La eventual postergación de la entrada en vigencia de la Ley 21.719 abre una ventana adicional para que las empresas chilenas ordenen la forma en que capturan, almacenan, usan y eliminan datos personales. La Comisión de Constitución de la Cámara aprobó en general el proyecto que propone trasladar la vigencia al 15 de octubre de 2027. Sin embargo, la iniciativa todavía debe completar su tramitación legislativa, por lo que no corresponde interpretar este escenario como una pausa para dejar la preparación pendiente.
Un plazo en discusión, no una eliminación de las exigencias
El proyecto busca extender la implementación del nuevo régimen de protección de datos, cuya entrada en vigencia estaba fijada para el 1 de diciembre de 2026. Entre las razones discutidas aparece la falta de preparación de organizaciones obligadas y los retrasos en la instalación de la institucionalidad asociada a la Agencia de Protección de Datos.
Para los equipos comerciales, de marketing, servicio al cliente y tecnología, el punto central es simple: si el aplazamiento se aprueba definitivamente, habrá más tiempo para implementar controles; no menos necesidad de hacerlo. La ley cambia las expectativas sobre responsabilidad, trazabilidad y seguridad en el tratamiento de información de clientes, prospectos, colaboradores y proveedores.
También conviene considerar que una empresa puede enfrentar riesgos antes de la plena vigencia del nuevo marco si mantiene prácticas poco transparentes, bases de contactos sin respaldo suficiente o procesos que dificultan responder solicitudes de las personas. La confianza no depende solo de la fecha en que una obligación sea exigible: se construye con experiencias claras y consistentes.
Qué procesos deberían revisar las empresas desde ahora
El primer paso es elaborar un inventario útil de datos. No basta con saber que existen planillas, formularios o plataformas conectadas. Es necesario identificar qué datos se recopilan, de dónde provienen, para qué se usan, quién puede acceder a ellos, cuánto tiempo se conservan y con qué proveedores se comparten.
Este levantamiento suele revelar problemas operativos frecuentes: registros duplicados, campos con información sensible sin necesidad de negocio, listas antiguas sin evidencia de autorización, accesos demasiado amplios y automatizaciones que siguen activas aunque su objetivo original ya no exista.
Luego, cada organización debería definir una matriz de finalidades. Por ejemplo, una dirección de correo puede utilizarse para responder una cotización, enviar información solicitada, ejecutar un contrato o comunicar campañas. Esas finalidades no siempre son equivalentes. Separarlas ayuda a diseñar mensajes más claros, administrar preferencias y evitar que un dato recolectado para una conversación comercial termine usándose de forma incompatible con la expectativa de la persona.
Consentimiento, preferencias y trazabilidad comercial
Las áreas de crecimiento necesitan revisar especialmente sus mecanismos de captura de contactos. Formularios web, eventos, descargas de contenidos, derivaciones comerciales, mensajería y campañas de reactivación deben permitir explicar de manera comprensible qué ocurrirá con la información entregada.
La trazabilidad es clave. Una empresa debiera poder responder preguntas básicas sin depender de revisiones manuales extensas: ¿cuándo ingresó este contacto?, ¿por qué canal?, ¿qué información recibió?, ¿qué preferencia declaró?, ¿se solicitó dejar de recibir comunicaciones?, ¿qué sistemas recibieron sus datos? Cuando estas respuestas no están disponibles, la operación comercial se vuelve más lenta y el riesgo aumenta.
Conviene habilitar procesos simples para actualizar preferencias, corregir datos y gestionar solicitudes. La experiencia debe funcionar tanto para una persona que completa un formulario como para quien escribe por un canal de atención o responde una campaña. Tener un procedimiento documentado y responsables definidos evita que las solicitudes queden dispersas entre ventas, soporte y tecnología.
La preparación debe incluir a proveedores e inteligencia artificial
La revisión no puede limitarse a sistemas internos. Muchas operaciones dependen de servicios externos para almacenamiento, analítica, mensajería, publicidad digital, firma electrónica, atención automatizada o procesamiento de documentos. Por ello, es recomendable mapear qué proveedores intervienen en cada flujo y verificar contratos, medidas de seguridad, permisos de acceso y mecanismos de eliminación o devolución de información.
La adopción de inteligencia artificial requiere una capa adicional de control. Antes de conectar bases de clientes a asistentes o automatizaciones, las empresas deberían definir qué información está autorizada para usarse, qué datos deben excluirse, quién valida las respuestas y cómo se registran las decisiones relevantes. La utilidad de una herramienta no reemplaza la obligación de aplicar criterios de minimización, seguridad y supervisión humana.
Convertir el plazo adicional en una ventaja operativa
La mejor respuesta frente a la discusión legislativa es trabajar por etapas. Durante las primeras semanas, una empresa puede completar su inventario, priorizar flujos críticos y cerrar accesos innecesarios. Después puede ordenar bases de datos, actualizar textos de captura y establecer una gestión centralizada de preferencias. Finalmente, puede probar procedimientos ante solicitudes, incidentes y auditorías internas.
Esperar la aprobación final para comenzar implica concentrar tareas complejas en poco tiempo. En cambio, avanzar ahora permite mejorar la calidad de los datos, reducir fricción entre equipos y fortalecer la confianza de clientes. El nuevo plazo, si se confirma, debe entenderse como una oportunidad para llegar mejor preparados, no como una razón para postergar decisiones necesarias.
