Las 4 preguntas sobre tus datos que todo director o gerente debe responder antes de fin de año Existe un mito muy extendido en el mundo directivo: pensar que la protección de datos es un asunto exclusivo de empresas con comercio electrónico, plataformas digitales o grandes sitios web.

Pensemos en organizaciones tradicionales:

• Un colegio particular o subvencionado: Administra antecedentes de menores de edad, calificaciones, fichas socioeconómicas familiares y diagnósticos psicopedagógicos o médicos de sus alumnos.
• Una consulta médica o centro de salud: Gestiona historiales clínicos, resultados de exámenes y diagnósticos, catalogados por la ley como datos sensibles con protección reforzada.
• Un gimnasio o centro deportivo: Registra datos biométricos como huellas dactilares para el torniquete de acceso, información de salud de sus miembros y números de tarjetas de crédito para cobros mensuales.
• Cualquier empresa respecto de sus trabajadores: Toda organización conserva contratos laborales, liquidaciones de sueldo, licencias médicas, antecedentes familiares y registros de cámaras de seguridad en sus dependencias.

Antes de incurrir en gastos a ciegas, la dirección de cualquier entidad debe realizar un diagnóstico serio y responder con claridad cuatro preguntas fundamentales:

1. ¿Qué datos tengo?

2. ¿Por qué los tengo?

3. ¿Dónde los tengo?

4. ¿Cómo los tengo?

1. ¿Qué datos tengo? (El inventario real)

El primer paso gerencial es levantar un mapa completo de la información que circula en la institución.

Muchas direcciones creen que solo guardan nombres y teléfonos de contacto. Sin embargo, al auditar los procesos reales aparecen:

• Datos de menores de edad (colegios e institutos), cuya autorización exige reglas estrictas según rangos de edad (Art. 16 quáter).
• Datos de salud física o psíquica (consultas, centros médicos o licencias de colaboradores), categorizados como datos sensibles que solo pueden tratarse bajo causales muy restringidas (Art. 16 bis).
• Datos biométricos (huellas o reconocimiento facial para control de asistencia laboral o acceso a recintos) regulados bajo el Art. 16 ter.

Si la dirección no conoce con exactitud las categorías de datos que almacena, no puede dimensionar la exposición real de su institución.

2. ¿Por qué los tengo? (La base legal, la finalidad y el interés legítimo)

Guardar datos «por costumbre» o «por si sirven más adelante» puede generar riesgos si la empresa ya no los necesita para una finalidad válida. La ley establece límites a la conservación de los datos y exige revisar periódicamente si aún se necesitan (Art. 3º letra c).

Cada tratamiento debe sustentarse en un fundamento jurídico claro:

• ¿Existe un consentimiento previo, informado y específico firmado por el titular o por los padres en caso de menores?
• ¿Es información estrictamente necesaria para la ejecución de un contrato (como el contrato de trabajo o la matrícula escolar)?
• ¿Obedece al cumplimiento de una obligación legal expresa (normativa educacional, sanitaria o laboral)?
• ¿O el tratamiento responde a un interés legítimo del responsable o de un tercero (Art. 13 letra d)?

Esta última base legal es de enorme relevancia práctica para la gestión diaria de una empresa (por ejemplo, en medidas de seguridad interna, prevención de fraudes o ciertas analíticas operacionales). Sin embargo, invocar el interés legítimo no es una carta blanca: la ley exige que no se vulneren los derechos y libertades del titular, que este sea debidamente informado sobre dicho interés, y le confiere el derecho de oponerse al tratamiento en cualquier momento (Art. 8 letra a). Por eso, puede ser útil dejar registro de por qué la empresa considera que ese interés justifica el tratamiento y qué medidas toma para resguardar los derechos de las personas.

La ley puede calificar como grave tratar datos sin un fundamento legal o usarlos para una finalidad distinta de la informada. Las sanciones para infracciones graves pueden llegar hasta 10.000 UTM, según la calificación y las circunstancias del caso.

3. ¿Dónde los tengo? (Trazabilidad y terceros encargados)

La información rara vez permanece en un solo lugar. Suele estar fragmentada entre carpetas compartidas, fichas físicas archivadas, planillas en computadores personales y sistemas provistos por terceros.

La mayoría de las organizaciones se apoya en proveedores externos: plataformas de gestión escolar, software de fichas clínicas, sistemas de liquidación de sueldos, empresas de soporte informático o proveedores de cámaras de televigilancia.

Algunos proveedores que procesan datos por cuenta de la organización pueden actuar como encargados del tratamiento. Conviene dejar por escrito el alcance del servicio, las instrucciones, el tipo de datos involucrados y las responsabilidades de cada parte. Si ocurre un incidente, quién responde dependerá de las circunstancias y del papel que tuvo cada parte.

4. ¿Cómo los tengo? (Seguridad y protocolos de respuesta)

El estándar legal exige que la organización adopte medidas de seguridad técnicas y organizativas adecuadas al nivel de riesgo (Art. 14 quinquies):

• ¿Quiénes dentro del equipo tienen acceso a datos confidenciales o sensibles?
• ¿Existen perfiles de acceso restringidos para que ningún funcionario revise antecedentes médicos o remuneraciones?
• Si un apoderado, paciente o trabajador solicita acceder, corregir o eliminar sus datos personales, ¿la institución cuenta con un canal y un protocolo para responder dentro del plazo legal? La ley contempla un plazo de 30 días corridos, que puede extenderse una vez por otros 30 días (Art. 11).

La normativa consagra la responsabilidad proactiva (accountability): ante una denuncia o fiscalización, la organización debe ser capaz de demostrar con evidencias documentadas que aplicó la diligencia debida en el resguardo de la información.

El valor de ordenar la casa: Seguridad y reputación

Responder estas cuatro preguntas permite a directores y gerencias:

• Blindar el patrimonio y la continuidad: Prevenir sanciones que alcanzan miles de UTM o la suspensión temporal de actividades de tratamiento (Arts. 35 y 38), y considerar el impacto reputacional que tendría una eventual sanción, que puede quedar anotada en el Registro Nacional de Sanciones por cinco años (Art. 39).
• Generar confianza institucional: Para un colegio, una clínica o una empresa de servicios, garantizar que los datos de familias, pacientes y trabajadores están protegidos con estándares formales es un factor decisivo de credibilidad y preferencia.
• Preparación para certificaciones oficiales: La ley contempla modelos de prevención de infracciones que pueden certificarse conforme al procedimiento correspondiente (Arts. 49 y 51). Contar con un modelo certificado puede servir para acreditar una gestión diligente y ser considerado como atenuante, aunque el efecto dependerá de las circunstancias de cada caso.

Da el siguiente paso con tu organización

¿Tiene tu equipo directivo la certeza de qué datos administran, con qué respaldo legal, dónde residen y quién tiene acceso a ellos?

En VEORA Advisory no entregamos manuales teóricos; trabajamos directamente con las directivas y gerencias para aterrizar la normativa a la realidad concreta de su operación.

A través de nuestro servicio de Diagnóstico / Gap Analysis, levantamos los procesos internos de tu organización, revisamos contratos con proveedores y te entregamos un Informe Técnico estructurado como una guía práctica de adecuación, con una Matriz de Riesgos y una Hoja de Ruta priorizada para proteger a tu institución paso a paso.

Agenda hoy una sesión inicial de diagnóstico de 20 minutos con nuestros socios fundadores y conoce la hoja de ruta que tu organización necesita.

[Agendar reunión de 20 minutos con VEORA Advisory]