Checklist de preparación

¿Qué tan preparada está tu organización para la Ley 21.719?

Veinticuatro preguntas, agrupadas en cinco bloques. Respóndelas con honestidad y en diez minutos vas a saber dónde estás parado — y, más útil todavía, por dónde conviene empezar.

10 minutos 24 preguntas Sin registro Imprimible

0 / 24

Marca lo que tu organización ya tiene resuelto.

01 Tu registro de tratamientos

El RAT es el inventario de qué datos personales trata tu organización y por qué. Los nueve puntos de abajo son los que la ley pide que contenga.

Sabemos quién es el responsable del tratamiento Y tenemos sus datos de contacto documentados, no solo sabidos. Cada tratamiento tiene una finalidad específica escrita «Uso interno» no es una finalidad. «Pagar remuneraciones» sí lo es. Sabemos de quiénes son los datos Categorías de titulares: trabajadores, clientes, proveedores, postulantes, menores. Tenemos identificados los datos sensibles Salud, biométricos, origen, afiliación. Saber dónde están cambia las prioridades. Está documentado con quién compartimos datos Terceros y transferencias al extranjero, con el nivel de protección de cada destino. Sabemos de dónde salió cada dato Del propio titular, de una fuente pública o de un tercero. Cada tratamiento tiene plazo de conservación O al menos un criterio para decidir cuándo se elimina. Están escritas las medidas de seguridad aplicadas Técnicas y organizativas: control de acceso, cifrado, respaldos, confidencialidad. Sabemos si hay decisiones automatizadas o perfilado Y, si las hay, podemos explicar la lógica general y su impacto.

Estos nueve puntos son los que exige la Ley 19.628, actualizada por la Ley 21.719. Están publicados en cloudrat.cl junto con el texto de la ley en la Biblioteca del Congreso.

02 Quién responde por esto

La parte que más se atrasa, porque no es técnica: es decidir quién se hace cargo.

Hay una persona a cargo de la privacidad Con nombre, no un área. Aunque sea una responsabilidad de medio tiempo. Las áreas que tratan datos saben que los tratan RR.HH., Marketing, Ventas, Operaciones y TI suelen ser las cinco. Casi nunca es solo TI. El registro tiene dueño y fecha de revisión Un RAT que nadie revisa queda desactualizado en un semestre. La gerencia sabe en qué estado está Si esto vive solo en un computador, no es un programa: es un archivo.

03 Tus proveedores

Externalizar la operación no externaliza la responsabilidad. Quien trata datos por cuenta de tu organización es un encargado.

Tenemos la lista de proveedores que tocan datos personales Remuneraciones, selección, marketing, soporte TI, nube, destrucción de documentos. Cada uno tiene contrato que cubre el tratamiento Qué trata, con qué instrucciones, con qué garantías y por cuánto tiempo. Sabemos cuáles están fuera de Chile Y qué protección ofrece el país o el mecanismo que se usa. Sabemos qué pasa con los datos cuando el contrato termina Devolución o eliminación, y quién verifica que ocurrió.

04 Los derechos de las personas

Acceso, rectificación, cancelación, oposición y portabilidad. Llegan sin aviso y el plazo corre desde que entran.

Hay un canal para recibir solicitudes Y está publicado donde un titular lo pueda encontrar sin preguntar. Alguien sabe qué hacer cuando llega una Quién la recibe, quién la resuelve y quién firma la respuesta. Podemos verificar la identidad de quien solicita Entregarle los datos de alguien a la persona equivocada es peor que no responder. Queda registro de cada solicitud y su respuesta Con fechas. Es lo que se muestra si el titular reclama.

05 Tu evidencia

La diferencia entre hacer las cosas bien y poder demostrar que se hicieron bien. Lo segundo es lo que se pide en una fiscalización.

El registro está actualizado a este trimestre No a cuando se creó. Podemos mostrar qué decía el registro hace seis meses Y quién lo cambió. En una planilla compartida, esto casi nunca se puede. Sabemos qué haríamos ante una brecha de datos Quién decide, en cuánto tiempo y a quién se avisa.

¿Y ahora qué?

Si te quedaron casillas sin marcar, no es una mala noticia: es tu lista de tareas, y ya está priorizada. El bloque 01 es el que sostiene a los otros cuatro — sin registro, no se puede responder una solicitud ni acotar una brecha.

Conversar con un especialista Conocer CloudRAT

Este checklist es material de orientación preparado por SOPNET y no constituye asesoría legal. Los nueve puntos del bloque 01 corresponden a lo que exige la Ley 19.628 actualizada por la Ley 21.719; el resto son preguntas de gestión basadas en nuestra experiencia de implementación. Para decisiones sobre bases de licitud o alcance regulatorio, consulta a tu asesor jurídico.