El 72% de las empresas chilenas no está lista para la Ley de Datos Personales: el riesgo oculto está en bodegas y equipos en desuso
Solo el 28% de las organizaciones cumple con la Ley 21.719. Archivos físicos y dispositivos sin borrar concentran el mayor riesgo de multas.
Un estudio de LemonTech y la Asociación Chilena de Ética y Compliance (ACEC) encendió las alarmas en el sector corporativo: el 72% de las empresas chilenas reconoce no estar preparada para cumplir con la Ley 21.719 de Protección de Datos Personales, y casi la mitad —un 46%— no ha implementado ninguna medida concreta. La brecha se agudiza en la pequeña empresa, donde nueve de cada diez organizaciones admiten estar fuera de cumplimiento.
El debate público ha girado en torno a bases de datos digitales y sistemas de gestión, pero el estudio —elaborado sobre una muestra de 127 organizaciones— expone una dimensión menos atendida: el 85% de las empresas administra sus datos con procesos manuales o repositorios genéricos, lo que deja expuestos activos físicos y tecnológicos que acumulan información sensible sin control. Cajas con contratos, liquidaciones de sueldo y fichas de clientes almacenadas en bodegas, junto a computadores, discos duros y teléfonos corporativos dados de baja sin borrado certificado, configuran un vector de riesgo que pocas organizaciones tienen mapeado.
La legislación es clara al respecto. La Ley 21.719 establece que los datos personales solo pueden conservarse mientras persista la finalidad que justificó su recopilación; vencido ese plazo, deben suprimirse o anonimizarse. Además, impone la obligación de resguardarlos frente a pérdidas, accesos no autorizados y filtraciones. Las infracciones calificadas como gravísimas contemplan sanciones de hasta 20.000 UTM, equivalentes a más de $1.400 millones de pesos.
El problema se cruza con otro desafío regulatorio pendiente. Chile genera aproximadamente 220.000 toneladas de residuos electrónicos al año —más de 10 kilos por habitante—, pero recicla menos del 5% de ese volumen. El decreto de la Ley REP para aparatos eléctricos y electrónicos, publicado en mayo de 2025, establece metas escalonadas de recolección que parten en un 3% y escalan hasta el 45% al décimo año de vigencia, con exigencias operativas desde 2028. Esto pone a las empresas ante una doble presión regulatoria: destruir o reciclar equipos en desuso de forma trazable y certificada.
Desde la industria de gestión de residuos, el diagnóstico apunta a un patrón recurrente en el cierre de año fiscal:
- Las empresas detectan equipos acumulados sin protocolo de baja definitiva.
- Los archivos físicos con datos personales permanecen en bodegas sin inventario ni plazos de destrucción.
- La presión por cerrar presupuesto posterga decisiones de cumplimiento que implican costos operativos.
«Es una especie de síndrome de Diógenes corporativo: nadie sabe qué hay en esas cajas ni en esos equipos, pero casi siempre contienen datos de personas», señaló Juan Ianchina, gerente de Bendito Residuo, empresa especializada en destrucción certificada de documentos y disposición de activos tecnológicos. Para los equipos de cumplimiento y tecnología, el mensaje es directo: la gestión del dato no termina en el sistema; termina cuando el soporte físico desaparece de forma verificable.