Software para Ley 21.719: las 8 funcionalidades imprescindibles para cumplir sin Excel

Para empresas con menos de 30 tratamientos, Excel resuelve. Para todo lo demás, necesitas software dedicado. Estas son las 8 funcionalidades que debe tener cualquier plataforma seria para cumplir la Ley 21.719 en Chile, ordenadas por criticidad.

Por qué Excel deja de escalar

El RAT (Registro de Actividades de Tratamiento) parece un buen candidato para vivir en una planilla: al fin y al cabo es una tabla. El problema aparece cuando se cruzan tres factores típicos en empresas medianas:

• Volumen. Más de 50 tratamientos, con 8 columnas obligatorias cada uno y actualizaciones continuas.
• Multi-usuario. Varios responsables actualizan en paralelo, sin control de versiones ni auditoría de cambios.
• Dependencias. El RAT alimenta consentimientos, EIPD, contratos con encargados y respuestas ARCOP+. Mantener consistencia entre 5 planillas conectadas es inviable.

El resultado típico: el RAT se desactualiza a los pocos meses, las EIPD quedan huérfanas, los contratos no se firman, y cuando la Agencia pida evidencia la empresa no la puede generar a tiempo.

Las 8 funcionalidades imprescindibles

1. RAT automatizado y vivo

El núcleo de la plataforma. Debe permitir:

• Registrar tratamientos con todos los campos obligatorios de la Ley 21.719.
• Vincular cada tratamiento con: bases de licitud, encargados, transferencias internacionales, sistemas, datos involucrados, plazos de conservación.
• Trazabilidad de cambios (quién, cuándo, qué modificó).
• Vistas filtradas por área, finalidad o nivel de riesgo.
• Generación automática del documento RAT exportable (PDF, Excel) para auditoría.

El RAT debe ser un sistema en vivo, no un archivo. Si el director de RR.HH. crea un nuevo proceso de selección, la plataforma debe permitirle registrarlo en minutos.

2. Gestor de consentimientos (CMP)

El consentimiento debe ser libre, informado, específico, inequívoco y, sobre todo, demostrable. El software debe capturar y conservar evidencia de cada consentimiento:

• Texto exacto que aceptó el titular.
• Fecha, hora y canal.
• Versión de la política y de los términos vigentes en ese momento.
• Mecanismo de revocación con la misma facilidad que el otorgamiento.

El gestor también debe manejar el banner de cookies (con categorías granulares: necesarias, analíticas, marketing) si tu sitio web es público.

3. Portal y workflow de derechos ARCOP+

La plataforma debe ofrecer un portal donde el titular pueda ejercer sus derechos sin fricción, y un workflow interno para resolverlos en plazo. Funciones clave:

• Formulario público con verificación de identidad.
• Ticket interno asignado automáticamente al DPD o área responsable.
• SLA configurable según el tipo de derecho.
• Plantillas de respuesta validadas por legal.
• Evidencia documental archivada (qué pidió, qué se entregó, cuándo).
• Dashboard de cumplimiento (% en plazo, derechos vencidos, tendencias).

4. Gestión de brechas (incident response)

Cuando ocurre una brecha, el reloj corre. La plataforma debe ofrecer:

• Workflow estructurado: detección → análisis → contención → notificación → cierre.
• Cálculo automático del nivel de riesgo (impacto × probabilidad).
• Plantillas de notificación a la Agencia y a titulares.
• Cronómetro de cumplimiento del plazo de notificación.
• Registro histórico de todas las brechas (incluso las que no requirieron notificación externa).
• Lecciones aprendidas y plan de mejora.

5. Evaluaciones de Impacto (EIPD / DPIA)

El software debe asistir el proceso de EIPD sin reducirlo a un formulario lineal. Buena EIPD:

• Cuestionario adaptativo que detecta automáticamente si un tratamiento requiere EIPD.
• Vinculación con el RAT (no se re-ingresan los datos).
• Análisis de necesidad y proporcionalidad guiado.
• Matriz de riesgos (probabilidad × impacto) con cálculo automático del nivel.
• Catálogo de medidas mitigantes pre-cargado por tipo de riesgo.
• Workflow de aprobación (DPD → sponsor → ejecución).

6. Gestión de proveedores / encargados

Todos los proveedores que tratan datos personales por cuenta de la empresa son encargados. El software debe gestionar:

• Inventario de encargados con clasificación de riesgo.
• Repositorio de contratos firmados (con cláusulas de tratamiento).
• Cuestionarios de evaluación (due diligence) periódicos.
• Tracking de garantías de transferencias internacionales (cláusulas tipo, certificaciones).
• Alertas de vencimientos contractuales o cambios en condiciones del proveedor.

7. Capacitación interna trazable

La Ley 21.719 exige formar al personal en protección de datos, y la formación tiene que ser auditable. El software (o un LMS integrado) debe:

• Asignar capacitaciones por rol o área.
• Evaluar conocimiento con quizzes o casos.
• Emitir certificados con timestamp.
• Dashboard de cobertura: ¿qué porcentaje del personal completó cada módulo?
• Recordatorios automáticos de re-capacitación anual.

8. Reportes y dashboard para la Agencia

El cierre del ciclo. El software debe permitir generar paquetes de evidencia listos para fiscalización o auditoría externa:

• RAT exportable en formatos estándar.
• Listado de tratamientos con base de licitud, finalidad y plazos.
• Histórico de brechas notificadas y no notificadas.
• Métricas de cumplimiento ARCOP+ (volumen, plazo promedio, tasa de cumplimiento).
• EIPD ejecutadas y vigentes.
• Reportes ejecutivos para directorio (cumplimiento por dimensión).

Criterios para evaluar proveedores

Más allá de las 8 funcionalidades, considera:

Integración con ISO 27001: una sola plataforma para dos normas

La Ley 21.719 y la ISO 27001 comparten más del 70 % de los controles de seguridad. Una plataforma multinorma permite:

• Un único inventario de activos (datos personales son activos de información).
• Un único registro de riesgos.
• Un único set de controles que satisface ambas normas (mapeo cruzado).
• Un único cuerpo de evidencia auditable para certificadores y para la Agencia.

Confirmer360, la plataforma SaaS propia de Confiden360, fue diseñada con este enfoque multinorma. No es la única opción del mercado, pero es la única optimizada para Ley 21.719 chilena con cobertura nativa de ISO 27001:2022.