Durante años pensamos la protección de datos personales como una responsabilidad que terminaba en las cuatro paredes de la empresa que los recolectaba. Un banco cuidaba los datos de sus clientes, un retail los de sus compradores, un municipio los de sus vecinos.
Columnas al director
Esa lógica ya no aplica. Hoy un mismo dato personal puede pasar por un proveedor de nube, un sistema de soporte externalizado, una plataforma de analítica y un centro de monitoreo, antes de volver a la organización que lo originó. La pregunta relevante ya no es solo "¿quién es dueño de este dato?", sino "¿por cuántas manos pasó, y con qué estándar fue tratado en cada una de ellas?".
La Ley N° 21.719, que establece el nuevo marco chileno de protección de datos personales, responde justamente a ese cambio de escenario. Crea la Agencia de Protección de Datos, la primera entidad chilena con facultades para fiscalizar y sancionar el mal uso de datos personales, eleva las exigencias para acreditar un tratamiento adecuado e incorpora el interés legítimo como base para el uso de datos en ciertas circunstancias, siempre sujeto a una evaluación de los derechos de sus titulares. También instaura un Modelo de Prevención de Infracciones, que da a la gestión preventiva un peso mucho mayor dentro de las organizaciones.
Columnas al director
Lo interesante de esta norma es que reconoce, de forma implícita, algo que quienes trabajamos en privacidad ya sabíamos: la protección de datos no se sostiene en un solo punto de la cadena. Se sostiene en cada eslabón. Una empresa puede tener políticas de datos impecables, pero si delega procesos críticos en proveedores que no están al mismo nivel de exigencia, esa protección es más bien una declaración de buenas intenciones.
Esto obliga a un cambio de mirada. La privacidad deja de ser un reducto legal que se revisa una vez al año, y empieza a operar como infraestructura de confianza, presente en el diseño de cada servicio, cada contrato y cada sistema —propio o ajeno— que administra datos personales de terceros.
Columnas al director
No es una medida cosmética, sino una condición para que la tecnología siga siendo viable como modelo de negocio, porque para las compañías tecnológicas, esto tiene una dimensión adicional: cuando nuestros clientes confían en nosotros sus procesos y sistemas, también nos confían parte de la relación que mantienen con las personas cuyos datos administran. Por eso, la privacidad no puede entenderse únicamente como una obligación regulatoria, sino también como un componente de la confianza con el que se construyen relaciones tecnológicas de largo plazo.
No basta con verificar que la empresa cumpla hacia adentro, sino asegurar que cada dato que administramos en nombre de nuestros clientes reciba el mismo estándar, sin importar en qué sistema o proceso se encuentre.
Columnas al director
Finalmente, la ley 21.719 pone un piso común para toda la industria. Más allá de cumplir la ley desde el día que entre en vigencia, el verdadero desafío es construir, desde ahora, una cultura donde cada organización que administra datos personales, sea como responsable, donde además un tercero en la cadena, asuma que la protección de datos exige responsabilidad a lo largo de toda la cadena, y que la nueva normativa eleva las exigencias de responsabilidad para todos los actores que intervienen, de acuerdo al rol que cada uno desempeña en ella.
