hay que poder ejecutar bajo presión

Uno de los cambios con mayor impacto operativo es la obligación de notificar vulneraciones de seguridad, tanto a la Agencia como a los titulares afectados, dentro de un plazo breve desde su detección. Esto exige algo que muchas organizaciones aún no tienen del todo maduro: capacidad real de monitoreo y detección temprana de incidentes.

No basta con tener un plan de respuesta a incidentes guardado en un documento. Se necesita monitoreo activo de accesos anómalos, alertas configuradas sobre sistemas que manejan datos personales, y un protocolo claro que defina quién evalúa la gravedad de un incidente, cómo se documenta la línea de tiempo del evento y cómo se determina si corresponde notificar. Los equipos que ya operan bajo marcos como ISO 27001 o que han implementado un SOC, propio o tercerizado, parten con una ventaja considerable en este punto.

Gestión de accesos y proveedores externos

La ley también pone el foco en los terceros que procesan datos por encargo de la organización: proveedores de hosting, plataformas de marketing, herramientas de analítica, servicios de soporte, entre otros. Desde TI, esto implica revisar qué accesos tienen esos proveedores, si esos accesos están limitados a lo estrictamente necesario, y si existen mecanismos para revocarlos de forma inmediata cuando termina una relación contractual.

Una práctica recomendable es implementar revisiones periódicas de accesos, especialmente en sistemas críticos, y llevar un registro actualizado de qué integraciones de terceros están activas. La gestión de identidades y accesos, un área que en muchas organizaciones sigue siendo poco estructurada, se vuelve aquí un componente central del cumplimiento.

Ejercicio de derechos de los titulares: automatizar lo que se pueda

La ley reconoce derechos ampliados para las personas sobre sus propios datos, entre ellos el acceso, la rectificación, la cancelación, la oposición y la portabilidad. Para TI, esto significa poder responder solicitudes de este tipo dentro de plazos definidos, lo que en organizaciones con múltiples sistemas desconectados puede convertirse en un proceso lento y propenso a errores si se hace de forma manual.

Vale la pena evaluar herramientas o desarrollos internos que permitan localizar, exportar o eliminar los datos de una persona específica a través de los distintos sistemas de la organización, en lugar de depender de búsquedas manuales cada vez que llega una solicitud.

Un proyecto de infraestructura, no solo de cumplimiento

Con el plazo de adecuación corriendo, la recomendación técnica más consistente es tratar esta ley como un proyecto de infraestructura con fecha de entrega, no como un trámite legal paralelo. Eso implica priorizar el inventario de datos, reforzar controles de seguridad y acceso, madurar los procesos de detección y respuesta ante incidentes, y ordenar la relación con proveedores externos. Las organizaciones que ya trabajan bajo estándares como el GDPR o marcos de seguridad reconocidos parten con buena parte del camino recorrido; el resto tendrá que construirlo entre ahora y diciembre de 2026.