A partir del 1 de diciembre de 2026 entrará en plena vigencia la nueva Ley de Protección de Datos Personales, que eleva el estándar de protección y acerca al país a referentes internacionales como el Reglamento General de Protección de Datos (GDPR) europeo.
Más que un nuevo requisito legal, la normativa plantea un cambio cultural para las organizaciones asociado a que los datos personales dejan de entenderse como un recurso disponible sin mayores restricciones y pasan a estar sujetos a mayores obligaciones de protección, trazabilidad y responsabilidad.
“El cambio es profundo: los datos ya no son un activo de libre disposición y se consolida que cada persona es dueña de su información. En ese sentido, también se crea la Agencia de Protección de Datos Personales, un organismo autónomo, especializado en fiscalizar, investigar y aplicar sanciones”, explica André Goujon, CEO de Lockbits.
El desafío será especialmente relevante para las empresas que aún mantienen información en silos, dispersa entre sistemas, dispositivos y plataformas. La nueva regulación contempla además un alcance extraterritorial y establece obligaciones frente a incidentes de seguridad, entre ellas, la notificación de brechas con un plazo no mayor a 72 horas.
Las consecuencias de incumplir tampoco son menores. Las infracciones más graves pueden alcanzar multas de hasta 20.000 UTM, mientras que en casos de reincidencia estas podrían llegar hasta el 4% de los ingresos anuales globales de la empresa.
Desde el sector tecnológico, ACTI ha planteado que la protección de datos debe abordarse como una responsabilidad permanente y no solamente como una respuesta ante una filtración. El gremio advierte que la digitalización de sectores claves para la economía chilena, tales como servicios financieros, salud, comercio y el Estado, ha incrementado el volumen de información personal que circula, haciendo necesario fortalecer la gobernanza, la seguridad y las capacidades técnicas de las organizaciones.
En esa misma línea, ACTI ha incorporado la adaptación a la nueva normativa entre sus prioridades y creó un comité para monitorear su implementación y apoyar a sus empresas asociadas frente a las nuevas exigencias.
Pero cumplir con la ley no debería reducirse a contar con políticas o documentos internos. Las organizaciones deben demostrar que disponen de mecanismos efectivos para conocer dónde están sus datos, quién puede acceder a ellos y qué ocurre cuando esa información es utilizada o transferida. Entre las medidas que deberán cobrar mayor relevancia están los inventarios de datos, los controles de acceso, el cifrado y, en determinados casos, la designación de un delegado de Protección de Datos, así lo recalcan desde Lockbits.
En este escenario cobran mayor relevancia los sistemas DLP (Data Loss Prevention), capaces de monitorear el movimiento de información sensible y bloquear transferencias no autorizadas. Sin embargo, es importante precisar que la ley no establece la obligación de implementar específicamente un DLP. Su valor está en que puede formar parte de las medidas técnicas y organizativas que permiten prevenir fugas y generar trazabilidad frente a eventuales incidentes.
“El sistema permite al administrador visualizar actividades como el envío de archivos a correos personales o nubes, cambios de nombre o copias a unidades de red, y establecer políticas que bloquean automáticamente intentos de transferencia de archivos sensibles a ubicaciones no autorizadas”, agrega André Goujon.
El verdadero desafío, por tanto, no está únicamente en adquirir tecnología. La protección de datos requiere involucrar a las áreas de tecnología, legal, recursos humanos y cumplimiento, además de establecer responsabilidades claras sobre el uso de la información.
“Si bien existe incertidumbre y falta de claridad entre las empresas, las cuales están buscando asesoría legal principalmente, la demanda por este tipo de soluciones demuestra que las organizaciones están avanzando para cumplir con la nueva Ley”, concluye Goujon.
Con la entrada en vigor de la nueva normativa cada vez más cerca, la preocupación para las empresas chilenas ya no es si los datos seguirán circulando (eso ya es un hecho), sino si el país está realmente dispuesto a asumir la protección de los datos personales como una responsabilidad permanente para el desarrollo digital o si seguirá reaccionando sólo cuando la confianza ya se ha perdido, como lo recalcaron desde ACTI.
