Llevamos cerca de treinta años en sistemas, y hay una escena que se repite en las empresas con las que conversamos.

Le preguntamos a alguien de la organización por la Ley 21.719 y nos contestan: “no, si eso ya lo vio el abogado, estamos ok”. Le preguntamos al CISO y nos dice: “estamos seguros, tenemos el SOC funcionando, cumplimos ISO 27001”. Le preguntamos a desarrollo, a arquitectura, a los equipos que efectivamente escriben el software que procesa los datos de las personas, y ahí el silencio es distinto.

No es que digan que no cumplen. Es que nadie les ha preguntado, y nadie les ha bajado la línea técnica de qué significa cumplir.

Lo que dice el artículo, y lo que el título hace pensar que dice

El artículo 14 quater de la Ley 21.719 se titula “Deber de protección de datos personales desde el diseño y por defecto”. Ese título es parte del problema: cualquiera que lo lea rápido lo archiva mentalmente en la misma carpeta que “seguridad de la información”, junto al artículo sobre medidas de seguridad. Y no es lo mismo.

Todo eso es diseño de software, no perímetro de seguridad. Un sistema puede tener el mejor firewall del mercado y seguir siendo estructuralmente incapaz de ejercer un derecho ARCOP en un plazo razonable, porque el dato de una persona está desperdigado en siete tablas, tres integraciones y un batch nocturno que nadie documentó.

Lo que ya vivió Europa: ocho años de artículo 25 GDPR

Chile no está inventando este problema. El artículo 25 del GDPR es el antecedente directo del 14 quater y lleva vigente desde 2018. Ya hay guías de autoridades, jurisprudencia y sanciones. Vale la pena mirar tres cosas concretas.

La desconexión organizacional, explicada

Con eso como telón de fondo, vuelvo a la escena inicial. Acompañando esta transición en el sector financiero, público y de salud, el patrón se repite:

• Legal revisa el texto de la ley, redacta la política de privacidad, actualiza cláusulas contractuales y siente que cumplió su parte. Y la cumplió, dentro de su alcance.
• El CISO revisa controles de seguridad, gestiona el SOC, corre pentest, cumple ISO 27001. También cumplió su parte, y es una parte necesaria — pero no es la misma pregunta.
• Desarrollo y arquitectura —quienes realmente deciden si el dato se minimiza, si hay trazabilidad de consentimiento, si el sistema puede ejecutar un derecho ARCOP sin trabajo manual heroico— casi nunca reciben una bajada técnica formal. No porque nadie quiera decírselo, sino porque hoy no existe, en la mayoría de las organizaciones, un puente institucional entre el análisis legal de cumplimiento y el ciclo de vida de desarrollo de software (SDLC).

El espejo del problema se ve desde el otro lado: a los abogados especializados en protección de datos les cuesta el lenguaje técnico —anonimización real versus seudonimización, arquitectura del ciclo de vida del dato, qué significa “aprendizaje” en un modelo de machine learning entrenado con datos personales— y a los técnicos les cuesta el lenguaje jurídico. La ley exige, en la práctica, un puente bidireccional que hoy casi nadie está construyendo formalmente.

El punto ciego real: no es que el software sea “ilegal”

Formalmente no existe la categoría “software ilegal” ni “obsoleto legalmente”, y no la va a inventar este artículo. Pero sí existe algo muy concreto y medible: la incapacidad demostrable de un sistema para responder, en los plazos que la ley establece, a un ejercicio de derechos; o para acreditar ante una fiscalización que la minimización y las finalidades declaradas efectivamente gobiernan cómo se diseñó el dato.

Los sistemas legados de la banca, el sector público y la salud en Chile —muchos con quince, veinte o más años de evolución incremental— no se concibieron bajo esa máxima. Se concibieron para procesar transacciones, no para saber en qué tabla, en qué respaldo, en qué integración con un tercero y en qué reporte batch vive el dato de una persona específica, ni para poder borrarlo, corregirlo o exportarlo de manera consistente.

¿Es exagerada la metáfora de la ola?

En el plazo inmediato, sí, un poco. En Chile la Agencia de Protección de Datos Personales recién se está instalando, la fiscalización activa tomará tiempo en madurar y no veremos mañana una ola de sanciones equivalente a las europeas. Allá la ola tardó años en formarse después de 2018, y golpeó con más fuerza cuando coincidió con un incidente de seguridad que obligó a mirar hacia atrás en la arquitectura.

Pero en la dirección de fondo la intuición está bien fundada, y la evidencia europea la respalda en un punto específico: “el sistema es viejo, no lo diseñamos pensando en esto” no exime.

Así que la metáfora precisa no es un maremoto instantáneo, sino una marea que sube de forma gradual y silenciosa —fiscalización, denuncias de titulares, algún incidente que dispare una revisión— hasta que, en algún momento, alcanza sistemas que llevan años sin que nadie los mire desde este ángulo. Para quien construyó esos sistemas hace una década sin este marco en mente, el efecto cuando llega es exactamente el de una ola: repentino, aunque el agua llevaba tiempo subiendo.

Qué puede hacer TI sin esperar a que alguien más traduzca la ley

No es necesario esperar la bajada perfecta de legal para empezar. Acá, cuatro líneas de trabajo que dependen de desarrollo y arquitectura, no de un abogado: