La protección de datos personales en Chile entra en una nueva etapa. A partir del 1 de diciembre de 2026, comenzará a regir la reforma introducida por la Ley 21.719, que moderniza el régimen chileno de tratamiento de datos personales y crea la Agencia de Protección de Datos Personales.
Para las empresas, prepararse no consiste solamente en modificar el texto de una política de privacidad.
La nueva realidad exige revisar cómo se recopilan, utilizan, almacenan, comparten y protegen los datos personales durante todo su ciclo de vida.
Información de clientes, colaboradores, proveedores y usuarios puede encontrarse distribuida entre CRM, correos electrónicos, formularios web, aplicaciones, bases de datos, sistemas internos y servicios cloud. Si una organización desconoce dónde se encuentra esa información, será difícil administrarla correctamente y responder frente a un incidente o una solicitud del titular.
Por ello, durante 2026 las empresas deberían utilizar la entrada en vigencia de la nueva normativa como una oportunidad para revisar simultáneamente su gobernanza de datos y su estrategia de ciberseguridad.
Primer paso: identificar qué datos personales maneja la empresa
No es posible proteger aquello que no se conoce.
Una organización debería comenzar realizando un inventario de los datos personales que procesa.
Esto implica identificar información de clientes, prospectos, trabajadores, proveedores y otras personas naturales.
También debe determinar dónde está almacenada.
Puede existir información en bases de datos estructuradas, pero también en planillas, correos electrónicos, servicios cloud, plataformas SaaS, dispositivos corporativos y sistemas históricos.
Este diagnóstico permite construir un mapa de datos y comprender cómo circula la información dentro de la organización.
La Ley 21.719 incorpora un principio de proporcionalidad según el cual los datos tratados deben limitarse a aquellos que resulten necesarios, adecuados y pertinentes respecto de los fines del tratamiento.
Por eso, además de identificar datos, conviene preguntarse si todos ellos siguen siendo necesarios.
Segundo paso: clasificar la información según su nivel de sensibilidad
No todos los datos representan el mismo nivel de riesgo.
Una dirección de correo electrónico corporativa no necesariamente requiere exactamente los mismos controles que determinada información financiera, biométrica, médica o credenciales de acceso.
La clasificación permite establecer diferentes niveles de protección.
También facilita definir qué usuarios pueden acceder a cada tipo de información y qué controles deberían aplicarse.
Aquí las tecnologías de Data Security Posture Management (DSPM) pueden resultar especialmente relevantes para organizaciones que manejan grandes cantidades de información distribuida entre infraestructura local y cloud.
DSPM ayuda a identificar dónde se encuentran datos sensibles, evaluar su exposición y priorizar riesgos.
Tercer paso: revisar quién tiene acceso a los datos
Uno de los riesgos más frecuentes dentro de una empresa es el exceso de privilegios.
Un usuario puede acumular accesos a medida que cambia de cargo, participa en proyectos o asume nuevas responsabilidades.
Con el tiempo, esto puede provocar que determinadas personas tengan acceso a información que ya no necesitan para desarrollar su trabajo.
La nueva normativa incorpora principios de seguridad, responsabilidad y confidencialidad, por lo que la gestión de accesos adquiere una relevancia especial.
Las organizaciones deberían aplicar el principio de mínimo privilegio: cada usuario debe acceder únicamente a los recursos necesarios para desarrollar sus funciones.
Soluciones IAM (Identity and Access Management) e IGA (Identity Governance and Administration) pueden ayudar a controlar identidades, permisos y procesos de revisión de accesos.
Complementar estos controles con MFA reduce además el riesgo derivado del robo de contraseñas.
Cuarto paso: actualizar políticas de privacidad y transparencia
La transparencia será otro elemento fundamental.
La nueva regulación establece que el responsable debe entregar al titular la información necesaria para ejercer sus derechos y mantener accesibles sus políticas y prácticas de tratamiento de datos de manera clara.
Una empresa debería revisar qué informa actualmente a clientes y usuarios.
Las políticas deberían explicar de manera comprensible qué datos se recopilan, con qué finalidad, cuál es la base que legitima el tratamiento cuando corresponda, durante cuánto tiempo se conservan y cómo puede una persona ejercer sus derechos.
Esto afecta directamente formularios web, procesos de registro, aplicaciones, contratos y diferentes puntos donde una empresa recopila información.
Quinto paso: preparar mecanismos para los derechos de los titulares
La nueva regulación reconoce derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
Esto genera una necesidad operativa.
Imagine que un cliente solicita conocer todos los datos personales que mantiene una organización sobre él.
¿La empresa podría localizarlos rápidamente?
¿Sabría qué áreas y plataformas contienen información de esa persona?
¿Existe un responsable del proceso?
La normativa establece que los responsables deben implementar mecanismos tecnológicos que permitan ejercer los derechos de forma expedita, ágil y eficaz.
Por lo tanto, preparar estos procedimientos antes de diciembre de 2026 resulta especialmente importante.
Sexto paso: evaluar las medidas de ciberseguridad existentes
Una estrategia de protección de datos personales necesita seguridad tecnológica.
La Ley 21.719 establece que los responsables deben adoptar medidas apropiadas considerando, entre otros factores, los riesgos asociados al tratamiento. La normativa menciona expresamente la necesidad de asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.
Aquí la empresa debería evaluar su situación real.
¿Utiliza MFA en cuentas críticas?
¿Cuenta con protección EDR o XDR?
¿Monitorea eventos de seguridad?
¿Tiene procesos para gestionar vulnerabilidades?
¿Los datos sensibles están adecuadamente protegidos?
¿Los respaldos se encuentran protegidos y probados?
¿Existe segmentación de accesos?
¿Se realizan auditorías periódicas?
Responder estas preguntas permite transformar el cumplimiento en medidas concretas.
Séptimo paso: incorporar seguridad y privacidad desde el diseño
La nueva normativa introduce el deber de protección desde el diseño y por defecto.
Esto implica considerar medidas técnicas y organizativas antes y durante el tratamiento de los datos. Además, por defecto deberían procesarse solamente los datos específicos y estrictamente necesarios.
Para una empresa, esto significa incorporar seguridad y privacidad cuando se crea un nuevo sistema, formulario, aplicación o proceso.
No después.
Por ejemplo, antes de lanzar una nueva plataforma comercial debería evaluarse qué información solicitará, dónde se almacenará, quién podrá acceder a ella y qué controles se implementarán.
Este enfoque reduce riesgos y evita tener que corregir problemas estructurales después de que una solución ya se encuentra operativa.
Octavo paso: preparar una estrategia frente a incidentes
Ninguna empresa puede garantizar riesgo cero.
Por eso, además de prevenir, resulta necesario estar preparada para detectar y responder.
Un incidente que comprometa información personal puede involucrar múltiples equipos: tecnología, ciberseguridad, legal, comunicaciones y administración.
La organización debería definir previamente responsabilidades, mecanismos de escalamiento, procedimientos de investigación y medidas de contención.
Tecnologías como SIEM, EDR, XDR y SOC pueden ayudar a aumentar la visibilidad y reducir los tiempos de detección.
El objetivo no debería ser solamente “tener herramientas”, sino contar con capacidad efectiva para identificar qué ocurrió, qué activos fueron afectados y qué información pudo verse comprometida.
Noveno paso: revisar proveedores y servicios cloud
Los datos empresariales ya no permanecen exclusivamente dentro de la organización.
Proveedores tecnológicos pueden procesar información en nombre de una empresa.
Esto hace necesario revisar contratos, responsabilidades, controles de seguridad y flujos de información.
La normativa contempla además información relacionada con transferencias internacionales de datos y exige transparencia respecto de determinadas transferencias a terceros países u organizaciones internacionales.
Por ello, conocer dónde se procesan los datos se vuelve cada vez más relevante.
Décimo paso: transformar el cumplimiento en un proceso permanente
Prepararse para diciembre de 2026 no debería convertirse en un proyecto que termina cuando entra en vigencia la ley.
Los datos cambian.
Las aplicaciones cambian.
Los usuarios cambian.
Las amenazas también.
Por eso, una estrategia madura requiere revisiones periódicas, actualización de permisos, gestión de vulnerabilidades, monitoreo de incidentes y capacitación.
La protección de datos personales en Chile debe integrarse a la gestión cotidiana de la organización.
¿Por dónde debería comenzar una empresa chilena?
El punto de partida más eficiente es realizar un diagnóstico que combine protección de datos y ciberseguridad.
Este análisis debería permitir conocer los datos existentes, identificar repositorios críticos, evaluar accesos, revisar controles técnicos y priorizar brechas.
Después pueden establecerse acciones según nivel de riesgo.
Una empresa con grandes volúmenes de información cloud puede necesitar fortalecer DSPM.
Otra puede presentar mayores problemas en IAM y permisos.
Una tercera puede requerir mejorar monitoreo, SOC o respuesta frente a incidentes.
No existe una implementación idéntica para todas las organizaciones.
Protección de datos y ciberseguridad: una oportunidad para fortalecer la confianza
El nuevo escenario regulatorio puede convertirse también en una ventaja empresarial.
Los clientes, proveedores y partners valoran cada vez más que las organizaciones demuestren responsabilidad respecto de la información.
Una empresa que conoce sus datos, limita accesos, monitorea amenazas y mantiene procedimientos claros se encuentra mejor preparada tanto para cumplir con la regulación como para responder frente a incidentes.
Por ello, la ciberseguridad empresarial en Chile y la protección de datos deberían abordarse como componentes de una misma estrategia de gestión del riesgo.
Conclusión
La entrada en vigencia de la Ley 21.719 el 1 de diciembre de 2026 representa un cambio significativo para la protección de datos personales en Chile.
Las organizaciones tienen una oportunidad concreta durante 2026 para revisar sus procesos antes de la entrada en vigencia del nuevo régimen.
El camino comienza con conocer la información, clasificarla, controlar quién accede a ella, establecer mecanismos para los derechos de los titulares y evaluar si las medidas actuales de ciberseguridad son suficientes.
Prepararse anticipadamente permite convertir una obligación regulatoria en una oportunidad para mejorar la seguridad, reducir riesgos y fortalecer la confianza digital.
CTA: En Infocorp ayudamos a empresas en Chile a evaluar su postura de seguridad, identificar vulnerabilidades y fortalecer la protección de información crítica. Solicita una evaluación de ciberseguridad y comienza a preparar tecnológicamente tu organización para el nuevo escenario de protección de datos personales.
Interlinking sugerido: enlazar hacia Ley 21.719, Data Security Posture Management (DSPM), DLP, IAM e IGA, SOC y SIEM, Zero Trust y auditoría de ciberseguridad.
