Protección de datos: por qué la nueva ley exige mirar toda la cadena

Columna publicada originalmente en El Heraldo, El Diario del Maule, edición impresa del miércoles 9 de septiembre de 2026.  

Durante años pensamos la protección de datos personales como una responsabilidad que terminaba en las cuatro paredes de la empresa que los recolectaba. Un banco cuidaba los datos de sus clientes, un retail los de sus compradores, un municipio los de sus vecinos. Esa lógica ya no aplica. Hoy un mismo dato personal puede pasar por un proveedor de nube, un sistema de soporte externalizado, una plataforma de analítica y un centro de monitoreo, antes de volver a la organización que lo originó. La pregunta relevante ya no es solo "¿quién es dueño de este dato?", sino "¿por cuántas manos pasó, y con qué estándar fue tratado en cada una de ellas?".

Qué cambia con la Ley N° 21.719

La Ley N° 21.719, que establece el nuevo marco chileno de protección de datos personales, responde justamente a ese cambio de escenario. Crea la Agencia de Protección de Datos Personales, la primera entidad chilena especializada en fiscalizar y sancionar el mal uso de datos personales, eleva las exigencias para acreditar un tratamiento adecuado e incorpora el interés legítimo como base para el uso de datos en ciertas circunstancias, siempre sujeto a una evaluación de los derechos de sus titulares. También instaura un Modelo de Prevención de Infracciones, que da a la gestión preventiva un peso mucho mayor dentro de las organizaciones.

La protección se sostiene en cada eslabón

Lo interesante de esta norma es que reconoce, de forma implícita, algo que quienes trabajamos en privacidad ya sabíamos: la protección de datos no se sostiene en un solo punto de la cadena. Se sostiene en cada eslabón. Una empresa puede tener políticas de datos impecables, pero si delega procesos críticos en proveedores que no están al mismo nivel de exigencia, esa protección es más bien una declaración de buenas intenciones.

De obligación legal a infraestructura de confianza

Esto obliga a un cambio de mirada. La privacidad deja de ser un reducto legal que se revisa una vez al año, y empieza a operar como infraestructura de confianza, presente en el diseño de cada servicio, cada contrato y cada sistema —propio o ajeno— que administra datos personales de terceros. No es una medida cosmética, sino una condición para que la tecnología siga siendo viable como modelo de negocio. Para las compañías tecnológicas, esto tiene una dimensión adicional: cuando nuestros clientes confían en nosotros sus procesos y sistemas, también nos confían parte de la relación que mantienen con las personas cuyos datos administran. Por eso, la privacidad no puede entenderse únicamente como una obligación regulatoria, sino también como un componente de la confianza con el que se construyen relaciones tecnológicas de largo plazo.

No basta con verificar que la empresa cumpla hacia adentro; es necesario asegurar que cada dato que administramos en nombre de nuestros clientes reciba el mismo estándar, sin importar en qué sistema o proceso se encuentre.

Un piso común para toda la industria

La ley 21.719 pone un piso común para toda la industria. Más allá de cumplir la ley desde el día que entre en vigencia, el verdadero desafío es construir, desde ahora, una cultura donde cada organización que administra datos personales, sea como responsable o como un tercero en la cadena, asuma que la protección de datos exige responsabilidad a lo largo de toda la cadena, y que la nueva normativa eleva las exigencias de responsabilidad para todos los actores que intervienen, de acuerdo al rol que cada uno desempeña en ella.

Paola Hermosilla Estay, Data Protection Officer de SONDA.