El 1er estudio nacional sobre el tema, realizado por LemonTech y la Asociación Chilena de Ética y Compliance (ACEC), revela que solo 9% de las organizaciones se considera completamente lista para enfrentar con éxito la nueva normativa, mientras que 46% reconoce que aún no ha adoptado ninguna de las medidas exigidas.
En diciembre de 2026 entrará en vigor la Ley 21.719, que regula el tratamiento de los datos de carácter personal y crea la Agencia de Protección de Datos Personales. Esta legislación actualiza un marco normativo con más de dos décadas sin cambios. Con su puesta en marcha, las exigencias operativas aumentarán para las organizaciones que administran información de personas naturales, estableciendo sanciones en caso de infracciones.
A pocos meses de su implementación, el 72% de las empresas declara no estar preparada para cumplir la Ley. Así lo revela el primer estudio sobre el tema, desarrollado de forma conjunta por la plataforma de tecnología legal LemonTech y la Asociación Chilena de Ética y Compliance (ACEC), que recopila las respuestas de una base de 127 organizaciones con operaciones en el territorio nacional.
Poco preparadas
En cuanto a la falta de preparación, la investigación expone que la pequeña y mediana empresa son el punto más frágil del mercado (por debajo incluso de la microempresa que percibe su realidad como más simple), llegando a 90 y 85%, respectivamente. Por su parte, la gran empresa lidera en este aspecto, pero sin superar el 36% de compañías que se sienten listas para enfrentar con éxito este nuevo desafío regulatorio.
En relación a las medidas exigidas, 46% reconoce no haber implementado ninguna a la fecha, solo 34% cuenta con un Registro de Actividades de Tratamiento (RAT) y apenas una fracción de las organizaciones (28%) ha cumplido con la designación de un delegado de Protección de Datos (DPO) o responsable institucional para liderar el proceso, consolidando la falta de gobernanza interna como uno de los puntos más vulnerables.
Al respecto, Juan Pablo Granda, director ejecutivo de LemonTech, señala que para las compañías esto no es un ajuste menor: “La ley exige repensar cómo se recolectan, almacenan, tratan y eliminan los datos de clientes, colaboradores y proveedores; obliga a designar responsables, levantar registros, responder solicitudes de los titulares en plazos acotados y notificar las brechas de seguridad. Sin embargo, con apenas cinco meses por delante, el nivel de preparación con que las empresas enfrentarán la entrada en vigor es insuficiente en la mayoría de los casos», enfatiza.
Por su parte, Rodrigo Reyes, presidente de la ACEC, dice que el principal problema que están enfrentando hoy las empresas es de gestión, no de información. “Las organizaciones saben que la ley existe, conocen las multas a las que se exponen y perciben el riesgo, pero esa percepción de amenaza no se ha traducido en decisiones de, por ejemplo, designar un delegado de protección de datos, levantar el RAT o documentar procedimientos para responder a los titulares”.
Otro hallazgo relevante es que, si bien existe conocimiento sobre las altas penalizaciones derivadas de incumplimientos, apenas un 35% afirma tener claridad sobre qué hechos pueden derivar en una sanción de la Agencia. “Es cierto que la autoridad aún debe construir criterios interpretativos, como ocurrió con el GDPR europeo, pero esa incertidumbre no es una excusa para la inacción. Las obligaciones estructurales están escritas y son perfectamente exigibles desde el primer día”, enfatiza Reyes.
A esto se suma la ausencia de sistemas adecuados para gestionar el cumplimiento de la Ley. De acuerdo al estudio, el 85% de las organizaciones lo hace a través de procesos manuales o repositorios genéricos de información; mientras que solo el 14% cuenta con un software especializado. Esto en contraposición al 60% de los encuestados que cree necesaria una herramienta tecnológica para demostrar cumplimiento ante la Agencia.
En este sentido, Granda explica que «llevar el control del RAT en planillas de cálculo podría exponer a las compañías a multas elevadas y contingencias judiciales que dañarían la sostenibilidad del negocio. Por eso, una plataforma especializada entrega la trazabilidad necesaria para resguardar la información y entregar evidencias fidedignas ante el organismo supervisor», sostiene.
Riesgos operativos
El sondeo también evaluó la capacidad operativa de las empresas para responder a las solicitudes de los titulares de la información. Y es que la ley consagra el conjunto de derechos ARSOPB, aquellos que reconoce a los titulares de los datos Acceso, Rectificación, Supresión (eliminación), Oposición al tratamiento, Portabilidad y Bloqueo de la información personal; exigiendo respuestas en un plazo de 30 días corridos.
No obstante, solo el 15% de las entidades encuestadas cuenta con procedimientos documentados y trazabilidad de plazos para atender estos requerimientos, mientras que poco más de un tercio admite que responde de manera informal, caso a caso.
Por otro lado, la vulnerabilidad se extiende al ámbito de la ciberseguridad. Ante una eventual filtración de datos, el 41% de las organizaciones carece de protocolos para reportar esas brechas a la Agencia de Protección de Datos o a los titulares afectados, una obligación que la norma exige sin dilaciones.
Así, la falta de preparación técnica y operativa se traduce en una legítima preocupación en el mercado chileno. El 39% de las empresas participantes en el estudio anticipa que la cantidad de juicios y de litigios en su contra aumentará tras la entrada en vigor de la Ley 21.719, lo que refuerza la urgencia de adecuar los sistemas organizacionales antes de que comiencen las fiscalizaciones y las sanciones del nuevo organismo supervisor.
