El Test de Ataque: 4 preguntas que desarman a la mayoría de las ofertas de compliance (y las 3 obligaciones que la Ley 21.719 nunca exigió)

Faltan 40 días.

O 405. Nadie lo sabe todavía, y ese es exactamente el negocio.

El 20 de octubre, la Comisión de Constitución del Senado aprobó por unanimidad la idea de legislar el boletín 18.623-07, el proyecto que corre la entrada en vigencia de la Ley 21.719 del 1 de diciembre de 2026 al 1 de diciembre de 2027. Aprobó la idea, no la ley. Falta la discusión en particular, la Sala del Senado, la Cámara y el Diario Oficial.

Pero usted ya leyó el titular. Yo también. Decía «Chile posterga la ley de datos personales hasta 2027» —en presente, como si fuera un hecho— y con eso miles de directorios cerraron el tema por doce meses.

Mientras tanto, en la misma semana, a esos mismos directorios les siguen llegando propuestas de «adecuación a la Ley 21.719» con la misma seguridad, el mismo precio y las mismas tres cifras que no están en la ley.

1. Faltan 40 días. O 405. En los dos escenarios le van a vender lo mismo

Pongamos el calendario en orden, porque la confusión es parte del problema.

Ese es el estado real, y no es una opinión: es la tramitación publicada por el Senado. Un proyecto con suma urgencia es una intención con calendario. Mientras no haya publicación en el Diario Oficial, la ley que rige es la de 2026.

Ahora la parte que importa para su billetera: su proveedor de compliance no va a cambiar la propuesta. La misma empresa que le cotizó «adecuación 2026» le va a cotizar «adecuación 2027» con el mismo alcance, el mismo entregable y, si puede, el mismo precio más un diez por ciento por «actualización normativa».

Porque el problema nunca fue la fecha. El problema es que el producto que le venden no depende de la fecha: es un artefacto. Y un artefacto no se vuelve más útil por tener doce meses más de plazo.

2. Lo que la ley sí exige: once obligaciones, y todas piden lo mismo

Cuando uno desarma la Ley 21.719 en obligaciones concretas, aparece un patrón que no se ve en los resúmenes: ninguna obligación se cumple con un documento. Todas se cumplen con evidencia producida en el tiempo.

Diez de once son continuas o recurrentes. Diez de once producen un registro nuevo cada vez que ocurre el evento. Eso es lo que la ley llama responsabilidad proactiva: no que usted diga que cumple, sino que pueda abrir una carpeta —o un sistema— y mostrar la evidencia con fecha de que cumplió, cada vez.

Y ahí está la primera pregunta incómoda: si su proveedor le entrega un entregable que no cambia cuando cambia el mes, ¿qué obligación de esta tabla está cumpliendo?

3. Las tres obligaciones que la Ley 21.719 nunca exigió

Antes de atacar la oferta ajena, la autopsia de la propia. Estas tres frases circulan en casi todas las presentaciones comerciales de compliance en Chile, y las tres son falsas —o, en el mejor caso, verdaderas solo bajo condiciones que casi nunca se dicen.

3.1 «El DPO es obligatorio si tratas datos a escala»

El artículo 50 del texto reformado dice, textual: «El responsable de datos podrá designar un delegado de protección de datos personales».

Podrá. No deberá.

La ley chilena no fija umbrales de tamaño, volumen ni tipo de dato que obliguen a designar un DPO. Tampoco obliga a los organismos públicos por el solo hecho de serlo. La designación pasa a ser exigible en un solo escenario: cuando la organización adopta voluntariamente un modelo de prevención de infracciones (artículo 49, regulado además por el Decreto 662 de 2026), uno de cuyos elementos mínimos es, precisamente, el delegado.

3.2 «La multa es de hasta el 4% de los ingresos»

El artículo 35 fija la escala real: hasta 5.000 UTM las infracciones leves (con amonestación escrita como alternativa), hasta 10.000 UTM las graves y hasta 20.000 UTM las gravísimas. Con el valor de la UTM de mayo de 2026, ese tope ronda los 1.400 millones de pesos.

El famoso 4% existe, pero no es el titular: aplica solo cuando concurren tres condiciones a la vez.

Y aun así, la Agencia aplica el monto mayor entre las UTM y el porcentaje. Traducido: para la enorme mayoría de las pymes chilenas, el 4% no opera. Lo que opera es la escala en UTM, el recargo del 50% si no subsanas en 60 días, y la triplicación por reincidencia.

No estoy diciendo que la multa sea barata. Estoy diciendo algo más útil: el número que te venden para asustarte es el que menos te aplica, y el que sí te aplica —el registro que no tienes, la solicitud ARCOP que no respondiste en plazo, el encargado sin contrato— no suena a titular.

3.3 «Tienes 72 horas para notificar una brecha»

Busque la expresión «72 horas» en el texto de la Ley 21.719. No aparece ni una sola vez.

El artículo 14 sexies exige reportar «por los medios más expeditos posibles y sin dilaciones indebidas». Ese es el estándar chileno. Las 72 horas son del RGPD.

3.4 La corrección que nos toca

En septiembre escribimos en este blog que la ley traía un «DPO obligatorio para organizaciones que tratan datos a escala». Estaba mal. El artículo 50 dice «podrá», y los umbrales de escala son europeos.

Lo corregimos acá, con el artículo a la vista, porque el Test de Ataque que sigue no sirve si uno se exceptúa de él. Un proveedor de compliance que no puede corregirse a sí mismo tampoco puede auditar a nadie.

4. Las tres formas del desalineamiento

Con eso claro, el patrón del mercado se vuelve legible. Estas son las tres formas en que una oferta invoca la ley sin atacarla —las tres, con ejemplos reales de categoría, no de empresa.

Las tres formas comparten una misma mecánica comercial: el miedo legal paga la factura técnica. Y funcionan porque el comprador no tiene tiempo de leer el articulado. El problema es que, cuando la Agencia llegue —en 40 días o en 405—, el comprador va a necesitar exactamente lo que no compró.

5. El Test de Ataque: cuatro preguntas, una reunión

No hace falta un abogado para distinguir una oferta que ataca la ley de una que solo la menciona. Hacen falta cuatro preguntas, hechas en voz alta, en la misma reunión, y un poco de incomodidad.

Las cuatro preguntas tienen una propiedad que las hace difíciles de esquivar: no requieren que el comprador sepa derecho. Requieren que el proveedor muestre el artículo, el artefacto, la cadencia y la consecuencia. Si las cuatro respuestas son concretas, la oferta es defendible. Si dos son vagas, no lo es.

6. El costo oculto: tu diagnóstico puede ser prueba en tu contra

Hay un riesgo que casi nadie menciona en la reunión comercial, y es el más caro de todos.

Si te venden «cumplimiento» y te entregan un diagnóstico de brechas, ese documento se convierte en la fotografía de tu incumplimiento. El día que te sancionen, el primer documento que la Agencia va a pedir es justamente ese: la prueba de que sabías, desde una fecha cierta, qué te faltaba —y no lo hiciste.

Y hay una asimetría perversa: haber hecho el diagnóstico puede agravar tu situación si no actuaste después. El diagnóstico no te protege; te fecha. La responsabilidad proactiva no premia el conocimiento, premia la evidencia de haber actuado.

7. Cómo se ve una oferta que sí ataca la ley

La diferencia no está en el precio ni en la cantidad de páginas. Está en si la propuesta se puede mapear a la tabla de la sección 2: obligación → evidencia → cadencia. Si una propuesta no se puede mapear, no es compliance; es una actividad.

Y una condición final, que es la que separa una oferta honesta de una agresiva: la propuesta debe decir explícitamente qué NO es obligatorio. Si el proveedor es incapaz de decir «esto la ley no lo exige, pero yo te lo recomiendo porque reduce riesgo», entonces no está describiendo la ley: está describiendo su catálogo.

Nosotros lo hacemos así, y no por virtud: por estrategia. Un proveedor que infla la obligación gana la venta de hoy y pierde la renovación del año siguiente, porque el cliente descubre la diferencia cuando ya pagó. La honestidad sobre lo opcional es, además, el mejor argumento de venta del producto que sí es obligatorio.

8. Qué hacer esta semana (en 40 días o en 405)

El Test de Ataque no es un artículo: es una reunión. Estas son las cuatro cosas que puede hacer sin contratar nada.

Primero. Tome su propuesta de compliance —la que tiene en el correo o la que le van a mandar— y escriba al margen de cada línea a qué obligación de la tabla corresponde. Las líneas que no se puedan mapear son, casi siempre, el 60% del precio.

Segundo. Haga las cuatro preguntas por escrito. No en la reunión: por correo. La respuesta escrita cambia todo, porque obliga a citar el artículo y a definir la cadencia.

Tercero. Pida la evidencia del mes pasado y la del mes que viene. Si no existe la del mes pasado, no va a existir la del próximo. La cadencia se prueba con el histórico, no con el compromiso.

Cuarto. Separe lo obligatorio de lo recomendado —y decida con esa separación a la vista. Hay cosas que valen la pena aunque no sean exigibles: un DPO voluntario puede ser una buena decisión de gobierno. Lo que no puede pasar es que usted lo compre creyendo que la ley lo obliga.

Porque al final el calendario es lo de menos. Si la ley entra en 40 días o en 405, la pregunta es la misma: ¿podrías abrir una carpeta —o un sistema— y demostrar, con fecha, que gobiernas el dato?

Si la respuesta es sí, la prórroga te da doce meses de ventaja. Si la respuesta es no, la prórroga no compró tiempo: compró silencio. Y el silencio, en compliance, siempre se paga con la factura más alta.