El nuevo estándar de privacidad no admite eslabones débiles

Menu

Home

Opinión

El nuevo estándar de privacidad no admite eslabones débiles

10 de Septiembre de 2026

Paola Hermosilla Estay, Data Protection Officer SONDA

Por Paola Hermosilla Estay*（https://www.canal-cl.com/opinion.asp?Id=1566）

Ver sus columnas（https://www.canal-cl.com/opinion.asp?Id=1566）

Durante años pensamos la protección de datos personales como una responsabilidad que terminaba en las cuatro paredes de la empresa que los recolectaba. Un banco cuidaba los datos de sus clientes, un retail los de sus compradores, un municipio los de sus vecinos. Esa lógica ya no aplica. Hoy un mismo dato personal puede pasar por un proveedor de nube, un sistema de soporte externalizado, una plataforma de analítica y un centro de monitoreo, antes de volver a la organización que lo originó. La pregunta relevante ya no es solo "¿quién es dueño de este dato?", sino "¿por cuántas manos pasó, y con qué estándar fue tratado en cada una de ellas?".

La Ley N° 21.719, que establece el nuevo marco chileno de protección de datos personales, responde justamente a ese cambio de escenario. Crea la Agencia de Protección de Datos, la primera entidad chilena con facultades para fiscalizar y sancionar el mal uso de datos personales, eleva las exigencias para acreditar un tratamiento adecuado e incorpora el interés legítimo como base para el uso de datos en ciertas circunstancias, siempre sujeto a una evaluación de los derechos de sus titulares. También instaura un Modelo de Prevención de Infracciones, que da a la gestión preventiva un peso mucho mayor dentro de las organizaciones.

Lo interesante de esta norma es que reconoce, de forma implícita, algo que quienes trabajamos en privacidad ya sabíamos: la protección de datos no se sostiene en un solo punto de la cadena. Se sostiene en cada eslabón. Una empresa puede tener políticas de datos impecables, pero si delega procesos críticos en proveedores que no están al mismo nivel de exigencia, esa protección es más bien una declaración de buenas intenciones.

Esto obliga a un cambio de mirada. La privacidad deja de ser un reducto legal que se revisa una vez al año, y empieza a operar como infraestructura de confianza, presente en el diseño de cada servicio, cada contrato y cada sistema —propio o ajeno— que administra datos personales de terceros. No es una medida cosmética, sino una condición para que la tecnología siga siendo viable como modelo de negocio, porque para las compañías tecnológicas, esto tiene una dimensión adicional: cuando nuestros clientes confían en nosotros sus procesos y sistemas, también nos confían parte de la relación que mantienen con las personas cuyos datos administran.