Cuatro expositores revisaron qué tienen que dejar resuelto las empresas antes de diciembre, desde la designación del delegado hasta las transferencias al extranjero, y qué sigue en pausa mientras no se nombra el consejo directivo del nuevo organismo.

La Ley de Protección de Datos Personales se publicó en diciembre de 2024 con dos años de vacancia legal, un plazo pensado para que Chile alcanzara a instalar el organismo encargado de aplicarla. De esos dos años quedan tres meses. La Agencia de Protección de Datos Personales todavía no tiene consejo directivo. La propuesta para integrarlo obtuvo en mayo 19 votos de los 33 que exigen los dos tercios del Senado. Y de las once regulaciones que debían quedar dictadas antes de que la ley empiece a regir, hay una.

La Cámara Chilena Norteamericana de Comercio, AmCham Chile, a través de su Mesa de Regulaciones Digitales, llevó a cabo un conversatorio para revisar en qué estado llega la Ley 21.719 al 1 de diciembre de 2026, la fecha que el texto legal fija para su entrada en vigencia y que hasta ahora nadie ha movido. Expusieron Leonardo Soto Ferrada, abogado, exdiputado e impulsor de la ley; Danielle Zaror Miralles, investigadora del Centro de Estudios en Derecho, Tecnología y Sociedad de la Universidad de Chile; Pablo Palazzi, abogado del estudio argentino Allende & Brea; y Carolina Olavarría Hurtado, gerente de Protección de Datos de Bci. La apertura estuvo a cargo de Fernanda Soza, Gerente General de AmCham Chile, y la ronda de preguntas fue moderada por Macarena Gatica, chair del Comité de Tecnología, Innovación y Data de la Cámara.

Soza fijó de entrada la posición del gremio, que se mantiene sin cambios desde la tramitación del proyecto. "Contar con una ley de protección de datos personales es necesario y positivo para Chile, porque da garantías a las personas y entrega el marco de confianza que requiere una economía digital que crece muy por sobre el resto de los sectores", señaló. Sobre la postergación que hoy se discute, la Gerente General puso una condición: "De optar por una prórroga, esta debe tener un plazo acotado y claro, de manera de no poner en riesgo la certeza jurídica que las empresas necesitan para seguir invirtiendo en su cumplimiento".

Once regulaciones a la espera

Soto integró la comisión mixta que zanjó las diferencias entre la Cámara de Diputados y Diputadas y el Senado sobre el texto del proyecto, y figura entre los nombres propuestos para el consejo directivo que el Senado todavía no despacha. Su diagnóstico empezó por la conducción ausente: "El despegue de esta nueva ley, de este nuevo avión de la protección de datos personales en Chile, lamentablemente se ha quedado sin pilotos".

El Comité de Implementación, la instancia técnica que durante 2025 revisó qué normativa debía estar dictada antes de que la ley empezara a regir, identificó once regulaciones críticas y prioritarias. Según Soto, de esas once salió una sola, las cláusulas contractuales modelo para transferencias internacionales, que el Ministerio de Economía publicó el 19 de diciembre de 2025. Las diez restantes esperan a que exista quien las dicte. Ese vacío tiene un efecto concreto sobre las empresas que llevan meses armando sus programas de cumplimiento sin saber contra qué estándar serán medidas. "Estamos en mora directa de cumplir con un conjunto de instrumentos, guías e instrucciones generales que la industria necesita para poder autorregularse", afirmó el abogado, y descartó que el calendario alcance: "A tres meses es imposible que se puedan conseguir los estándares que exige esta ley para poder aclarar el camino que deben seguir todos en su implementación".

La ley previó cierta gradualidad. Las empresas de menor tamaño, las que facturan hasta 100.000 UF, el umbral de la Ley 20.416, cuentan con un año desde la entrada en vigencia durante el cual las infracciones se resuelven con amonestación. El resto del mercado queda sujeto al régimen sancionatorio completo desde el primer día.

Un delegado que no puede ser un cargo de papel

La novedad organizacional más tangible de la ley es la figura del Delegado de Protección de Datos. Zaror explicó su mecánica: el programa de cumplimiento del artículo 49 es voluntario, pero está normado, y en el momento en que una empresa decide implementar un modelo de prevención de infracciones, la designación del delegado deja de ser opcional. Debe hacerla la máxima autoridad de la compañía y debe venir con presupuesto y atribuciones reales. La investigadora describió las condiciones mínimas del cargo: "No es un cargo de papel, no es un anexo en el contrato de trabajo, no es un check que se hace nombrando a alguien que nos cae bien, sino que tiene que ser una figura al interior de la organización que cuente con los medios y facultades indispensables para su ejercicio".

El diseño chileno se apartó del europeo en un punto que importa para quien tenga que ocupar el cargo. Zaror lo describió así: "En el caso de Chile es parte de la estructura, juega en el equipo de la compañía; en la Unión Europea se transforma en un verdadero antagonista dentro de la organización". Esa cercanía con el negocio obliga a definir con qué cargos el delegado no puede convivir, una tarea que las empresas tienen que resolver antes de diciembre. El CISO, a cargo de la seguridad de la información, y el Chief Data Officer, responsable de explotar comercialmente los datos, deciden fines y medios del tratamiento, lo que choca de frente con la función supervisora del delegado. Con Compliance y con la fiscalía interna de la compañía el conflicto se evalúa caso a caso.

La ley chilena recoge además los componentes de lo que el reglamento europeo llama responsabilidad proactiva, aunque no use ese nombre. Se traduce en evaluar el impacto de un tratamiento antes de ejecutarlo y dejar constancia documental de esa evaluación. También en incorporar la privacidad al diseño de cada sistema, desde su concepción. Zaror advirtió sobre la tentación de partir por el papel: "El modelo de prevención no es el inicio de algo, sino que debería ser el resultado de una serie de trámites, actuaciones y decisiones que toma la organización".

Hay un desafío operativo que la ausencia de agencia agrava. Un mismo incidente de seguridad puede gatillar reportes simultáneos ante la Agencia Nacional de Ciberseguridad, ante la Comisión para el Mercado Financiero y ante la propia Agencia de Protección de Datos, cada una con su canal y su plazo. Sin criterio unificado, las empresas tendrán que estandarizar por su cuenta un protocolo de respuesta capaz de cumplir con las tres a la vez.

Datos que cruzan la frontera

Palazzi llegó con 25 años de práctica en la materia en Argentina y con una advertencia que apunta al centro de la membresía de la Cámara, compuesta en buena parte por filiales de compañías estadounidenses y por empresas chilenas con operaciones fuera del país: "Una ley que no contemple las transferencias internacionales es una ley bastante manca".

La ley chilena habilita cuatro caminos para mover datos fuera del país: la declaración de que el país de destino tiene un nivel adecuado de protección, las cláusulas contractuales tipo, las normas corporativas vinculantes entre empresas de un mismo grupo y las autorizaciones que la agencia puede otorgar caso a caso. Las cláusulas ya publicadas siguen el modelo de la Red Iberoamericana de Protección de Datos, que agrupa a las autoridades del sector en la región y cuyo texto rige en otros cinco países.

Su exposición aportó además un elemento que en Chile casi no se ha discutido. Argentina incorporó el reconocimiento de Estados Unidos como país adecuado dentro de su acuerdo comercial bilateral, una vía de adecuación regulatoria que hasta ahora no había pasado por los tratados de comercio. Palazzi comparó la velocidad de las dos vías: "En 25 años Europa logró apenas tres países adecuados en la región; en cambio, Estados Unidos, en tres meses, logró cuatro países adecuados a través de acuerdos comerciales".

La experiencia argentina aporta un segundo aviso, esta vez sobre litigiosidad. El derecho de acceso empezó a usarse allá como herramienta procesal, en paralelo a juicios laborales o de consumo, contra empresas que no tienen un protocolo interno para responderlo dentro de plazo. Y el volumen cambió de escala: "Empezó a pasar también con pedidos automatizados hechos con IA: llegan pedidos masivos que uno nota que están redactados con inteligencia artificial, y hay que contestarlos y tener un mecanismo de defensa". Con todo, su lectura del sector privado es benigna. "Hoy en día no encuentro empresa que no quiera cumplir; es una obligación más", dijo.

Tres años dentro de un banco

Bci fue la única compañía del panel con un modelo ya en régimen, y su gerente de Protección de Datos expuso decisiones que otras empresas todavía tienen pendientes. La primera fue dónde ubicar la función. Olavarría contó que nació dentro del área de Gobierno de Datos y que la sacaron de ahí, porque mantenerla en ese lugar equivalía a que la misma área que genera y usa los datos vigilara su propio cumplimiento. Hoy depende de la Gerencia de Riesgo, en la segunda línea de defensa, la que supervisa y fija criterios sin ejecutar los procesos que revisa.

La segunda decisión fue repartir el trabajo por toda la organización. Bci instaló una red de Data Champions repartida por prácticamente todas las áreas del banco, encargada de aplicar las medidas correctivas y de mantener actualizado el registro de actividades de tratamiento, más delegados en cada una de sus doce filiales en Chile y el extranjero. "En todo el banco no había área que se librara de nosotros", resumió.

Después de tres años, su conclusión apunta a la costumbre interna de las empresas. "Hasta ahora, las empresas sienten que son dueñas de los datos, y la verdad es que esto cambia radicalmente esa visión: los datos son de los titulares", planteó. Ese cambio de titularidad ya está golpeando modelos de negocio. Cuando Bci pidió a sus proveedores de bases de datos que acreditaran con qué base de licitud las habían obtenido, la respuesta se repitió: "Hemos insistido con estas empresas en que nos digan cuál es su base de licitud, de dónde sacaron los datos, y la verdad es que la respuesta es conjunto vacío". Su pronóstico para ese mercado fue seco: "La compra de datos es algo que tiene sus días contados".

Lo que la ley todavía no resuelve

La ronda de preguntas, con una audiencia mayoritariamente corporativa, llevó la conversación hacia los casos que el texto no zanja. El primero fue el de los datos inferidos, los perfiles que una empresa construye a partir de información que recolectó legítimamente. Soto respondió que su naturaleza jurídica está en desarrollo y que probablemente la resolverá la futura agencia. Un asistente lo llevó a un caso que se repite todos los días en la banca: la línea de crédito que un modelo calcula para un cliente es un dato que ninguna persona entregó, y no está claro a quién pertenece. Hay además un proyecto de ley de inteligencia artificial en tramitación en el Senado que podría tocar el mismo terreno.

El segundo llegó desde Recursos Humanos. Un asistente del sector bancario planteó el cruce con la Ley Karin, que regula el tratamiento de las denuncias por acoso laboral y sexual. Sin lineamientos sobre qué información sensible de un trabajador puede compartirse con su jefatura, partiendo por una licencia médica, las áreas de personas quedan sin criterio para decidir. La calificó como una bomba atómica para las áreas de personas.

AmCham Chile participó activamente en la discusión legislativa de esta ley y fue invitada a la audiencia en la Comisión de Constitución de la Cámara de Diputados y Diputadas, donde presentó su documento posicional. Su posición no ha variado: la ley es necesaria y una eventual prórroga debe tener plazo acotado, para no erosionar la certeza jurídica de quienes ya destinaron presupuesto a prepararse. Soto lo formuló desde el negocio. "El que esté mejor preparado sin duda va a tener una ventaja competitiva en el mercado y va a ser premiado por sus clientes, por los consumidores finales o por las empresas grandes que los contratan", dijo.

Mientras el consejo directivo no se nombre, las diez regulaciones restantes siguen sin dictarse. La pregunta por la línea de crédito la va a contestar, hasta entonces, cada empresa por su cuenta.