Diversos medios han informado sobre una eventual postergación de la entrada en vigencia de la reforma a la Ley de Protección de Datos Personales. El debate se ha concentrado casi por completo en un punto: las dificultades para nombrar a los consejeros que integrarán la futura Agencia de Protección de Datos Personales.

La discusión es legítima, pero incompleta. Y corre el riesgo de instalar una idea equivocada: que el obstáculo para aplicar la nueva ley está en el regulador que aún no existe. Junto con mirar hacia allá, conviene voltear la vista hacia nuestras propias organizaciones y preguntarnos algo más incómodo: ¿están preparadas para el cambio de paradigma que impone la Ley N° 21.719 este 1 de diciembre?

Los antecedentes disponibles no invitan al optimismo. Según el estudio de PwC Chile y la Fundación Generación Empresarial, un 74% de los ejecutivos encuestados reconoce no tener visibilidad completa sobre las actividades de tratamiento de datos que realizan sus propios equipos, y apenas un 13% se considera muy preparado para cumplir con la nueva normativa. Cuesta imaginar que, en los meses que restan, sea posible levantar desde cero un modelo de gobernanza de datos que se condiga con las exigencias de la reforma.

Parte del problema es de diagnóstico. Muchas organizaciones siguen tratando la protección de datos como un asunto exclusivamente tecnológico, delegado en el área de TI. Esa mirada quedó atrás: hoy hablamos de gobernanza corporativa, gestión de riesgos, reputación y mejora continua de procesos.

La nueva legislación se construye sobre el principio de responsabilidad proactiva, que no se satisface con aprobar una política interna y archivarla. Exige que la empresa sepa qué datos personales trata, con qué finalidad, sobre qué base de licitud, quiénes acceden a ellos, cuánto tiempo se conservan y cuáles son las medidas técnicas y organizativas proporcionales al riesgo de cada tratamiento. Es un ejercicio de conocimiento propio antes que de redacción documental. Ninguna Agencia, por bien integrada que esté, puede hacer ese trabajo por las empresas.

Llama la atención que hayan transcurrido casi dos años desde la publicación de la Ley N° 21.719, en diciembre de 2024, sin un esfuerzo masivo de preparación del sector privado. A diferencia de otros cambios regulatorios recientes —la Ley Karin o la reducción de la jornada laboral a 40 horas—, esta reforma nunca logró instalarse con la misma intensidad en la agenda pública. Y ello pese a que comparte con esos ejemplos un rasgo esencial: sus principales beneficiarios son las personas, los titulares de los datos, que deberían estar cada vez más empoderados para ejercer los derechos que la ley les reconoce.

Una eventual postergación es, sin duda, una mala noticia. Retrasa la consolidación de un derecho fundamental cuya protección resulta cada vez más urgente en una economía intensiva en datos, y prolonga la vigencia de un marco que lleva veinticinco años quedándose corto. Pero también puede leerse como un último llamado de atención para quienes han dilatado su preparación bajo la premisa de que siempre habrá más tiempo.

Porque el cumplimiento en materia de protección de datos no se improvisa. No se resuelve con una consultoría de última hora ni con un manual firmado en noviembre. Requiere construir —muchas veces desde cero— una cultura organizacional en la que el tratamiento de datos personales forme parte de las decisiones cotidianas. Ese trabajo toma tiempo, y el tiempo, esta vez, ya se gastó.

La pregunta, entonces, no es cuánto plazo adicional necesitamos, sino qué haremos distinto con el que ya tuvimos.