En protección de datos, la urgencia es indiscutible. Chile no puede enfrentar la economía digital con una ley concebida en 1999. Pero no toda postergación es un retroceso. Un plazo sin autoridad instalada, criterios desconocidos y falta de capacidad operativa puede terminar en la paradoja de una normativa estricta, con una débil y poco efectiva protección. Trasladar al 1 de diciembre de 2027 la entrada en vigor de la Ley N° 21.719 es razonable, siempre y cuando se convierta en un programa verificable y no en una nueva sala de espera.

El problema es concreto. En mayo, el Senado rechazó la terna propuesta por el gobierno para integrar el Consejo Directivo de la Agencia y luego venció el plazo para su designación. El proyecto corrige esa fragilidad porque amplía el Consejo de tres a cinco miembros, exige dedicación exclusiva y adelanta su instalación para que dicte estándares antes de fiscalizar. No suaviza derechos ni obligaciones, más bien, evita que entidades públicas y privadas interpreten por sí solos conceptos complejos, bajo multas que pueden alcanzar 20.000 UTM.

La evidencia confirma que el desafío no se resuelve cambiando cláusulas. Una encuesta de la FEN de la Universidad de Chile a ejecutivos de 986 organizaciones mostró que solo el 29,11% contaba con una estrategia clara de protección de datos; el 54,36% no realizaba evaluaciones de impacto y el 43,61% no impartía capacitaciones regulares. Son brechas de gobernanza, procesos y cultura. Cerrarlas exige inventariar datos y objetivos, revisar bases de licitud y contratos, rediseñar sistemas, habilitar derechos, gobernar a proveedores y generar evidencia de cumplimiento.

En el referente europeo, el Reglamento General de Protección de Datos (GDPR) dispuso dos años entre su entrada en vigor (2016) y su aplicación (mayo de 2018), acompañado por autoridades operativas. Antes de mayo de 2018, la Agencia Española había publicado metodologías de riesgo, guías de evaluación de impacto y herramientas para entidades de menor complejidad. Chile consumió buena parte de su transición sin la institución llamada a fijar esos criterios. El nuevo plazo permite corregir esa secuencia fallida.

Es por esto que lo decisivo en nuestro caso es que se ofrezcan garantías efectivas, incluida una supervisión independiente, y que esas garantías puedan sostenerse en el tiempo. Una agencia no resuelta no acerca a Chile a ese estándar; una agencia autónoma, técnica y capaz sí.

Entonces, la prórroga no congela el proceso ni vuelve inútiles los avances realizados. Permite completar la institucionalidad, ajustar los procedimientos y seguir ordenando los datos mientras las organizaciones se preparan para las nuevas exigencias. Quienes ya invirtieron en cumplimiento no pierden ese trabajo. Parten con ventaja en un entorno que seguirá demandando mejor calidad de información, mayor confianza y estándares globales.

Con este panorama, el Congreso debiera vincular la prórroga a hitos públicos, entre los que podrían mencionarse un Consejo designado este año; calendario de instrucciones y consultas; criterios sobre riesgos, transferencias y reportes de incidentes; coordinación con el Sernac, la CMF y la Agencia Nacional de Ciberseguridad (ANCI); herramientas simples para pymes y municipios; y una marcha blanca que detecte fallas.

La disyuntiva no es proteger hoy o proteger mañana. Es escoger entre una ley que debuta con temas no resueltos versus una que comienza con autoridad, reglas y capacidades. Postergar por inercia sería imperdonable. Postergar con metas, responsables y rendición de cuentas es preparar una protección que funcione desde el primer día.

Por Nicolás Goldstein, presidente de Accenture y presidente de Amcham