Ley 21.719 y tu software: qué revisar aunque se postergue la fecha

Tienes una tienda online, un sistema de reservas o simplemente una planilla de clientes en la nube, y alguien te dijo que "viene una ley nueva de datos personales". Tú sigues sin saber si te afecta, qué tienes que cambiar ni cuánto va a costar. Es una duda razonable: la Ley 21.719 está fijada para el 1 de diciembre de 2026, faltan semanas, y la mayoría de las pymes del sur todavía no la han mirado.

¿Entra en vigencia el 1 de diciembre o se posterga?

Hoy hay dos cosas ciertas a la vez. Por ley, la fecha de vigencia sigue siendo el 1 de diciembre de 2026. Pero el Gobierno ingresó un proyecto para postergarla, y el Senado lo aprobó el 28 de octubre con una nueva fecha: el 15 de octubre de 2027. Todavía falta que lo vea la Cámara de Diputadas y Diputados, y después la promulgación y la publicación en el Diario Oficial. Si todo eso no ocurre antes del 1 de diciembre, la ley entra en vigencia igual en esa fecha.

Lo más probable es que se mueva, pero hasta que se publique la ley modificatoria no es definitivo. Y aunque se postergue, la preparación lleva meses: ordenar datos, accesos y procedimientos no se hace en una semana. Te conviene revisar el estado del proyecto en el Senado (boletín 18.623-07) antes de tomar decisiones con fecha.

Qué cambia, en simple

La Ley 21.719 reemplaza la antigua ley de 1999 y crea la Agencia de Protección de Datos Personales, un organismo con facultades para fiscalizar y sancionar. Antes, en la práctica, casi nadie fiscalizaba. Ahora habrá quien lo haga, y con multas que se miden en miles de UTM, aunque la ley contempla un trato más liviano para micro y pequeñas empresas.

Si tu empresa guarda datos de personas —clientes, trabajadores, proveedores, pacientes, alumnos— esta ley te aplica. No importa el tamaño. Importa si tratas datos de personas identificables, y casi todos lo hacemos: un nombre y un correo ya cuentan.

Un aviso importante: no soy abogado y esto no es asesoría legal. Lo que sí puedo hacer es explicarte la parte técnica, que es donde la ley se vuelve concreta. Para la interpretación jurídica de tu caso, conviene que lo revises con un abogado.

Los cinco puntos que casi siempre fallan en el software

1. No sabes qué datos tienes ni dónde están. Antes de cumplir nada, necesitas un inventario: qué datos recoges, en qué sistema viven (la app, el correo, un Excel en el escritorio de alguien, un respaldo viejo) y para qué los usas. Es el paso más aburrido y el más importante. Sin eso, el resto es adivinar.
2. Pides más datos de los que necesitas. El formulario que exige RUT, dirección y fecha de nacimiento para enviar una cotización es un clásico. La ley apunta a que solo recojas lo necesario para la finalidad que informaste. Cada campo que sacas es un dato menos que proteger.
3. No puedes responder cuando alguien pide sus datos. La ley fortalece los derechos de las personas: acceder a sus datos, corregirlos, pedir que los elimines u oponerse a cierto uso, entre otros. Si un cliente te escribe pidiendo que borres su información, ¿puedes encontrarla en todos los sistemas y borrarla realmente? Si hoy la respuesta es "habría que revisar a mano", ahí hay trabajo técnico.
4. Los accesos están sueltos. Una cuenta compartida entre cuatro personas, un exfuncionario que sigue con clave, un panel de administración sin segundo factor. La ley exige medidas de seguridad acordes al riesgo, y estos son los hallazgos más comunes cuando reviso sistemas de pymes. Lo conversé en ciberseguridad básica para una pyme del Biobío.
5. No tienes un plan si pasa algo. Si se filtran datos —un computador robado, una cuenta vulnerada, una base expuesta por error— la nueva ley contempla el deber de reaccionar y avisar. Eso requiere saber qué pasó, cuándo y a quiénes afectó. Sin registros (logs) y sin respaldos ordenados, no puedes responder esas preguntas; cómo armarlos está en respaldo y continuidad operativa para pymes.

Hay un quinto punto que suele quedar fuera: los proveedores. Si tu software lo mantiene un tercero, o guardas datos en servicios de nube, ellos también tratan datos por cuenta tuya. Conviene saber quién tiene acceso y qué dice el contrato sobre eso.

Un caso típico de la zona

Una clínica veterinaria de Los Ángeles con agenda online, ficha de mascotas y datos de contacto de unos 3.000 clientes. Los datos viven en un sistema contratado, en una planilla de recordatorios que usa la recepcionista y en el WhatsApp del local. Nadie sabe cuál es "la fuente oficial". Un cliente pide que eliminen sus datos y tardan tres semanas en descubrir que había copias en cuatro lugares.

La solución no fue comprar nada. Fue ordenar: una sola fuente de verdad, una planilla paralela eliminada, accesos individuales en lugar de una clave compartida y un procedimiento escrito de una página para atender solicitudes. Unas pocas semanas de trabajo, no un proyecto gigante.

Por dónde partir si tienes poco tiempo

Si la fecha fuera mañana, o si tienes un año por delante, el orden es el mismo. Esta es la secuencia que haría yo, pensada en cuatro etapas de una semana cada una si quieres avanzar rápido, o espaciadas si tienes más tiempo:

1. Etapa 1: inventario de datos y sistemas. Una planilla simple basta: dato, dónde está, para qué, quién accede.
2. Etapa 2: cerrar lo urgente en seguridad: accesos individuales, segundo factor en lo crítico, bajar a cuentas que ya no corresponden.
3. Etapa 3: revisar formularios y avisos de privacidad de tu sitio y tus sistemas, y recortar datos innecesarios.
4. Etapa 4: definir el procedimiento para atender solicitudes de personas y para reaccionar ante una filtración, con responsables y plazos.

No vas a quedar perfecto el día que la ley rija, sea en diciembre o en 2027, y no hace falta. Lo que sí conviene es poder demostrar que empezaste, que sabes qué datos tienes y que tomaste medidas razonables. Esa diferencia pesa mucho más que un documento bonito.

Dónde entra el software

Si construyes o vas a construir un sistema a medida, lo más barato es considerar esto desde el diseño: pedir solo los datos necesarios, poder exportar y borrar los datos de una persona, registrar los accesos y separar roles. Hacerlo después, sobre un sistema ya en producción, cuesta bastante más. Es una de las razones por las que conviene definir el alcance con cuidado, como comento en integrar tu software con el SII, Transbank o tu ERP.

Si ya tienes un sistema, la pregunta es qué tan fácil es adaptarlo. Puedo revisarlo contigo y entregarte una lista priorizada de ajustes técnicos, con lo que se arregla rápido y lo que requiere desarrollo. Eso forma parte del servicio de desarrollo de software a medida, y si prefieres que alguien supervise a tu proveedor actual en este tema, desde la contraparte técnica. Si quieres partir ya, cuéntame tu caso.