La protección de datos también debe pensarse desde las pymes

La implementación de la Ley 21.719 no puede limitarse a las grandes empresas con directorios y áreas de cumplimiento. Las pymes también necesitan orientaciones simples, proporcionales y aplicables a su realidad para adoptar una verdadera cultura de protección de datos y evitar que el primer año de vigencia sea entendido erróneamente como un período sin consecuencias.

La carta «La ley que no se cumple con abogados» (23 de julio) plantea con acierto que el cumplimiento de la Ley 21.719 no se resuelve con documentos, sino con un cambio de cultura organizacional: sacar el tema del comité legal, llevarlo al comité ejecutivo, mapear las decisiones que involucran datos personales, capacitar en profundidad. Comparto ese diagnóstico. Pero creo que el debate público sobre esta ley tiene un punto ciego: está pensado casi enteramente para la empresa que tiene comité ejecutivo, directorio y área de compliance. Esa empresa es la excepción, no la regla, en el tejido productivo chileno. Según cifras del Instituto Nacional de Estadísticas y el Banco Central, cerca del 98% de las empresas del país son micro, pequeñas o medianas, y emplean a cerca de la mitad de los trabajadores formales de Chile. En esas empresas —muchas veces de 2, 5 o 10 personas— no existe un comité ejecutivo al que elevar el tema: el dueño o la dueña es, el mismo día, el área legal, de recursos humanos y de tecnología. Pedirles que transformen su cultura organizacional sin traducir qué significa eso en su realidad concreta equivale, en la práctica, a pedirles algo que no van a poder ejecutar.

Hay, además, una idea que circula con fuerza entre estas empresas y que conviene precisar, porque genera una falsa sensación de holgura: se ha extendido la creencia de que existe un año completo sin multas, garantizado, para las pymes tras la entrada en vigencia. Conviene matizarla. El artículo sexto transitorio de la ley contempla, para las empresas de menor tamaño, la posibilidad de que la Agencia de Protección de Datos opte por una amonestación escrita en lugar de una multa durante los primeros doce meses de vigencia — pero esa amonestación de todas formas queda registrada y puede pesar en fiscalizaciones futuras. No es, en ningún caso, un año libre de consecuencias. Apoyarse en la lectura más optimista de esta norma, sin avanzar en lo mínimo exigible, es un riesgo que muchas pymes no están dimensionando.

¿Qué significa entonces una cultura de datos para una empresa de cinco trabajadores? En nuestra experiencia asesorando a emprendedores, se reduce a tres hábitos concretos y sostenibles: saber qué datos de clientes y trabajadores se guardan y con qué finalidad —un inventario simple, no un mapa corporativo—; tener un protocolo breve sobre qué hacer ante una eventual filtración; y revisar periódicamente si algo cambió —un nuevo proveedor, una nueva herramienta con inteligencia artificial— que afecte esos datos. No es una exigencia menor a la que plantea la carta original; es la misma exigencia, adaptada a una escala donde no existen comités.

La Ley 21.719 va a mostrar, en efecto, quiénes trataron los datos de las personas con responsabilidad y quiénes con conveniencia. Pero para que esa pregunta también alcance al 98% del tejido empresarial que no tiene directorio, la discusión pública —y probablemente también la propia Agencia, a través de las instrucciones generales diferenciadas por tamaño que contempla el artículo 14 septies— tiene que bajar un peldaño más: de la sala de directorio al mesón del emprendedor.

¿Su pyme necesita cumplir la Ley 21.719? Escríbale a Marcelo Gallardo: