Tras el seminario “Protección de Datos en la Práctica: del rol del DPO al cumplimiento sectorial”, Viviana Ponce de León, académica de la Universidad Diego Portales (UDP), analizó en conversación con Actualidad Jurídica, el blog de DOE, las principales conclusiones que dejó la jornada, los desafíos que enfrentarán las organizaciones ante la Ley N°21.719 y la importancia de avanzar hacia una cultura de cumplimiento, transparencia y rendición de cuentas.

El encuentro reunió distintas miradas sobre los desafíos que plantea la nueva regulación de datos personales. ¿Cuál diría que fue la principal conclusión que dejó la jornada?

La principal conclusión es que la adaptación a la nueva ley no es un proyecto puramente normativo con fecha de término, sino un marco de gestión continua y un profundo cambio cultural.

El país debe transitar desde un entorno de desregulación hacia una cultura de rendición de cuentas, transparencia y respeto a la privacidad como un derecho.

Otra conclusión relevante es que la protección de datos deja de ser una disciplina meramente jurídica para volverse interdisciplinaria. Esto implica salir del procesamiento de textos para entrar en la gestión de procesos y auditoría, integrando el derecho, la tecnología y el negocio.

A partir de las exposiciones y conversaciones desarrolladas durante el evento, ¿qué dificultades aparecen hoy como las más urgentes para que las organizaciones se adapten al nuevo estándar de la Ley N°21.719?

Las organizaciones enfrentan diversas barreras inmediatas. Una de ellas es modificar las inercias institucionales. No basta con redactar políticas o manuales; el mayor desafío es cambiar la cultura y los procesos internos de toda la organización.

Además, como la Agencia de Protección de Datos aún no está operativa, existen zonas grises en la ley —por ejemplo, en materias como consentimiento de menores o evaluaciones de impacto— que los profesionales deberán interpretar de buena fe por ahora.

También existe un desafío relevante en la externalización de servicios. Muchas empresas se conforman con firmar contratos o recibir cuestionarios de seguridad, pero la dificultad está en pasar de un control en papel a una supervisión y trazabilidad real sobre cómo los encargados tratan los datos.

Finalmente, para la gran mayoría de las empresas en Chile, que son pymes, resulta complejo y costoso implementar estructuras organizacionales robustas con roles separados, como un DPO, un CISO y un oficial de cumplimiento.

Uno de los ejes del encuentro fue avanzar desde reglas generales hacia un cumplimiento sectorial. ¿Por qué las exigencias en materia de protección de datos deben considerar las particularidades de cada industria o institución?

La nueva normativa aplica transversalmente a organismos públicos, privados, con o sin fines de lucro. Sin embargo, cada industria tiene particularidades que obligan a adoptar un enfoque sectorial.

En el sector salud, por ejemplo, se tratan datos altamente sensibles que revelan aspectos íntimos, psíquicos y genéticos de las personas. Por lo tanto, se requiere una coordinación estricta con la Ley de Derechos del Paciente, resguardando la confidencialidad reforzada de las fichas clínicas para evitar discriminaciones y estigmatización.

En el ámbito laboral, la relación de subordinación crea una asimetría que puede afectar el consentimiento del trabajador. Por ello, el empleador debe buscar otras bases de licitud para justificar medidas como la biometría o la geolocalización, enfrentándose también a tensiones con los derechos fundamentales de los trabajadores.

En industrias centradas en ventas o marketing, la creación de perfiles y la publicidad cruzada requieren bases claras, como el interés legítimo o el consentimiento, entrelazando la protección de datos con las facultades fiscalizadoras del SERNAC.

También se abordó el rol del delegado de protección de datos o DPO. ¿Qué posición debería ocupar esta figura dentro de las organizaciones para ejercer su función con autonomía y no transformarse en un cargo meramente formal?

El DPO debería actuar como un punto de contacto entre la empresa, las personas y la autoridad.

Para ejercer con real autonomía y evitar convertirse en un cargo meramente formal o nominal, debe gozar de independencia y tener una vía directa de comunicación con el directorio o la alta administración.

Además, es fundamental no mezclar el rol del DPO con el de oficial de cumplimiento penal. Sus lógicas son distintas. Mientras el oficial de cumplimiento penal busca restringir conductas y evitar delitos, el DPO busca habilitar el tratamiento de datos de manera segura y proteger los derechos de los titulares.

Tampoco puede ser la persona que define las estrategias, los fines o las políticas del tratamiento, porque no puede ser juez y parte.

En el caso del sector público, ¿cómo se puede compatibilizar el uso de datos para mejorar la gestión y avanzar en la transformación digital del Estado con una protección efectiva de los derechos de las personas?

El Estado maneja bases de datos masivas, lo que genera riesgos relevantes de reidentificación y estigmatización, especialmente cuando se desarrollan políticas públicas o algoritmos que pueden incorporar sesgos.

Para compatibilizar la gestión estatal con la protección de derechos se propusieron dos grandes ejes.

• El primero es la validación de estudios e investigaciones de políticas públicas basados en datos, de modo que una autoridad pueda acreditar la metodología utilizada y la protección de los individuos. Esto puede operar también como un medio de prueba de cumplimiento.
• El segundo eje se refiere a los límites de la automatización. Frente a sistemas estatales de decisiones automatizadas o predictivas —como perfilamientos de riesgo en el Ministerio Público u otros servicios— debe garantizarse a la ciudadanía el derecho a la explicación y a la oposición, exigiendo intervención y revisión humana.

Los organismos públicos deben publicar obligatoriamente la lógica detrás de estos sistemas y sus políticas de privacidad.

Tras este encuentro, ¿cuáles deberían ser los próximos pasos de las instituciones públicas y privadas para prepararse adecuadamente antes de la entrada en vigencia del nuevo estándar?

Antes de la entrada en vigencia del nuevo estándar en 2026, las instituciones que tratan datos deben avanzar en una serie de tareas.

• En primer lugar, deben realizar un mapeo de datos que les permita entender qué información tienen, dónde fluye y para qué se utiliza.
• Luego, deben transitar desde un modelo basado en simples acuerdos de confidencialidad hacia contratos de encargo de tratamiento que definan instrucciones precisas, medidas de seguridad técnicas mínimas y verdaderas facultades de auditoría.
• Más ampliamente, deben integrar la privacidad desde el diseño en nuevos proyectos y generar evidencia documental que permita demostrar frente a la autoridad que los programas de cumplimiento realmente operan en la práctica.