Aplazar la ley no cambia lo que el mercado ya está exigiendo

A fines de agosto el Gobierno ingresó al Senado, con suma urgencia, un proyecto para correr la vigencia de la Ley 21.719 a diciembre de 2027, que regula la protección y el tratamiento de los datos personales,. El motivo es institucional, no de fondo: el Consejo Directivo de la Agencia debía estar constituido al 1 de junio, el Senado rechazó la terna en mayo y aún no se instala. Es razonable no querer una ley vigente sin el órgano que debe aplicarla.

Dicho eso, creo que aplazar no va a producir el efecto que se espera. El proyecto mueve dos cosas: la fecha en que empiezan las multas y el calendario del fiscalizador. No mueve el estándar, y por una razón simple: ese estándar hoy no lo impone la Agencia. Lo impone el que compra.

Leer también: Del “qué” al “cómo” en IA

Lo digo como proveedor de empresas grandes: lo vivimos en cada negociación. No hay contrato sin un DPA como anexo. Antes de firmar llega un cuestionario de seguridad de cien o doscientas preguntas. Piden ISO 27001 o SOC 2 Type II y, si no las tienes, el plan con fechas. Piden la lista de subencargados, dónde se aloja el dato y, si hay inteligencia artificial, si esas conversaciones entrenan algo. Exigen avisos de brecha en 24 o 48 horas, cuando la ley solo pide avisar sin dilaciones indebidas. Y el tope de responsabilidad trae una excepción para protección de datos: un incidente puede costar más que el contrato. Ninguna de esas exigencias vino de la ley: vinieron del área de compras.

Tampoco necesitan una agencia funcionando, y la región lo prueba. México estrenó en marzo de 2025 su nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares justo después de extinguir al INAI: la fiscalización pasó a la Secretaría Anticorrupción y Buen Gobierno y el reglamento aún no se publica. Brasil es más elocuente: la LGPD rige desde 2020 y la ANPD recién sancionó por primera vez en julio de 2023. En los dos el mercado se ordenó igual: los derechos se ejercen directo ante la empresa y la exigencia baja por la cadena de proveedores. El fiscalizador confirma el estándar; no es lo que lo instala.

Entonces, si el estándar ya opera, ¿qué cambia con el aplazamiento? La certeza. Y ahí está el daño. La confusión pega más que la exigencia: una empresa puede planificar contra una regla dura, pero no contra una fecha que se mueve. Si anunciamos que la ley llega en diciembre y no llega, después nadie sabe a quién creerle. Por eso creo que el mercado se va a partir en dos.

Por un lado, la gran empresa y su cadena de proveedores. El retail, la banca y las telcos llevan meses, algunos años, implementando programas de cumplimiento que se ajustan a este nuevo estándar. Nadie desarma algo que ya pagó, y ahí la exigencia va a seguir llegando por contrato, no por ley.

Por otro, las empresas chicas y medianas que no tienen ese tipo de cliente encima. Ese es el que me preocupa: va a leer el aplazamiento como permiso para relajarse. Y van a descubrir tarde que lo caro no se improvisa: saber qué datos tienes y quién accede a ellos no lo resuelve legal solo, sino con TI y con cada área; renegociar contratos depende del calendario del otro; y una SOC 2 Type II no se compra con presupuesto: exige meses de observación de tu operación real.

La ley 21.719 apuntaba a un cambio cultural más que a un régimen de multas, y la mayoría de las empresas quiere operar dentro de la ley: solo necesita saber qué se espera. En las dos líneas de tiempo el trabajo es el mismo: inventario, contratos, sistemas. Lo único que cambia es la fecha en que alguien viene a revisarlo, y hoy ese alguien es tu cliente.

Sobre el autor:

Ricardo Jungk Gutiérrez es Legal & Compliance Lead de Vambe.

Las opiniones expresadas son sólo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes Chile.