Ley de Protección de Datos: lo que Europa ya aprendió y lo que Chile aún debe resolver

De qué se trató

Qué dejan ocho años de aplicación del Reglamento General de Protección de Datos europeo, y qué de eso le sirve a Chile ahora que el Ejecutivo propuso postergar hasta diciembre de 2027 la entrada en vigencia de la Ley 21.719, prevista para el 1 de diciembre de 2026, porque la Agencia de Protección de Datos Personales aún no tiene consejo directivo. Seminario híbrido realizado el jueves 3 de septiembre en la FEN (sala H-305) y en línea, primero de una serie de conversatorios del Observatorio sobre regulación digital. Rodrigo Cetina expuso desde la experiencia española; el público, en buena parte profesionales que hoy implementan la ley en sus organizaciones, llevó la conversación al terreno práctico.

En la apertura, David Díaz situó la pregunta del Observatorio: la inteligencia artificial permite probar más rápido y a menor costo en los procesos de innovación, pero esos procesos corren sobre datos, muchos de ellos personales. La cuestión, planteó, no es solo qué hacer con un año más de plazo, sino cómo construir un orden interno que permita innovar sin quedar expuesto, y cómo articularlo con el resto del marco que converge sobre la tecnología: ciberseguridad, finanzas abiertas, reglas sectoriales y el proyecto de ley de IA.

Los puntos que importan

Mover la fecha legal no mueve la exposición. La idea central de Cetina fue que el aplazamiento no debe leerse como un año sin preocupaciones. La exposición de una empresa a incidentes de ciberseguridad, a clientes que reclaman y a contrapartes que exigen cumplimiento no depende de la fecha en que el regulador pueda multar. Puso tres fuentes de presión que ya operan: la brecha de seguridad, cuyo costo es inmediato con o sin ley; el cliente que audita, porque los grandes compradores corporativos exigen cumplimiento a su cadena de suministro y quien no responde un cuestionario pierde el contrato; y el negocio internacional, porque para operar con datos desde y hacia la Unión Europea conviene tener una ley equiparable, y el mecanismo alternativo es oneroso e incierto. Recordó que Estados Unidos, sin ley general, ha visto caer dos veces su acuerdo de transferencia con Europa por demandas de un solo ciudadano. Su recomendación fue tomar el año como plazo de preparación, no como respiro.

El error europeo fue el cumplimiento de papel. Según Cetina, cuando el reglamento entró en vigor en 2018 la mayoría de las empresas españolas resolvió el problema con documentos: políticas de privacidad, un registro de tratamientos en una planilla, evaluaciones firmadas para justificar compras ya hechas. Uno o dos años después, cuando la autoridad tuvo presupuesto y equipo, empezó a fiscalizar con criterio probatorio, y el papel no aguantó. Contó el caso de una universidad española multada por exigir reconocimiento facial biométrico en exámenes durante la pandemia, y el patrón de la autoridad española de anunciar una multa alta a un actor grande para que el mensaje llegue a los pequeños, rebajarla después a cambio de un plan de cumplimiento y mantener la vigilancia por años. La lección, dijo, es que el estándar que termina exigiéndose es el de control demostrable: registros de acceso operando, inventario vivo de tratamientos, evaluación previa capaz de vetar una compra tecnológica, y control de quién accede a qué internamente.

La prueba del lunes. Como diagnóstico práctico, Cetina propuso una prueba simple: pedir al equipo técnico que ubique un dato personal sensible concreto dentro de la infraestructura de la organización. Si no puede hacerlo en menos de una semana, la organización no está preparada, por muchos documentos que tenga. Sobre eso ordenó un plan de trabajo para el año de prórroga: primero un dueño del proyecto con presupuesto, equipo y reporte directo a la alta dirección, no un nombre en una tarjeta ni una tarea secundaria de Sistemas o Legal; después el mapa, un inventario técnico de qué datos se recogen, dónde viven, por qué flujos pasan y qué proveedores los procesan; y recién entonces la evidencia, controles activos y protocolos de incidentes ensayados. Su regla para el gasto fue no comprar herramientas antes de tener el mapa, porque una plataforma de gobierno de datos sobre un desorden no indexado termina en licencias caras y abandono silencioso. Sí conviene invertir este año en horas de consultoría para el mapeo interno, en control de accesos y en ensayos de respuesta a incidentes; todavía no en banners de consentimiento, rediseño de políticas web ni certificaciones externas.

El cruce con la IA no tiene por qué paralizar. Cetina distinguió dos caminos para un proyecto de IA: si no toma decisiones sobre personas ni trata información identificable (optimización de rutas, mantenimiento predictivo), vía rápida sin cargar al equipo técnico con la burocracia de datos personales; si lo hace (scoring crediticio, filtrado de currículos, precios dinámicos), gobernanza desde el diseño, con capacidad de explicar el criterio y de mantener intervención humana real. Valoró que el reglamento europeo de IA haya hecho corresponsables al proveedor de la herramienta y a la empresa que la implementa, algo que la ley de protección de datos nunca logró: ahora el proveedor documenta con cuidado porque sabe que su cliente puede llevarlo a juicio. Con ejemplos de su propia escuela, una herramienta de bajo riesgo para tesis de MBA y un chatbot para responder consultas de estudiantes, mostró que una evaluación de impacto bien hecha se resuelve en semanas, no en meses, cuando el proveedor viene documentado.

Un cambio de paradigma para el directorio. En Europa, sostuvo Cetina, la conversación cambió el día en que un consejero tuvo que responder por una decisión que había tomado un sistema que nadie del consejo había visto. La pregunta del directorio dejó de ser si la empresa cumple y pasó a ser cómo puede demostrarlo operativamente y quién responde. Su balance para los directorios chilenos fue en tres palabras: valor, porque el capital invertido en papel se pierde y el invertido en visibilidad técnica se conserva; urgencia, porque la fecha legal no es el motor del mercado; y mandato, porque la función de protección de datos no es decir que no, sino diseñar el camino para decir cómo sí.

Dónde no hubo acuerdo

Un asistente planteó que, con realismo chileno, la postergación no es tan mala: sin ley vigente nadie se prepara, casi nada está hecho, y el año adicional permite concientizar y, según el proyecto, incorporar desde el inicio a las pequeñas y medianas empresas, en un país donde ni siquiera abundan los asesores en la materia. Cetina no lo negó, pero sostuvo que había una alternativa mejor que el legislador no tomó: dictar la ley con aplicación progresiva, exigible antes a la gran empresa y con plazos más largos para la pequeña, como hizo Europa en otras normas digitales. A su juicio, postergar todo envía un mensaje de inestabilidad hacia adentro y hacia afuera, alimenta la incertidumbre de una nueva postergación, y atrasa además el aprendizaje de la propia Agencia, que también se equivocará al principio. Sobre el punto en que ambos coincidieron: el año sirve solo si se usa.

Una segunda tensión apareció con la pregunta de si la regulación europea paralizó la innovación frente a Estados Unidos. Cetina lo calificó en parte de mito: la debilidad europea en innovación digital es estructural y anterior a la ley; Estados Unidos no es un espacio sin reglas sino uno con cincuenta leyes estatales, donde las empresas migran al estado menos exigente; y en sectores fuertemente regulados, como salud, la innovación estadounidense no se detuvo. Admitió, en cambio, que la mala regulación sí frena, y que un regulador sin expertos en la tecnología que regula se va a equivocar.

Lo que quedó abierto

Dos preguntas del público quedaron planteadas sin respuesta cerrada. La primera, de una persona a cargo de la adecuación en su empresa: cuando la matriz de riesgos de protección de datos puede vivir en Cumplimiento, que sabe de la ley pero no de tecnología, o en Ciberseguridad, que sabe de tecnología pero no de la ley, quién la integra, y si Riesgo Operacional terminará absorbiendo ambas. Cetina describió cómo lo resolvió España (despachos pequeños especializados, esquemas de certificación, y en su universidad un grupo de trabajo permanente entre protección de datos, servicios legales, TI y académicos), pero reconoció que la integración sigue siendo un problema de organización, no de norma.

La segunda: qué pasa con los modelos de negocio que dependen de bases de datos compradas o de venta agresiva. En Europa, según Cetina, esas prácticas disminuyeron de forma significativa, las bases todavía pueden comprarse pero bajo acuerdos y usos acotados, y el saldo menos feliz fue el cumplimiento performativo de los avisos de cookies.

Para el Observatorio, la conversación deja tres líneas de trabajo: seguir la tramitación de la postergación y del proyecto de ley de IA con la lectura de gestión que se ensayó acá; documentar cómo resuelven las empresas chilenas la integración entre cumplimiento, ciberseguridad y riesgo; y, a nuestro juicio, lo más urgente para directorios y pymes: convertir la prueba del lunes y el plan de tres entregables en una guía de autodiagnóstico aplicable este año.

Grabación y materiales

• Anuncio del seminario en Unegocios: Seminario Ley de Protección de Datos
• Grabación: se publicará en esta página.
• Láminas de Rodrigo Cetina, “Arquitectura de resiliencia operativa”: disponibles a solicitud mientras se habilita el enlace.