El Checklist Ley 21.719 para Directorios reúne 25 preguntas organizadas en tres áreas: gobierno corporativo, operación y evidencia, y tecnología y cultura. Su objetivo es ayudar a una organización a identificar, en aproximadamente 30 minutos, su nivel inicial de preparación.
La protección de datos también es una responsabilidad directiva
La privacidad suele abordarse como un asunto exclusivo de las áreas legales, tecnológicas o de cumplimiento. Sin embargo, las decisiones relacionadas con presupuesto, responsables, prioridades y tolerancia al riesgo corresponden también a la alta dirección.
Un directorio no necesita gestionar cada tratamiento de datos, pero sí debería conocer el estado general del programa y comprobar que existen responsables, controles y evidencia.
Preguntas básicas para detectar brechas de gobierno
- ¿Existe una persona responsable de protección de datos?
- ¿Esa función reporta al nivel directivo?
- ¿Hay presupuesto asignado?
- ¿Existe una matriz de riesgos?
- ¿Las decisiones quedan documentadas?
- ¿El directorio recibe reportes periódicos?
Cuando estas respuestas no están claras, el problema no es solamente documental. También existe una brecha de gobierno.
Primer dominio: gobierno corporativo
El primer bloque del checklist evalúa si la privacidad está integrada en la estructura de decisión. Esto incluye la designación formal de un DPO o responsable, la existencia de un comité operativo, la definición de un patrocinador ejecutivo y la aprobación de una matriz de riesgos.
Liderazgo del programa
La organización debería poder responder quién lidera el programa de protección de datos y con qué autoridad opera.
Decisión frente al riesgo
También debe saber quién toma decisiones cuando existe un riesgo relevante para las personas o para la organización.
Evidencia de decisiones
La formalización permite demostrar que las decisiones fueron adoptadas, registradas y revisadas.
Un nombramiento sin funciones claras, recursos o acceso a la alta dirección puede resultar insuficiente. El directorio debe asegurarse de que la responsabilidad no exista solo en el organigrama.
Segundo dominio: operación y evidencia
El segundo bloque revisa si la organización puede demostrar cómo trata los datos personales. La palabra central es evidencia.
Elementos que deberían existir y poder mostrarse
- Registro de Actividades de Tratamiento actualizado.
- Base de licitud definida para cada tratamiento.
- Evaluaciones de impacto para actividades de alto riesgo.
- Evidencia de los consentimientos obtenidos.
- Procedimiento para atender derechos.
- Manual de respuesta a brechas.
- Inventario de proveedores y encargados.
- Contratos de tratamiento.
- Política de retención y eliminación.
- Carpeta de evidencia regulatoria.
No basta con afirmar que existe un proceso. La organización debería poder mostrar registros, responsables, fechas, decisiones y resultados.
Por ejemplo, un manual de brechas no demuestra preparación si nunca se ha probado. Una política de retención pierde valor si los sistemas continúan conservando información indefinidamente. Un consentimiento tampoco sirve como respaldo si no puede acreditarse cuándo, cómo y para qué fue otorgado.
Tercer dominio: tecnología y cultura
La protección de datos también depende de los sistemas y de las prácticas cotidianas del equipo. El checklist pregunta si existe un catálogo operativo de datos personales, controles de acceso por roles y aplicación de privacidad desde el diseño en nuevos proyectos.
Uso de inteligencia artificial
Las organizaciones deberían conocer qué herramientas de inteligencia artificial utilizan sus equipos y si en ellas se ingresan datos personales, documentos internos o información confidencial.
Inventario operativo
Sin un inventario básico, resulta difícil evaluar riesgos, definir reglas o exigir condiciones a los proveedores.
Cultura organizacional
Las políticas no funcionan cuando las personas no las conocen. Una cultura de privacidad necesita continuidad, responsables y seguimiento.
Cómo interpretar el resultado
El checklist propone una escala orientativa basada en el porcentaje de respuestas afirmativas:
Escala de madurez inicial
- 80 % a 100 %: nivel de sostenibilidad.
- 60 % a 79 %: nivel de orquestación.
- 40 % a 59 %: nivel de coordinación.
- 20 % a 39 %: nivel de reacción.
- 0 % a 19 %: ausencia de un programa estructurado.
El resultado no constituye una auditoría ni certifica cumplimiento. Su utilidad está en mostrar dónde existen respuestas sólidas, dónde hay avances parciales y qué áreas requieren atención prioritaria.
Más que obtener una puntuación alta, el objetivo es identificar qué puede demostrar realmente la organización.
Cinco acciones que pueden comenzar ahora
A partir de las preguntas del checklist, un directorio puede priorizar cinco medidas:
Formalizar responsabilidades
Definir al responsable de protección de datos y sus líneas de reporte.
Mantener el registro vivo
Actualizar el registro de tratamientos y conectarlo con la operación real.
Probar la respuesta a brechas
Realizar un simulacro para verificar si el procedimiento funciona en la práctica.
Inventariar IA
Levantar el uso de inteligencia artificial cuando involucra datos personales.
Reportar al directorio
Establecer una cadencia periódica de seguimiento con información útil para decidir.
Estas acciones no resuelven por sí solas todas las exigencias, pero permiten pasar de una preparación reactiva a una gestión más organizada.
La pregunta que debe responder el directorio
La pregunta principal no es si la organización tiene documentos. Es si puede demostrar quién decide, cómo opera, qué riesgos conoce y qué acciones está tomando.
La protección de datos requiere declaraciones, pero también procesos, responsables y evidencia.
Descarga gratis el checklist completo
Revisa las 25 preguntas, calcula el nivel inicial de madurez de tu organización e identifica las prioridades que deberían llegar al directorio.
Este contenido tiene fines informativos y no constituye asesoría legal.
Chile Protege Sus Datos