La Ley 21.719, la nueva ley de protección de datos personales, empieza a regir en pleno el 1 de diciembre de 2026. Se publicó a fines de 2024 con dos años de transición para que las empresas se prepararan, y de esos dos años hoy queda menos de medio. Lo segundo es a quién alcanza: a casi cualquier empresa que trate datos de personas, no solo a los bancos ni a las grandes. Si tienes una base de clientes, una nómina de trabajadores o un formulario de contacto en tu sitio, estás tratando datos personales y la ley te aplica igual que a una compañía del IPSA.
Lo que cambia con ella no es que de repente haya que cuidar los datos. Eso siempre estuvo. Lo que cambia es que ese cuidado deja de ser una buena intención y pasa a ser una lista de obligaciones concretas, con plazos que corren y un organismo nuevo que las fiscaliza. Nace la Agencia de Protección de Datos Personales, una entidad autónoma con la atribución de investigar de oficio, ordenar que suspendas un tratamiento y aplicar multas. Antes de esta ley ese organismo simplemente no existía.
Qué te obliga a hacer, en concreto
La ley se entiende mejor si la bajas a las cosas que vas a tener que poder mostrar el día que alguien pregunte.
Lo primero es el consentimiento. Ya no basta con tener una casilla aceptada en algún momento: tienes que poder probar qué texto exacto aceptó cada persona y cuándo lo hizo. Lo segundo son los derechos del titular, lo que se conoce como ARSOP: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Cualquier persona puede pedirte ver sus datos, corregirlos, que los elimines o que se los entregues en un formato portable, y tienes un plazo legal de treinta días para responder. Lo tercero es el RAT, el registro de actividades de tratamiento, que es el inventario de qué datos tratas, para qué, con qué base legal y por cuánto tiempo los guardas. Es la herramienta con la que demuestras que sabes lo que estás haciendo con la información.
A eso se suman dos obligaciones que aparecen cuando las cosas se ponen serias. Si sufres una brecha de seguridad con riesgo para las personas, tienes que reportarla a la Agencia en cuestión de horas, no cuando te acomode. Y antes de lanzar un tratamiento de alto riesgo, la ley te pide una EIPD, una evaluación de impacto que analiza qué puede salir mal con esos datos antes de tocarlos.
La ley también trae multas. Las infracciones se gradúan en leves, graves y gravísimas, con topes de 5.000, 10.000 y 20.000 UTM respectivamente. Para empresas grandes que reinciden el cálculo puede subir a un porcentaje de los ingresos anuales. Eso sí, hay que destacar que esos números son el techo legal, no la factura que vas a recibir. El monto real de la multa va a depender del tamaño de tu empresa, de la gravedad del caso y de si es la primera vez, y durante el primer año de vigencia la Agencia parte amonestando por escrito a las empresas más pequeñas en lugar de multarlas. Más que la cifra mayor, lo que mueve el tablero es que ahora hay alguien con la facultad de revisar cómo tratas los datos y de sancionarte si lo haces mal.
Visto así, lo que tienes por delante son en realidad dos problemas distintos, y se resuelven de forma diferente.
El primer desafío es llegar a diciembre con todo montado
El primer problema es de implementación. De aquí a diciembre tienes que levantar desde cero buena parte de esto: rehacer tus formularios de consentimiento para que queden versionados y guarden el texto que cada persona aceptó, armar el RAT mapeando todos los tratamientos que hoy ocurren repartidos en distintas áreas, revisar los contratos con cada proveedor que procesa datos por ti, definir cómo vas a recibir y responder las solicitudes de los titulares dentro del plazo, y dejar lista la mecánica para reportar una brecha a tiempo. Es un trabajo de puesta en marcha, intenso y acotado, que mezcla interpretar qué te exige la norma con montar la solución técnica que la cumple. La mayoría de las empresas no tiene hoy ni el tiempo ni el conocimiento interno para hacerlo bien antes del plazo, y es justo el momento en que más se necesita a alguien que ya recorrió el camino.
El segundo desafío empieza el día que la ley rige
El segundo problema es el que casi nadie está mirando, y es el que no se acaba nunca. Una vez que la ley empieza a regir, cumplir deja de ser un proyecto con fecha de término y se vuelve una operación de todos los días. Cada nuevo cliente genera un consentimiento que hay que guardar bien. Cada solicitud de acceso o de eliminación enciende un reloj de treinta días que vence aunque nadie esté mirando. Cada proveedor nuevo obliga a revisar un contrato. Cada cambio en cómo usas los datos debería actualizar el RAT. Y si un día hay una brecha, el cronómetro de horas corre desde ese momento, no desde que te diste cuenta.
Esa carga no desaparece después de diciembre: recién ahí empieza. Es trabajo permanente, con plazos que no perdonan y con la obligación de tener siempre lista la prueba de que cada paso se hizo cuando correspondía. Una empresa puede llegar perfectamente preparada al 1 de diciembre y aun así incumplir la ley en marzo, simplemente porque dejó pasar una solicitud o porque nadie quedó a cargo de llevar la cuenta.
Alguien tiene que hacerse cargo de esto
Los dos desafíos apuntan a lo mismo. Esto necesita un dueño, alguien que se haga cargo del cumplimiento en el día a día, no un documento firmado y archivado en una carpeta. La ley incluso contempla la figura del delegado de protección de datos, un responsable formal de velar por estos temas dentro de la organización. Pero el cargo, por sí solo, no resuelve nada si no tiene con qué operar: una persona no puede llevar a mano cientos de plazos, versiones de consentimiento y registros sin que algo se le escape.
En Alicanto construimos una plataforma para abordar ambos desafíos. Para el primero, acompañamos la puesta en marcha con consultoría que interpreta la norma y a adapta la solución a tu negocio, de modo que llegues a diciembre con todo montado y no con una lista de pendientes. Para el segundo, está la plataforma de protección de datos: guarda cada consentimiento con el texto exacto que la persona aceptó, lleva cada solicitud de un titular con su plazo de treinta días y su acuse automático, mantiene el RAT al día y deja cada paso sellado en una cadena de evidencia que después se puede auditar entera. La plataforma es la que hace operable el cargo, la que convierte una obligación permanente en algo que el software lleva sin distraerse y sin que nadie tenga que acordarse.
Cuando empiece la fiscalización, la diferencia entre cumplir y parecer que cumples no va a estar en quién tiene la política de privacidad más bonita publicada en el sitio. Va a estar en quién puede abrir el historial completo y demostrar, solicitud por solicitud y fecha por fecha, que hizo lo que la ley le pide, todos los días, desde el primero.
