Implementar la Ley 21.719 sin paralizar tu operación: roadmap de 12 semanas

Con nuestro sistema, el cumplimiento completo de la Ley 21.719 toma 2 a 3 meses. Este roadmap ordena ese trabajo en 5 bloques que se solapan a lo largo de 12 semanas, cada uno con entregables medibles: RAT operativo, bases de licitud documentadas, políticas y contratos vigentes, derechos ARSOP atendibles, EIPD para los tratamientos de alto riesgo, DPD designado y equipo capacitado.

Antes de empezar: principios del roadmap

Tres reglas guían este plan, basadas en proyectos reales con empresas chilenas y latinoamericanas:

• Mínimo viable primero, perfección después. Mejor un RAT con 80 % de los tratamientos en 4 semanas que uno completo en 9 meses.
• Evidencia, no documentación. Cada artefacto que produces debe ser auditable y utilizable, no decorativo.
• Encadena con seguridad. Si ya tienes ISO 27001 (o estás avanzando), reutiliza controles. Si no lo tienes, la Ley 21.719 es el momento perfecto para iniciar el SGSI en paralelo.

Los bloques se solapan a propósito: el RAT empieza antes de que termine el diagnóstico, y la capacitación arranca mientras los procesos terminan de ajustarse. Por eso 5 bloques caben en 12 semanas.

Equipo mínimo viable

El proyecto no requiere un ejército. El equipo núcleo es:

Bloque 1 — Diagnóstico y mapa

Semanas 1 a 2. Sin diagnóstico, cualquier plan posterior es ficción. Es el bloque más corto, pero condiciona todo lo que sigue.

Actividades

• Entrevistas con líderes de cada área (1 h cada uno) para mapear tratamientos a alto nivel.
• Inventario preliminar de sistemas con datos personales (CRM, ERP, payroll, marketing, antivirus...).
• Revisión de la política de privacidad actual, términos y consentimientos vigentes.
• Mapeo de transferencias internacionales (proveedores SaaS no chilenos).
• Evaluación de madurez de seguridad existente (¿ISO 27001? ¿controles formales?).

Entregables

• Documento de diagnóstico (~15 páginas) con brechas identificadas por obligación.
• Lista preliminar de tratamientos (primer borrador del RAT).
• Mapa de flujos de datos.
• Plan priorizado y estimación presupuestaria del proyecto.

Bloque 2 — RAT y licitud

Semanas 2 a 4. El RAT es el documento central del cumplimiento. En este bloque pasa de ser una lista preliminar a un registro auditable, con el fundamento legal de cada finalidad.

Actividades

• Por cada tratamiento, completar las 8 dimensiones obligatorias del RAT: identificación, finalidad, base de licitud, categorías de titulares/datos, destinatarios, transferencias internacionales, plazos de conservación y medidas de seguridad.
• Documentar la base de licitud aplicable a cada tratamiento.
• Validar con cada área que la información levantada es correcta.
• Identificar y documentar los tratamientos de datos sensibles y a gran escala (gatillan EIPD en el bloque 4).
• Construir un modelo de datos de flujos (data flow diagrams).

Entregables

• RAT v1.0 completo y validado por las áreas.
• Bases de licitud documentadas en el RAT.
• Lista de tratamientos que requieren EIPD.
• Mapa de transferencias internacionales con países, proveedores y garantías existentes.

Bloque 3 — Políticas y contratos

Semanas 3 a 6. Con el RAT en pie, toca cerrar lo que ven los titulares y los proveedores: políticas, avisos y consentimientos (públicos) y contratos con encargados (privados).

Actividades — políticas, avisos y consentimientos

• Redactar nueva política de privacidad alineada con la Ley 21.719.
• Redactar política interna de protección de datos personales.
• Auditar todos los formularios donde la empresa recolecta datos: web, app, papel, llamadas.
• Rediseñar los textos de consentimiento (claro, granular, específico, evidente).
• Implementar mecanismos de revocación tan simples como los de otorgamiento.
• Diseñar el banner de cookies (si aplica).

Actividades — contratos con encargados

• Listar todos los proveedores que tratan datos personales por cuenta de la empresa (cloud, SaaS, consultores, agencias).
• Clasificarlos por criticidad (volumen de datos, sensibilidad).
• Redactar cláusula contractual tipo de tratamiento.
• Iniciar la firma de adendas con los proveedores principales.

Entregables

• Política de privacidad pública (sitio web).
• Política interna de protección de datos.
• Inventario de consentimientos actualizado (versión por canal).
• Cláusula contractual tipo aprobada por legal.
• Calendario de firma de adendas con los 10–20 proveedores más críticos.

Bloque 4 — Procesos vivos: ARSOP, EIPD y brechas

Semanas 5 a 9. Las políticas no bastan: este bloque deja operando los flujos que la Agencia puede poner a prueba, con responsables y plazos.

Derechos ARSOP

• Definir el procedimiento de gestión de derechos ARSOP: canales, plazos y evidencias.
• Habilitar el canal de recepción y asignar responsables de respuesta.

EIPD

• Definir el procedimiento de evaluación de impacto (EIPD).
• Por cada tratamiento de alto riesgo identificado en el bloque 2, ejecutar la EIPD: descripción, necesidad y proporcionalidad, riesgos, medidas.
• Documentar la consulta previa a la Agencia si persiste riesgo alto.

Brechas

• Definir el procedimiento de notificación de brechas (interno, a la Agencia y a titulares).

Entregables

• 5 procedimientos operativos firmados (derechos, brechas, EIPD, RAT y retención).
• EIPD completadas para todos los tratamientos críticos.

Bloque 5 — Capacitación y readiness

Semanas 8 a 12. El último bloque prepara a las personas y verifica que todo lo construido es real, no decorativo. Es la puesta a punto previa a diciembre de 2026.

Capacitación

• Diseñar plan de capacitación segmentado: directorio, mandos medios, todos los colaboradores, áreas críticas (RR.HH., marketing, soporte).
• Ejecutar primera ola de capacitaciones (1–2 horas para colaboradores, 3–4 para áreas críticas).
• Documentar asistencia, evaluaciones y firmas de acuse.

DPD

• Formalizar la designación del DPD (interno o virtual).
• Comunicar a la Agencia y publicar los datos de contacto.
• Definir funciones, recursos e independencia funcional.

Auditoría de readiness

• Auditoría interna por una persona distinta a la que ejecutó (puede ser un consultor externo).
• Simulacro de solicitud ARSOP (medir tiempo de respuesta real).
• Simulacro de gestión de brecha (mesa de trabajo).
• Revisión de evidencia documental: ¿la podría revisar la Agencia sin dolor?
• Plan de mejora continua para los 12 meses siguientes.

Entregables

• Designación formal del DPD y comunicación a la Agencia.
• Plan de capacitación ejecutado (con evidencia).
• Informe de auditoría interna con no conformidades y observaciones.
• Plan de acción para cerrar las brechas detectadas antes de diciembre de 2026.
• Dashboard de cumplimiento para reporte al directorio.

Software recomendado por bloque

No necesitas comprar software el primer día. Estos son los bloques donde se vuelve necesario:

Cuándo conviene asesoría externa

El roadmap puede ejecutarse 100 % in-house si:

• El líder de proyecto tiene experiencia previa en privacidad (GDPR, Ley 19.628 madura).
• Hay capacidad de dedicarle 50 % de un FTE durante 3 meses.
• Existe acceso a plantillas de calidad (RAT, EIPD, contratos).

Si alguna de esas tres condiciones falla, una consultoría Ley de Datos Personales reduce el cronograma, evita errores costosos y entrega entregables auditables desde la primera semana.