La parte del cumplimiento que está fuera de tu empresa y casi nadie levantó
Cuando una empresa mediana empieza a ordenarse para la Ley 21.719, lo primero que hace es mirar hacia adentro: qué sistemas tenemos, qué datos hay, quién accede.
Es el paso correcto. Pero se queda corto, porque una parte importante de los datos personales de tu empresa no está en tu empresa.
Está en el CRM que arriendas por suscripción. En la plataforma de mailing. En el software de remuneraciones. En la nube donde corre todo. En la herramienta de firma electrónica. En el portal de postulaciones que usa recursos humanos. Y en esa aplicación que comercial contrató por su cuenta y que TI descubrió tres meses después.
Cada uno de esos proveedores está tratando información personal de tus clientes, tus trabajadores y tus prospectos. Y desde el 1 de diciembre de 2026, eso deja de ser un detalle administrativo.
Contratar un servicio no traslada la responsabilidad
Esta es la idea que más cuesta instalar y la que más caro sale entender tarde.
La ley distingue dos roles. El responsable del tratamiento es quien decide para qué y cómo se usan los datos: tú. El encargado del tratamiento es quien los procesa por cuenta tuya, siguiendo tus instrucciones: tu proveedor.
Que un tercero opere el sistema no te saca del cuadro. Si tú recolectaste el dato, sigues siendo el responsable ante la Agencia de Protección de Datos Personales. Si tu proveedor lo maneja mal, lo pierde o lo expone, el que tiene que responder eres tú.
Puedes tercerizar la operación. No puedes tercerizar la responsabilidad.
Por eso la ley empuja a que la relación con cada encargado esté por escrito, y no en un contrato de servicio genérico. Se necesita un acuerdo que fije qué datos le entregas, con qué finalidad puede tratarlos, que solo actúa según tus instrucciones, qué medidas de seguridad aplica, si puede subcontratar a alguien más, cómo te avisa si tiene un incidente y qué pasa con la información cuando la relación termina.
Ese documento se llama contrato o acuerdo de encargo de tratamiento. La mayoría de las empresas medianas en Chile hoy no lo tiene con ninguno de sus proveedores.
El problema silencioso: dónde están alojados tus datos
Hay una segunda capa que aparece apenas rascas un poco.
La gran mayoría del software que usa una empresa mediana chilena corre en servidores fuera de Chile. Eso convierte buena parte de tu operación diaria en una transferencia internacional de datos, aunque nadie en la empresa la haya pensado nunca en esos términos.
La Ley 21.719 regula esas transferencias. En términos simples, están permitidas cuando el país de destino ofrece un nivel adecuado de protección según lo determine la Agencia, o cuando existen garantías apropiadas que respalden la transferencia, entre ellas cláusulas contractuales tipo o normas corporativas vinculantes para grupos de empresas.
El dato práctico: Chile ya avanzó en aprobar cláusulas contractuales tipo, precisamente para que las organizaciones puedan ordenar su documentación antes de que la ley sea plenamente exigible. O sea, la herramienta existe y está disponible ahora.
Lo que no existe todavía, en la mayoría de las empresas, es la respuesta a la pregunta previa: ¿dónde están, físicamente, los datos de cada uno de nuestros sistemas? Y “en la nube” no es una respuesta. La nube siempre queda en algún país.
Las cinco preguntas que hay que hacerle a cada proveedor
Si quieres bajar todo esto a algo accionable esta semana, es esto.
Uno. ¿Dónde están alojados físicamente los datos? País y región. Si el proveedor no lo tiene documentado o te contesta en genérico, ahí ya tienes un hallazgo.
Dos. ¿Qué dice el contrato sobre lo que pueden hacer con ellos? Necesitas finalidad declarada, instrucciones y límites. Un contrato de licencia de software rara vez cubre eso.
Tres. ¿Cómo y en cuánto tiempo me avisan si tienen una brecha? Esto es crítico y se subestima. Tu plazo para notificar a la Agencia empieza a correr cuando tu organización toma conocimiento del incidente. Si tu proveedor se demora una semana en contarte, tu exposición no desaparece: solo se comprime.
Cuatro. ¿Subcontratan a alguien más? Tu proveedor de software probablemente tiene su propio proveedor de infraestructura, que a su vez tiene otro. Esa cadena tiene que estar declarada y tú tienes que poder autorizarla.
Cinco. ¿Qué pasa con los datos cuando dejamos de trabajar juntos? Devolución o eliminación certificada, en un plazo definido. Si no está escrito, la información queda ahí indefinidamente.
Por qué esto se hace mejor en agosto que en noviembre
Hay un argumento de negociación que vale más que el argumento de la multa.
Estas cláusulas hay que pedírselas a los proveedores. Y los proveedores, en general, no quieren firmar cosas que les agregan obligaciones. Hoy, con cuatro meses por delante y pocos clientes pidiéndolo, tienes margen para conversar, comparar y en el peor caso cambiar de proveedor.
En noviembre, cuando todas las empresas del país estén pidiéndole lo mismo al mismo proveedor a la vez, tu poder de negociación es cero. Vas a firmar lo que te ofrezcan.
Hay además un efecto secundario que conviene tener presente: cada vez más empresas grandes están empezando a exigir evidencia de cumplimiento a sus proveedores en licitaciones y procesos de due diligence. Si tú le vendes a compañías de ese tamaño, esto se va a transformar en un requisito comercial antes de que sea un problema regulatorio.
Por dónde partir, concretamente
No empieces por los contratos. Empieza por la lista.
El primer entregable es un catastro de terceros: qué proveedores, plataformas y servicios tratan datos personales de tu empresa. Con qué datos, en qué país, bajo qué contrato vigente y quién dentro de la empresa es el dueño de esa relación.
Esa lista casi nunca existe, y armarla ya produce dos hallazgos garantizados. El primero es la cantidad de herramientas contratadas por áreas individuales sin pasar por TI. El segundo es la cantidad de contratos que no dicen una palabra sobre datos personales.
Con la lista en la mano, priorizas: partes por los proveedores que manejan más volumen o datos más sensibles, y desde ahí bajas. No necesitas resolver los cuarenta al mismo tiempo. Necesitas saber que son cuarenta.
Y hay una conexión que vale la pena hacer explícita: este catastro es la extensión natural del inventario de datos interno. Uno mapea dónde vive la información dentro de tu empresa; el otro, dónde vive fuera. Juntos son el mapa completo, y sin ese mapa cualquier plan de cumplimiento es una declaración de intenciones.
En corto: contratar a un tercero no traslada la responsabilidad. La Ley 21.719 exige acuerdos escritos con cada encargado del tratamiento y garantías para las transferencias internacionales. El primer paso no es firmar contratos: es levantar la lista de quiénes son.
¿Sabes cuántos terceros manejan datos personales de tu empresa?
En DataQu levantamos el mapa completo: qué datos tienes, dónde viven, quién los toca dentro de tu organización y qué proveedores los tratan fuera de ella.
Agenda 20 minutos y sales de esa conversación con una lista concreta y un orden de prioridad, no con un informe genérico.
