Compliance en protección de datos no es publicar una política de privacidad. Es construir un sistema que produzca evidencia de cumplimiento antes, durante y después de cualquier fiscalización.
En Chile, la Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y la Agencia de Protección de Datos Personales llega con potestad para multar hasta 20.000 UTM. Esta guía explica qué tiene que tener ese programa para ser funcional y no solo formal.
Compliance legal vs compliance operativo: la diferencia que importa
La mayoría de las empresas ya tiene el primer nivel: revisaron la ley, encargaron un informe legal, actualizaron la política de privacidad. Eso es compliance legal. Cubre la capa declarativa.
El compliance operativo es distinto. Cubre la capa que la APDP va a revisar: registros actualizados, procedimientos ejecutados con trazabilidad, logs datados, contratos firmados, evaluaciones documentadas. Sin esa capa técnica, la capa legal no protege a la empresa.
Una política de privacidad demuestra intención. Un registro de tratamiento datado y un log de respuesta a solicitudes ARCO demuestran cumplimiento.
Los 6 componentes de un programa de compliance funcional
- Inventario y registro de actividades de tratamiento. Mapa exhaustivo de qué datos personales trata la organización, con qué finalidad, bajo qué base de licitud, durante cuánto tiempo y con qué destinatarios. Es el Art. 14 ter de la ley y la primera carpeta que cualquier fiscalizador va a pedir.
- Marco de bases de licitud. Cada proceso necesita una base legal explícita: consentimiento, contrato, obligación legal, interés vital, público o legítimo. La mayoría de las empresas usa consentimiento por defecto, pero muchos tratamientos tienen bases más sólidas.
- Procedimiento de derechos ARCO. Protocolo documentado para recibir, verificar, procesar y responder solicitudes de acceso, rectificación, cancelación, oposición, portabilidad y bloqueo. Plazo máximo: 30 días.
- Procedimiento de notificación de brechas. Dos flujos: notificación a la APDP (sin dilación indebida, idealmente 72 horas) y notificación a los afectados cuando la brecha involucra datos sensibles o riesgo alto.
- Gestión de terceros y DPAs. Inventario de todos los proveedores que procesan datos, con su correspondiente contrato de tratamiento. Debe incluir cláusulas de seguridad, subcontratación y condiciones de terminación.
- Evaluaciones de impacto (EIPD). Análisis documentado de riesgo para tratamientos de alto riesgo: perfilamiento, datos sensibles, vigilancia, decisiones automatizadas. Cada EIPD debe estar fechada, firmada y archivada.
La capa técnica que sostiene el programa
Un programa de compliance sin soporte técnico produce papeles, no evidencia. Las cuatro herramientas que transforman la documentación en evidencia auditable son:
- Microsoft Purview: clasifica datos personales automáticamente, aplica políticas de retención y genera el registro de actividades de tratamiento.
- Microsoft Defender XDR: detecta incidentes de seguridad y alimenta el flujo de notificación de brechas dentro de plazo.
- Microsoft Entra ID: gestiona identidades y soporta la ejecución trazable de solicitudes ARCO.
- Microsoft Sentinel: centraliza logs con sello de tiempo auditable que demuestran qué pasó, cuándo y quién lo hizo.
La intersección con la Ley 21.663 de Ciberseguridad
La Ley 21.719 convive con la Ley 21.663 de Ciberseguridad, que crea la Agencia Nacional de Ciberseguridad (ANCI). El punto crítico: una misma brecha puede activar simultáneamente dos obligaciones de notificación. La Agencia de Protección de Datos Personales exige notificación sin dilación indebida cuando la brecha afecta datos personales. La ANCI tiene sus propios plazos para operadores críticos. Las empresas en banca, energía, salud o telecomunicaciones necesitan un procedimiento de respuesta a incidentes que gestione ambas notificaciones en paralelo.
Cuándo conviene hacer una auditoría de cumplimiento
- Antes de diciembre de 2026: para mapear brechas y priorizar el plan de cierre.
- Después de un cambio organizacional: fusión, adquisición, lanzamiento de nuevo producto que trata datos.
- Antes de una transferencia internacional de datos: para verificar garantías y nivel de protección del país destino.
- Después de una brecha: para documentar la respuesta, el alcance y las medidas correctivas.
Siguiente paso
Si quieres saber dónde está parada tu empresa frente a la Ley 21.719, agenda un diagnóstico inicial sin costo. 30 minutos, sin compromiso, con una hoja de ruta priorizada al final de la conversación.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Quieres un diagnóstico de cumplimiento para tu empresa?
En XMS hacemos una sesión inicial sin costo: revisamos tu entorno Microsoft, identificamos las brechas frente a la Ley 21.719 y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
No. Se superponen pero son distintos. Compliance de ciberseguridad cubre controles técnicos para proteger sistemas. Compliance de protección de datos cubre los derechos de los titulares, las bases de licitud y la gobernanza del tratamiento.
Una empresa mediana con Microsoft 365 ya implementado puede completar el programa en 3 a 4 meses con apoyo técnico especializado.
Ambos. El programa tiene una capa legal (bases de licitud, DPAs, política de privacidad) y una capa técnica (controles, logs, automatización de ARCO). Sin la capa técnica, la capa legal no tiene respaldo.
