Ley 21.719: qué revisar en los sistemas y apps de tu empresa

La Ley 21.719, que moderniza la protección de datos personales en Chile, se publicó en diciembre de 2024 y tiene como fecha de entrada en vigencia el 1 de diciembre de 2026. El Ejecutivo ingresó al Senado un proyecto (boletín 18.623-07) que propone postergarla un año, y en el Senado se ha planteado también un plazo más corto. Al 14 de octubre de 2026 el proyecto sigue en primer trámite, sin votación, así que la fecha que rige es la original. Y aunque se apruebe una postergación, lo que cambia es la fecha, no las obligaciones.

La mayoría de lo que se ha escrito sobre la ley viene del mundo legal: políticas de privacidad, contratos, consentimientos. Todo eso es necesario, pero hay una parte que suele quedar fuera: los datos personales no viven en los contratos, viven en los sistemas. En el ERP, en la base de datos de la app, en el CRM, en respaldos antiguos y en planillas que circulan por correo. Si los sistemas no acompañan, la política de privacidad queda en el papel.

Este artículo es una guía técnica para ordenar el trabajo con tu equipo o tu proveedor de software. No reemplaza la asesoría legal.

Por qué no es solo un tema legal

La ley se aplica a cualquier organización que trate datos personales de clientes, trabajadores o proveedores, sin importar su tamaño. Y “tratar” es un concepto amplio: recolectar, guardar, consultar, enviar a terceros y eliminar.

En la práctica, eso significa que cada sistema que guarda nombres, RUT, correos, teléfonos, direcciones o datos de salud está dentro del alcance. Las multas pueden llegar a 20.000 UTM en los casos más graves, y la futura Agencia de Protección de Datos Personales podrá fiscalizar cómo se cumple.

1. Haz un inventario técnico de los datos

El primer paso es saber qué tienes. Para cada sistema, responde:

• Qué datos personales guarda (y si hay datos sensibles, como salud, biometría o datos de menores).
• Dónde están físicamente: servidor propio, nube, servicios de terceros.
• Quién accede y con qué permisos.
• Para qué se usan y desde cuándo se guardan.

No olvides lo que no aparece en el diagrama oficial: bases de datos de sistemas antiguos que ya nadie usa pero siguen encendidas, respaldos de hace años, exportaciones a Excel y entornos de prueba con datos reales copiados de producción.

2. Revisa la seguridad y el registro de accesos

La ley exige medidas de seguridad acordes al riesgo y obliga a reportar las vulneraciones. Para eso, los sistemas tienen que poder responder una pregunta básica: quién accedió a qué y cuándo.

Puntos a revisar:

• Usuarios genéricos compartidos (“admin”, “ventas”) que impiden saber quién hizo qué.
• Contraseñas guardadas sin cifrar en la base de datos.
• Servidores, frameworks y librerías sin actualizaciones de seguridad.
• Accesos de personas que ya no trabajan en la empresa.

Esto es especialmente delicado en los sistemas legados: plataformas que funcionan, pero que llevan años sin mantención y que nadie se atreve a tocar. Ahí es donde suelen aparecer las brechas. Nuestro servicio de soporte y mantención de sistemas parte justamente por ese diagnóstico.

3. Mira qué datos salen de tu empresa

Tus datos no solo están en tus sistemas. También viajan a pasarelas de pago, CRM en la nube, plataformas de correo masivo, servicios de mensajería y proveedores de hosting. Cada una de esas conexiones es una transferencia de datos que la ley regula.

Revisa tus integraciones y pregúntate:

• ¿Qué campos se envían realmente? A menudo se manda el registro completo del cliente cuando bastaba con un identificador.
• ¿Los datos viajan cifrados?
• ¿El proveedor guarda los datos fuera de Chile? Las transferencias internacionales tienen reglas propias.
• ¿El contrato con ese proveedor dice qué puede y qué no puede hacer con los datos?

4. Prepara tus sistemas para los derechos de las personas

La ley reconoce a las personas el derecho a acceder a sus datos, corregirlos, pedir su eliminación, oponerse a ciertos usos y solicitar su portabilidad. Cuando alguien ejerza esos derechos, tu empresa tiene que poder responder.

Técnicamente, eso implica:

• Poder encontrar todos los datos de una persona en los distintos sistemas, no solo en uno.
• Poder corregirlos o eliminarlos sin romper la integridad de la información (por ejemplo, facturas que legalmente deben conservarse).
• Poder exportarlos en un formato ordenado.

Si hoy responder una de esas solicitudes implica que alguien revise cinco sistemas a mano, vale la pena resolverlo antes de que empiecen a llegar.

5. Incluye la privacidad en los desarrollos nuevos

Cada vez que desarrolles una aplicación web o una app móvil nueva, la protección de datos debería ser parte del diseño desde el inicio: pedir solo los datos necesarios, definir cuánto tiempo se guardan, controlar los permisos por rol y registrar los accesos. Agregarlo después siempre cuesta más.

Por dónde empezar

Si tu empresa tiene pocos sistemas, el inventario puede tomar días. Si tiene varios sistemas conectados entre sí, algunos antiguos y sin documentación, puede tomar semanas. En ambos casos, la recomendación es la misma: empezar por el sistema que guarda más datos personales o el que tiene menos mantención.

En Prisma Soluciones podemos ayudarte con la parte técnica: revisar tus sistemas, documentar qué datos guardan y cómo se mueven, y corregir lo que haga falta, incluso si no desarrollamos esos sistemas originalmente. Conversemos sobre soporte y mantención de sistemas.