Aunque el Senado discute retrasar la entrada en vigencia de la Ley 21.719, especialistas advierten que las organizaciones no deberían esperar para adaptar sus procesos. Más que actualizar políticas de privacidad, el verdadero cambio estará en demostrar cuándo, cómo y para qué una persona autorizó el uso de sus datos.
La entrada en vigencia de la nueva Ley de Protección de Datos Personales podría aplazarse un año si prospera el proyecto que actualmente analiza el Senado. Sin embargo, para especialistas en privacidad y transformación digital, una eventual prórroga no modifica el principal desafío que enfrentarán las organizaciones: demostrar que el tratamiento de los datos personales cuenta con un consentimiento válido, informado y verificable.
La Ley 21.719, que moderniza el régimen chileno de protección de datos, establece nuevas obligaciones para las organizaciones que recopilan y utilizan información personal. Entre ellas, la posibilidad de que los titulares accedan a sus datos, los rectifiquen, soliciten su eliminación, limiten su tratamiento o revoquen el consentimiento entregado previamente. Al mismo tiempo, crea la Agencia de Protección de Datos Personales, organismo que tendrá facultades para fiscalizar y aplicar sanciones a quienes incumplan la normativa.
Aunque el proyecto de ley que busca postergar su entrada en vigencia hasta diciembre de 2027 sigue en tramitación, el escenario ya está impulsando a muchas empresas a revisar la forma en que administran la información de sus clientes.
Para Hugo Díaz, CEO de Autentikar, uno de los principales cambios que introduce la normativa es que el consentimiento deja de ser un trámite administrativo para transformarse en una obligación que debe poder acreditarse.
«Durante años muchas organizaciones entendieron el consentimiento como una casilla que bastaba con marcar para continuar un proceso. Con esta ley, el desafío cambia: ya no basta con pedir autorización, sino que será necesario demostrar que la persona entendió qué estaba aceptando, para qué se utilizarán sus datos y que ese consentimiento fue otorgado de manera libre e inequívoca.»
El cambio no se limita a modificar textos legales o actualizar políticas de privacidad. Adaptarse implica revisar procesos internos, plataformas tecnológicas y mecanismos de registro para asegurar que cada consentimiento pueda ser reconstruido en caso de una fiscalización o un requerimiento del propio titular de los datos.
Según el especialista, existe el riesgo de interpretar una eventual prórroga como una oportunidad para postergar decisiones que requieren meses de preparación.
«Adaptarse no significa únicamente modificar un documento. Implica revisar qué datos se recopilan, con qué finalidad, dónde queda registrada esa información y cómo la organización responderá cuando un usuario quiera ejercer sus derechos. Son cambios que involucran procesos, sistemas y equipos, por lo que esperar hasta el último momento solo reduce el margen para implementarlos correctamente.»
Uno de los conceptos que adquiere mayor relevancia es el de consentimiento verificable. Es decir, la capacidad de una organización para demostrar qué aceptó una persona, cuándo lo hizo, bajo qué condiciones y mediante qué canal.
Para Díaz, muchas empresas aún conservan registros que difícilmente permitirían responder esas preguntas.
«No basta con tener una base de datos que indique que un usuario aceptó. La organización debe poder reconstruir qué versión del texto autorizó esa persona, en qué fecha, por qué canal y contar con evidencia suficiente para acreditar que quien otorgó el consentimiento era efectivamente el titular de los datos.»
En la práctica, esto supone abandonar mecanismos ampliamente utilizados hasta ahora, como los consentimientos genéricos, las autorizaciones agrupadas para múltiples finalidades o las casillas previamente marcadas, privilegiando procesos más transparentes y específicos.
Otro aspecto que comienza a ganar relevancia es la experiencia del usuario. Durante años existió la percepción de que cumplir mayores exigencias regulatorias implicaría procesos más largos y complejos. Sin embargo, especialistas sostienen que ambas dimensiones pueden convivir si el diseño considera el momento adecuado para solicitar el consentimiento y registra automáticamente la evidencia generada durante la interacción.
«El usuario no debería enfrentar más pasos porque una empresa quiera cumplir con la normativa. Lo importante es que detrás de esa experiencia exista un proceso capaz de demostrar qué autorizó la persona y bajo qué condiciones. Cuando eso se diseña correctamente, la diferencia no está en la cantidad de clics, sino en la calidad de la evidencia que queda registrada», explica Díaz.
Más allá de la fecha definitiva en que entre en vigencia la ley, el debate ya comenzó a modificar la conversación sobre el uso de datos personales en Chile. La protección de la información dejó de entenderse únicamente como una obligación legal para transformarse en un factor de confianza entre organizaciones y usuarios.
En un escenario donde las personas son cada vez más conscientes del valor de su información y exigen mayor transparencia sobre su utilización, la capacidad de demostrar cómo se obtuvo el consentimiento será tan relevante como la seguridad con que esos datos sean almacenados. La eventual postergación de la norma puede otorgar más tiempo para la implementación, pero difícilmente cambiará el sentido de una regulación que apunta a fortalecer la confianza en el tratamiento de los datos personales y elevar los estándares de responsabilidad para quienes los administran.
