Auditoría de datos y gobierno de la información: metodología holística para la Ley 21.719
- Por Amparo Silva | Amsoft
Introducción
Con la Ley 21.719 de Protección de Datos Personales entrando en vigencia el 1 de diciembre de 2026, las organizaciones chilenas se encuentran en una fase crítica de preparación. Mientras muchas empresas han comenzado a actualizar sus políticas de privacidad y a revisar sus contratos con proveedores, existe un componente que con frecuencia se subestima en los planes de cumplimiento: la auditoría de datos y el gobierno de la información.
Sin un conocimiento detallado y actualizado de qué datos personales existen, dónde están almacenados, cómo fluyen entre sistemas y quién tiene acceso a ellos, cualquier esfuerzo de cumplimiento construye sobre cimientos inestables.
La Ley 21.719 no solo establece derechos para los titulares de datos y obligaciones para quienes los tratan: exige que las organizaciones puedan demostrar activamente su cumplimiento ante la Agencia de Protección de Datos Personales que se creará con la ley.
Esta responsabilidad proactiva, inspirada en el principio de accountability del Reglamento General de Protección de Datos (GDPR) europeo, requiere que las organizaciones mantengan documentación actualizada sobre sus actividades de tratamiento, realicen evaluaciones de impacto en contextos de alto riesgo y tengan la capacidad de responder auditorías con evidencia concreta. Este artículo desarrolla la metodología y los componentes clave de un programa de auditoría de datos y gobierno de la información adaptado al contexto de la Ley 21.719.
1. Metodología integral para el descubrimiento y mapeo de activos de información
1.1 El inventario de datos como punto de partida obligatorio
El primer paso —y frecuentemente el más revelador— en cualquier programa de cumplimiento de la Ley 21.719 es el descubrimiento exhaustivo de los activos de información personal que la organización trata. Esta tarea, que parece simple en teoría, resulta sistemáticamente más compleja de lo esperado en la práctica: los datos personales se acumulan en lugares inesperados, desde bases de datos estructuradas hasta correos electrónicos y archivos compartidos en la nube, pasando por sistemas heredados que nadie recuerda del todo bien.
Una metodología rigurosa de descubrimiento combina tres fuentes complementarias: el escaneo automatizado de la infraestructura tecnológica para detectar repositorios de datos conocidos y ocultos; entrevistas estructuradas con los responsables de cada área de negocio para identificar flujos de datos que no son visibles desde la capa tecnológica; y el análisis de procesos operativos para trazar el recorrido completo de cada tipo de dato desde su recopilación hasta su eliminación. El resultado es un inventario de activos de información que sirve como base para todas las actividades de gobierno posteriores y como evidencia de cumplimiento ante la Agencia de Protección de Datos.
1.2 Herramientas y técnicas para el descubrimiento automatizado
Las herramientas de descubrimiento automatizado de datos han evolucionado significativamente en los últimos años. Soluciones como Microsoft Purview, Varonis o BigID permiten escanear entornos on-premise y cloud para identificar dónde se almacenan datos personales, clasificarlos automáticamente según su sensibilidad y generar inventarios estructurados. Sin embargo, estas herramientas tienen un alcance limitado: pueden identificar datos en sistemas estructurados, pero tienen dificultades con datos no estructurados como correos electrónicos, documentos de texto o conversaciones en plataformas de mensajería.
Por este motivo, el descubrimiento tecnológico debe complementarse siempre con un proceso de entrevistas a responsables de área. La Secretaría de Gobierno Digital de Chile, en su guía práctica para la implementación de la Ley 21.719, recomienda utilizar cuestionarios estandarizados por departamento para identificar qué datos personales recopila cada área, con qué finalidad, durante cuánto tiempo los conserva y a qué terceros los transfiere. Este proceso combinado —tecnológico y humano— es el único que garantiza una cobertura real del universo de datos personales tratados por la organización.
2. Sistemas de clasificación multinivel: sensibilidad, criticidad y requisitos legales
2.1 Categorías de datos según la Ley 21.719
No todos los datos personales tienen el mismo nivel de sensibilidad ni generan el mismo nivel de riesgo para los titulares. La Ley 21.719 reconoce esta distinción estableciendo categorías de datos especialmente sensibles —incluyendo datos de salud, datos biométricos, datos de origen étnico o racial, datos de vida sexual, datos de opiniones políticas y datos de menores de edad— que requieren medidas de protección reforzadas y, en muchos casos, bases de legitimación más exigentes para su tratamiento.
Un sistema de clasificación efectivo para el cumplimiento de la Ley 21.719 opera en tres niveles. El primero incluye los datos personales ordinarios: nombre, dirección, correo electrónico, datos de contacto. El segundo abarca los datos personales sensibles definidos por la ley, que exigen controles adicionales y, en general, consentimiento explícito como base de legitimación. El tercero corresponde a categorías con tratamiento especialmente restringido, como datos de menores de edad o datos que permiten vigilancia sistemática de personas. Cada nivel lleva asociado un conjunto de controles técnicos obligatorios, procedimientos de acceso diferenciados y períodos máximos de retención.
2.2 Sistema de etiquetado y clasificación operativo
Definir las categorías es necesario pero no suficiente: la clasificación solo produce valor cuando se aplica de forma consistente en la operación diaria. Las organizaciones más avanzadas en gobierno de datos implementan sistemas de etiquetado automático que clasifican los datos en el momento de su ingreso al sistema, antes de que se almacenen o procesen. Esto elimina la dependencia de la clasificación manual —propensa a errores e inconsistencias— y permite que los controles de acceso, retención y auditoría se apliquen automáticamente según la etiqueta asignada.
La criticidad es una dimensión adicional a la sensibilidad. Un dato puede ser de sensibilidad ordinaria pero de alta criticidad operativa —como los datos de acceso a sistemas críticos— o de alta sensibilidad pero baja criticidad para la continuidad del negocio. Mantener estas dos dimensiones separadas en el sistema de clasificación permite priorizar los esfuerzos de protección de forma más inteligente y asignar recursos de seguridad donde el riesgo combinado —sensibilidad más criticidad— es mayor.
3. Cartografía avanzada de flujos de datos: herramientas y técnicas de visualización
3.1 Visualización de flujos internos y transferencias a terceros
Una vez construido el inventario de activos y aplicada la clasificación, el siguiente paso es trazar cómo fluye la información personal a través de la organización: desde su punto de recopilación hasta su almacenamiento, los sistemas que la procesan, los departamentos que tienen acceso, las transferencias a terceros y su eventual eliminación. Este mapa de flujos de datos —data flow mapping en la terminología internacional— es un requisito implícito de la Ley 21.719, ya que sin él es imposible identificar correctamente las bases de legitimación aplicables a cada tratamiento ni garantizar la transparencia debida a los titulares.
Las técnicas de visualización más efectivas combinan diagramas de flujo de datos (DFD) con matrices de transferencia que documentan cada instancia en que datos personales cruzan una frontera organizacional o técnica: entre departamentos internos, hacia proveedores de servicios en la nube, a socios comerciales o a autoridades públicas. Herramientas como OneTrust, TrustArc o soluciones open source como DataGrail permiten construir y mantener estos mapas de forma dinámica, actualizándolos automáticamente cuando cambia el ecosistema de sistemas. La Didomi, consultora especializada en privacidad, destaca que mantener esta cartografía actualizada es esencial para demostrar ante cualquier auditoría cómo circulan los datos personales dentro y fuera de la organización.
3.2 Registro de Actividades de Tratamiento (ROPA): estructura y mantenimiento
El Registro de Actividades de Tratamiento (ROPA, por sus siglas en inglés) es el documento central del programa de gobierno de datos bajo la Ley 21.719. Inspirado en el artículo 30 del GDPR europeo, el ROPA consolida en un único registro estructurado todos los tratamientos de datos personales que realiza la organización: la finalidad de cada tratamiento, las categorías de datos involucrados, las bases de legitimación aplicables, los plazos de retención, las medidas de seguridad implementadas y los terceros a quienes se transfieren los datos.
Un ROPA efectivo no es un documento estático que se elabora una vez y se archiva: es un registro vivo que debe actualizarse cada vez que la organización inicia un nuevo tratamiento, modifica uno existente o lo discontinúa. Las organizaciones que implementan el ROPA como parte de sus procesos de gestión de proyectos —exigiendo una actualización del registro como requisito para lanzar cualquier nueva iniciativa que involucre datos personales— logran mantenerlo actualizado con mucho menos esfuerzo que las que intentan reconstruirlo periódicamente desde cero.
4. Evaluación cuantitativa y cualitativa de riesgos en el procesamiento de datos
4.1 Metodología de evaluación de riesgos por tipo de tratamiento
La evaluación de riesgos en el tratamiento de datos personales combina dimensiones cuantitativas —probabilidad de que ocurra un incidente y magnitud de su impacto— con dimensiones cualitativas relacionadas con los derechos y libertades de los titulares. Un incidente que afecta a datos de salud de miles de personas genera un riesgo cualitativamente diferente al que afecta a datos de contacto de un número similar de usuarios, aunque en términos cuantitativos los números puedan ser comparables.
La metodología de evaluación de riesgos más utilizada en el contexto de protección de datos combina una matriz de probabilidad e impacto con un análisis específico de los derechos afectados. Para cada tratamiento identificado en el ROPA, se evalúan al menos cuatro factores: la naturaleza de los datos involucrados, el volumen y diversidad de los titulares afectados, el propósito y contexto del tratamiento, y las medidas de seguridad ya implementadas. El resultado es una puntuación de riesgo residual que permite priorizar los tratamientos que requieren atención urgente y los que pueden gestionarse con los controles existentes.
La metodología de evaluación de riesgos más utilizada en el contexto de protección de datos combina una matriz de probabilidad e impacto con un análisis específico de los derechos afectados. Para cada tratamiento identificado en el ROPA, se evalúan al menos cuatro factores: la naturaleza de los datos involucrados, el volumen y diversidad de los titulares afectados, el propósito y contexto del tratamiento, y las medidas de seguridad ya implementadas. El resultado es una puntuación de riesgo residual que permite priorizar los tratamientos que requieren atención urgente y los que pueden gestionarse con los controles existentes.
4.2 Cuándo se requiere una Evaluación de Impacto (AIPD)
La Ley 21.719, siguiendo el modelo del GDPR europeo, requiere la realización de Evaluaciones de Impacto en la Protección de Datos (AIPD o DPIA en inglés) cuando el tratamiento pueda generar un alto riesgo para los derechos de los titulares. Los criterios que obligan a realizar una AIPD incluyen: el uso de nuevas tecnologías para el tratamiento, la evaluación sistemática de personas mediante perfiles automatizados, el tratamiento a gran escala de categorías especiales de datos y la vigilancia sistemática de áreas de acceso público.
Realizarlas de forma proactiva, antes de iniciar nuevos tratamientos de alto riesgo, es significativamente más eficiente que abordarlas reactivamente tras detectar un problema. Según datos recopilados por JumpCloud sobre el impacto del GDPR europeo —el referente más próximo a la Ley 21.719—, las organizaciones que integraron las evaluaciones de impacto en sus procesos de desarrollo de productos redujeron en más de un 60% el tiempo necesario para responder a auditorías regulatorias. En el contexto de las multas previstas por la Ley 21.719, que pueden alcanzar las 20.000 UTM para las infracciones más graves, la inversión en evaluaciones proactivas tiene un retorno claro y medible.
5. Modelos de gobierno de información adaptados al contexto normativo chileno
5.1 Roles y responsabilidades: el ecosistema de gobierno de datos
El gobierno de la información no es solo una cuestión técnica; es fundamentalmente una cuestión organizacional. La Ley 21.719 introduce la figura del Delegado de Protección de Datos (DPD), equivalente al Data Protection Officer (DPO) del GDPR europeo. Si bien la designación de un DPD es obligatoria para ciertos tipos de organizaciones que realizan tratamiento a gran escala o de datos especialmente sensibles, en todos los casos contar con un responsable claro de la función de privacidad es una práctica recomendable. Este rol actúa como punto focal para el cumplimiento de la ley, el enlace con la Agencia de Protección de Datos y el asesor interno en materias de privacidad.
Más allá del DPD, un modelo de gobierno robusto distribuye responsabilidades a lo largo de la organización mediante una estructura de custodios de datos por área de negocio. Estos custodios son los responsables de mantener actualizado el inventario de datos de su departamento, aprobar solicitudes de acceso y garantizar que los tratamientos de su área cumplan con las políticas corporativas de privacidad. La combinación de un DPD con autoridad transversal y custodios con responsabilidad local es el modelo que ha demostrado mayor efectividad en la experiencia europea tras la implementación del GDPR.
5.2 Ciclo de vida de los datos y políticas de retención
Uno de los principios fundamentales de la Ley 21.719 es que los datos personales deben conservarse solo durante el tiempo necesario para cumplir con la finalidad para la que fueron recopilados. Este principio de limitación del plazo de conservación requiere que las organizaciones definan políticas de retención explícitas para cada tipo de dato y cada finalidad de tratamiento, y que implementen procesos —idealmente automatizados— para eliminar o anonimizar los datos cuando expira el período aplicable.
Las políticas de retención adaptadas al contexto normativo chileno deben considerar no solo los plazos de la Ley 21.719, sino también los plazos que imponen otras regulaciones sectoriales: la normativa tributaria, las leyes laborales, la regulación financiera y los plazos de prescripción de acciones legales. Una política de retención bien diseñada armoniza todos estos requisitos en una tabla maestra que define, para cada tipo de dato, el plazo máximo de conservación, el responsable de su eliminación y el método de eliminación segura requerido. Implementar esta política de forma sistemática —con procesos automatizados de revisión y purga— reduce simultáneamente el riesgo regulatorio y la exposición en caso de brecha de seguridad, ya que solo los datos que existen pueden verse comprometidos.
Conclusión
La auditoría de datos y el gobierno de la información son los cimientos sobre los que se construye cualquier programa de cumplimiento sólido de la Ley 21.719. Sin conocer qué datos personales trata la organización, cómo fluyen entre sistemas, qué nivel de riesgo representan y cuánto tiempo deben conservarse, es imposible implementar los controles adecuados ni demostrar el cumplimiento ante la autoridad regulatoria.
Con nueve meses por delante hasta la entrada en vigor de la ley el 1 de diciembre de 2026, las organizaciones chilenas que aún no han iniciado su programa de auditoría de datos se encuentran en un momento crítico. Los plazos para implementar cambios tecnológicos, desarrollar procesos organizacionales y capacitar a los equipos son ajustados. Las organizaciones que comiencen ahora tendrán la ventaja de poder construir su programa de forma metódica y sostenible; las que esperen enfrentarán presiones crecientes que aumentan el riesgo de errores y de cumplimiento incompleto.
¿Cómo puede Amsoft ayudarte en este camino?
En Amsoft contamos con células de trabajo especializadas en auditoría y gobierno de datos con metodologías probadas y herramientas adaptadas a los requisitos específicos de la Ley 21.719. Ayudamos a las organizaciones a realizar el descubrimiento completo de sus activos de información personal, a construir los registros de actividades de tratamiento requeridos, a implementar sistemas de clasificación de datos y a definir las políticas de retención adecuadas para cada tipo de dato.
Nuestro equipo incluye personal certificado en ciberseguridad y privacidad con experiencia en grandes empresas chilenas, lo que nos permite combinar el conocimiento técnico necesario para implementar los controles adecuados con la comprensión del contexto regulatorio y operativo local.
Contáctanos si tu organización necesita estructurar o acelerar su programa de gobierno de datos para la Ley 21.719, así podremos explorar cómo apoyarte.
Este artículo fue elaborado por Amparo Silva, miembro del equipo de Amsoft, comprometida con la innovación y la excelencia en el ámbito tecnológico.
Referencias
- Pirani. (2025, Febrero 5). Conoce la nueva Ley de protección de datos personales de Chile. https://www.piranirisk.com/es/blog/nueva-ley-proteccion-datos-chile
- Didomi. (2024). Todo sobre la nueva regulación de protección de datos en Chile (Ley 21.719). https://www.didomi.io/es/reglamento/chile
- Prelafit Compliance. (2024, Diciembre 14). Ley 21719 Protección Datos Personales. https://prelafit.cl/ley-21719-proteccion-datos-personales/
- Amsoft. (2026, Enero 8). Adecuación tecnológica integral: Preparando tu empresa para la Ley 21.719. https://www.amsoft.cl/ley-21719-adecuacion-tecnologica-proteccion-datos/
- Secretaría de Gobierno Digital de Chile. (2025). Guía Práctica para facilitar la implementación de la Ley de Protección de Datos Personales. https://wikiguias.digital.gob.cl/datos-personales/guia-practica-implementacion-nueva-ley-datos-personales
- JumpCloud. (2025, Febrero 7). Compliance in Numbers: The Cost of GDPR/CCPA Violations. https://jumpcloud.com/blog/gdpr-ccpa-compliance-violations