Protección de datos: aplazar la ley no significa postergar la preparación

El gobierno acaba de anunciar que está evaluando postergar la entrada en vigencia de la nueva Ley de Protección de Datos Personales. La noticia no sorprende. Un estudio que realizamos recientemente en Cybertrust, entre más de 70 ejecutivos de distintas industrias, muestra que, aunque una parte importante de las empresas chilenas ha avanzado en su preparación para cumplir con la normativa, la mayoría reconoce que todavía no está completamente preparada para enfrentar este nuevo escenario regulatorio.

En una escala de 1 a 5, las organizaciones evaluaron su nivel de preparación con un promedio de 3,47. Si bien la cifra refleja avances importantes respecto de años anteriores, también evidencia que aún existen brechas relevantes. Ante esto, una potencial postergación de la entrada en vigencia de la ley no debe ser una excusa para retrasar la preparación de las organizaciones para cumplir con la nueva normativa. Al contrario, debe ser un impulso para avanzar.

Entre las principales debilidades identificadas en nuestro estudio por las compañías aparecen la falta de canales claros y accesibles para reportar incidentes o vulneraciones de datos personales, así como la necesidad de fortalecer la capacitación de los colaboradores en materias de privacidad y protección de la información.

Estos resultados permiten extraer una conclusión importante: el principal desafío ya no es únicamente comprender la nueva legislación, sino desarrollar las capacidades organizacionales necesarias para cumplirla de manera efectiva. La protección de datos dejó hace tiempo de ser una responsabilidad exclusiva de las áreas legales o tecnológicas. Hoy involucra a prácticamente toda la organización, desde los equipos que interactúan con clientes hasta quienes administran información de colaboradores, proveedores y terceros.

En ese contexto, la cultura organizacional adquiere un papel decisivo. Una empresa puede contar con políticas, procedimientos y herramientas tecnológicas sofisticadas, pero si las personas desconocen cómo tratar la información, identificar un incidente o responder frente a una vulneración, el riesgo seguirá presente. La mayoría de los incidentes de seguridad continúa teniendo un componente humano, ya sea por errores involuntarios, desconocimiento o malas prácticas cotidianas.

Nuestro estudio también muestra que el nivel de madurez no es homogéneo al interior de las organizaciones. Existen diferencias significativas entre áreas, generaciones y perfiles de colaboradores, lo que demuestra que una capacitación general no siempre resulta suficiente. Se pueden realizar capacitaciones masivas, pero luego se debe avanzar hacia programas permanentes de formación, adaptados a las funciones y riesgos específicos de cada equipo, incorporando casos prácticos y situaciones reales que permitan traducir la normativa en decisiones concretas del trabajo diario.

Al mismo tiempo, la implementación de la nueva ley exige fortalecer los mecanismos de gobernanza. Es necesario establecer responsabilidades claras, definir procesos para gestionar los derechos de los titulares de datos, contar con protocolos para responder oportunamente ante incidentes y desarrollar mecanismos que permitan monitorear de forma permanente el nivel de cumplimiento. La privacidad debe integrarse a los procesos desde su diseño y no incorporarse únicamente cuando aparece un problema.

Una eventual postergación de la entrada en vigencia de la ley puede entregar más tiempo a las organizaciones, pero no debería interpretarse como una invitación a retrasar su preparación ante la normativa. Por el contrario, representa una oportunidad para cerrar brechas, fortalecer capacidades y construir una cultura donde la protección de los datos personales forme parte de la manera habitual de trabajar.

Sobre el autor:

José Antonio Lagos, CEO de Cybertrust.

Las opiniones expresadas son sólo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes Chile.