Respuesta directa
Antes del 1 de diciembre de 2026 su organización debería poder acreditar, como mínimo: un RAT actualizado, la base de licitud de cada tratamiento, políticas publicadas, un canal de derechos ARCO+BP operativo, un procedimiento de notificación de incidentes, contratos con encargados y capacitación registrada.
El checklist
1. Inventario de datos y RAT actualizado: qué datos trata, de quiénes, en qué sistemas, con qué finalidad, plazo de conservación, destinatarios y medidas de seguridad. Con responsable por tratamiento y fecha de última actualización.
2. Base de licitud declarada por tratamiento: consentimiento, ejecución de un contrato, obligación legal u otra. Cada tratamiento del RAT debe tener la suya identificada.
3. Consentimientos con trazabilidad: cuando la base es el consentimiento, registro de quién consintió, cuándo, por qué canal y a qué versión del texto, con revocación tan simple como el otorgamiento.
4. Política de privacidad publicada y verdadera: con la información mínima exigida, accesible en cada punto de recolección y coincidente con lo que la organización efectivamente hace.
5. Canal de derechos ARCO+BP operativo: formulario y casilla dedicados, responsable asignado, plazos internos y respuestas documentadas dentro de los 30 días corridos.
6. Capacidad técnica de suprimir y exportar: poder ejecutar supresión y portabilidad en todos los sistemas donde vive el titular, incluidas planillas y respaldos.
7. Procedimiento de notificación de incidentes: detección, evaluación, notificación a la Agencia sin dilación indebida y comunicación a titulares cuando exista riesgo relevante, con roles definidos por escrito.
8. Contratos con encargados: cláusulas de tratamiento con cada proveedor que procesa datos por su cuenta, con obligaciones concretas de seguridad, subcontratación y respuesta a incidentes.
9. Evaluaciones de impacto en tratamientos de alto riesgo: identificados y evaluados antes de iniciarlos.
10. Determinación sobre el Delegado de Protección de Datos: análisis documentado de si corresponde designarlo y, si corresponde, designación formal.
11. Registro de accesos y trazabilidad: quién accedió a qué dato personal, cuándo y con qué acción.
12. Capacitación registrada: contenidos, asistentes y fechas. Sin registro de asistencia, la capacitación no se puede acreditar.
Cómo priorizar
No todos los puntos pesan lo mismo. Primero va lo crítico, porque de él dependen los demás: el RAT, las bases de licitud, el canal de derechos y el procedimiento de incidentes. Sin RAT no se puede evaluar nada más; sin base de licitud el tratamiento es infracción aunque esté bien resguardado; el plazo de derechos corre exista o no procedimiento; y el reloj de un incidente empieza cuando la organización toma conocimiento, no cuando decide organizarse.
Después vienen los puntos que reducen exposición y mejoran la posición defensiva: contratos con encargados, evaluaciones de impacto, política publicada, trazabilidad de accesos y capacitación.
Un atajo útil: responda la autoevaluación de 12 puntos y trabaje primero las brechas marcadas como críticas. Es el mismo orden que usaría un fiscalizador para revisar su carpeta.
Plan de 90 días
Días 1 a 30 — Diagnóstico e inventario: levantamiento por área (comercial, personas, finanzas, operaciones, TI, atención de clientes), identificación de sistemas, planillas, formularios y proveedores, consolidación del RAT y asignación de responsable por tratamiento.
Días 31 a 60 — Riesgo y encargados: clasificación de tratamientos por riesgo, evaluaciones de impacto donde corresponda, revisión de contratos con proveedores que tratan datos por su encargo y firma de las cláusulas faltantes.
Días 61 a 90 — Políticas, derechos y simulacro: publicación de la política actualizada, puesta en marcha del canal ARCO+BP con plazos internos medidos, y un simulacro de brecha de extremo a extremo para verificar que el procedimiento de notificación funciona con personas reales y no solo en el papel.
Continuo — Evidencia: cada cambio de tratamiento, cada solicitud de titular, cada incidente y cada capacitación quedan registrados con fecha y responsable. Este tramo no termina: es lo que sostiene el cumplimiento en el tiempo.
Lo que más se subestima
Mantener todo vigente. La mayoría de los proyectos de cumplimiento se diseñan como un hito: se completa el RAT, se firma la política, se capacita al equipo y el archivo se cierra. Seis meses después se contrataron dos proveedores nuevos, se lanzó un formulario, se integró un sistema y nadie actualizó nada.
Una evidencia que no coincide con la operación es peor que no tener evidencia, porque demuestra que existe un proceso que no se ejecuta. La Ley 21.719 no pide un informe anual: pide poder acreditar, en cualquier momento, cómo la organización administra los datos que tiene.
Preguntas frecuentes
Por el inventario y el RAT. Hasta que no sepa qué datos trata, en qué sistemas y con qué finalidad, no puede definir bases de licitud, plazos de conservación ni medidas de seguridad. Todo lo demás se apoya en ese levantamiento.
Meses de trabajo coordinado entre legal, TI, operaciones y las áreas de negocio, con un plan realista de 90 días como base mínima. Por eso hay que partir ya: el 1 de diciembre de 2026 no se extiende.
Equipo Aventia · especialista en Ley 21.719 · Actualizado 07.08.2026. Este contenido es informativo y no constituye asesoría legal. Fuente: texto oficial de la Ley 21.719 en la Biblioteca del Congreso Nacional (bcn.cl).
Herramienta
Haga la autoevaluación de 12 puntos y vea en 3 minutos qué brechas tiene su organización.
Producto
Los 9 módulos que dejan la evidencia lista para la fiscalización.
Planes
Precios en UF y portal de titulares ilimitado en todos los planes.
Contacto
Revise sus brechas de evidencia con un especialista.
¿Cómo está su organización hoy?
Revisamos sus tratamientos críticos y le indicamos qué evidencia le falta antes del 1 de diciembre de 2026.