El Gobierno evalúa postergar por un año la entrada en vigencia de la nueva Ley de Protección de Datos Personales, prevista originalmente para el 1 de diciembre de este año, ante el retraso en la puesta en marcha de la Agencia de Protección de Datos. El retraso se explica por la falta de acuerdo en el Senado para ratificar a los consejeros que integrarán la nueva entidad.
La eventual prórroga abre un nuevo período de adaptación para las empresas, pero también plantea una pregunta para sus directorios: ¿cómo avanzar en la gestión de datos y en el cumplimiento de las nuevas exigencias mientras la institucionalidad sigue pendiente?
Para Felipe Harboe, profesor del programa Rol del Director del Instituto de Directores de Chile, es un riesgo importante que la ley entre en vigencia sin unorganismo encargado de fiscalizar su cumplimiento. Además, plantea que el desafío va más allá del ámbito legal o tecnológico y debe instalarse como una materia de gobierno corporativo, especialmente frente a los nuevos riesgos asociados al uso de inteligencia artificial.
¿Es partidario de postergar la entrada en vigencia?
Soy más partidario de postergar el régimen de sanciones. La ley podría entrar en vigencia, instalarse la Agencia y establecerse un período de adecuación en el que no se apliquen multas por incumplimientos. Eso permitiría que las empresas puedan adaptarse al nuevo marco regulatorio sin generar un escenario de mayor incertidumbre. De lo contrario, seguirán operando otras normas y competencias, como las del SERNAC, que también inciden en los derechos de las personas.
Desde la perspectiva de los directorios, ¿qué deberían estar haciendo hoy las empresas para abordar la protección de datos como un asunto de gobierno corporativo?
El primer cambio es entender que los datos ya no son solamente un asunto legal o tecnológico. Una empresa que gestiona adecuadamente sus bases de datos está construyendo un activo intangible que puede ser valorizable.
Además, una empresa que cumple adecuadamente con estos estándares puede ser más competitiva que una que no lo hace. Por eso, el directorio debe asegurarse de que la administración tenga implementadas las medidas técnicas y organizativas necesarias para cumplir con las nuevas exigencias.
¿Qué nuevos riesgos introduce la inteligencia artificial?
La inteligencia artificial está transformando rápidamente la manera en que las empresas recopilan y utilizan información. El problema es que la privacidad de los datos que se ingresan en estas herramientas no está necesariamente garantizada.
Los directorios deberían preocuparse de que existan protocolos claros sobre qué información pueden ingresar los trabajadores, qué información no pueden compartir y qué plataformas pueden utilizar. También deben definir si se trabajará con sistemas abiertos o cerrados y cuál será el apetito de riesgo de la compañía frente al uso de inteligencia artificial.
¿Qué deberían hacer hoy los directorios y equipos ejecutivos para prepararse para la entrada en vigencia de la ley?
Lo primero es tener un diagnóstico claro: saber qué datos tiene la compañía, por qué los tiene, dónde están y cómo los gestiona. Si la empresa puede responder esas cuatro preguntas, está en buen pie. Si no puede hacerlo, debería buscar asesoría especializada para identificar las brechas y avanzar en la adecuación normativa, tecnológica, de procesos y de gobernanza.
¿Qué tan importante es que los directorios se formen en estas materias?
Es clave. Sin formación no hay capacidad de decisión. El directorio debe estar informado y exigir a la administración no solo datos cuantitativos —cuántos datos tiene la empresa o dónde están—, sino también información sobre cómo se está cumpliendo cada una de las nuevas obligaciones regulatorias. La protección de datos dejó de ser un asunto exclusivamente legal o tecnológico. Ya es una materia de gobierno corporativo y debe estar en la agenda de los directorios.