Protección de datos en la era digital:

lo que toda empresa tech necesita saber hoy

La nueva ley de protección de datos ya no es una promesa: es una realidad con plazos, responsables y consecuencias. Para las empresas tecnológicas que trabajan con sectores sensibles como salud, fintech o seguros, el desafío no es solo cumplir, sino entender qué cambió y cómo adaptarse sin frenar el negocio. Conversamos con tres expertos que están en el centro de esta transformación.

Christian Navarro, José Igancio Verdugo y Kendru Estrada.

Del cumplimiento declarativo al cumplimiento demostrable

Hasta hace poco, muchas empresas tech operaban bajo una lógica cómoda: si el cliente firmaba los términos y condiciones, había carta blanca para usar sus datos. Esa lógica ya no funciona.

“Antes el cumplimiento era declarativo. Hoy es demostrable o sancionable. Las empresas ya no pueden decir ‘cumplimos’; tienen que probarlo con evidencia: procesos, contratos, controles y trazabilidad.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

El cambio es profundo. La ley exige ahora lo que se conoce como Responsabilidad Proactiva o Accountability: no basta con cuidar los datos, hay que poder acreditar que se están protegiendo correctamente.

“La ley exige que los datos de clientes o trabajadores se usen bajo el Principio de Finalidad, es decir, solo para el fin específico por el cual fueron recolectados. Si vas a usar los correos de tus clientes para publicidad, debes pedirles permiso previo y garantizarles sus derechos ARCOP+.”

— José Ignacio Verdugo, CEO y Co-fundador, Apside

Tres áreas que antes se podían ignorar con relativa impunidad hoy tienen plazos, responsables y consecuencias claras: la eliminación de datos cuando ya no son necesarios, la gestión de subcontratistas y proveedores en la cadena de procesamiento, y la notificación de brechas de seguridad.

El error más común: confundir un problema de gobernanza con uno de contratos

Hay un patrón que se repite en la industria y que los tres expertos identifican como el error más frecuente: tratar la protección de datos como un tema exclusivamente legal o técnico, en lugar de entenderlo como un problema de gobernanza.

“Las organizaciones que fallan son aquellas que no integran ambos mundos: terminan con documentos que no se aplican o con controles técnicos que no responden a una lógica regulatoria. La protección de datos es, en esencia, un problema de gobernanza, donde deben alinearse negocio, tecnología y cumplimiento.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

Desde la perspectiva técnica, el problema se traduce en sistemas mal diseñados desde la base.

“Tratar la protección de datos como un problema de contratos, no de arquitectura. La empresa legal redacta una cláusula de confidencialidad, el cliente la firma, y el equipo técnico sigue construyendo exactamente como antes. Si tu sistema guarda logs con información sensible sin cifrar o cualquier desarrollador puede acceder a datos reales, ningún contrato te salva cuando ocurre un incidente.”

— Kendru Estrada, Co-fundador y Developer, Apside

A esto se suma un problema más básico de lo que parece: la mayoría de las empresas no sabe qué datos tiene. Sin un inventario real de los datos personales que se procesan, es imposible responder a derechos como la portabilidad o la eliminación.

Salud: el sector donde no hay margen para improvisar

Los datos de salud ocupan una categoría especial dentro de la nueva normativa, y por razones que van más allá de lo técnico.

“Porque el daño potencial es irreversible y multidimensional. Si se filtra que alguien tiene una enfermedad crónica, eso puede afectar su trabajo, su acceso a seguros, sus relaciones. No es como una tarjeta de crédito que puedes bloquear.”

— Kendru Estrada, Co-fundador y Developer, Apside

En la práctica, trabajar con clínicas, hospitales o ISAPREs implica un conjunto de exigencias que no son negociables: cifrado en tránsito y en reposo como estándar mínimo, control de acceso basado en roles con granularidad real, auditoría de cada acceso al dato y retención definida. Las multas por incumplimiento en datos sensibles pueden llegar a 20.000 UTM o hasta el 4% de los ingresos anuales en grandes empresas.

“No es solo proteger datos, es proteger confianza. Por eso el estándar es más alto: más control, más trazabilidad y cero margen para improvisar.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

Uno de los desafíos más complejos en salud es la tensión entre interoperabilidad — que los datos fluyan entre sistemas — y privacidad. La respuesta no es restringir el flujo, sino gobernarlo.

“La respuesta técnica más honesta es: estándares abiertos con control de consentimiento integrado. En salud, HL7 FHIR permite exponer datos clínicos de forma estructurada, y sobre eso puedes construir capas de autorización granular donde el paciente controla qué comparte, con quién y por cuánto tiempo.”

— Kendru Estrada, Co-fundador y Developer, Apside

“En Chile estamos todos en la misma etapa de implementación. El modelo de identidad federada que se usa en mercados más maduros como Uruguay permite que los sistemas conversen y el servicio funcione perfecto, sin que el dato personal salga nunca del control del dueño original.”

— José Ignacio Verdugo, CEO y Co-fundador, Apside

Más allá de la salud: fintech, seguros y retail

La exposición no es exclusiva del sector salud. Fintech, seguros y retail comparten un patrón estructural de riesgo.

“Fintech y seguros son los más expuestos hoy por un motivo concreto: combinan datos financieros con datos de comportamiento. Un banco o una aseguradora no solo sabe cuánto ganas, sabe cómo gastas, dónde estás, qué compras a qué hora. Eso es un perfil de persona mucho más invasivo que un historial médico aislado.”

— Kendru Estrada, Co-fundador y Developer, Apside

En retail y logística el problema es diferente: el volumen. Se manejan millones de registros con datos de ubicación, hábitos de compra y documentos de identidad, pero con equipos de seguridad proporcionalmente mucho más pequeños que los de un banco. La superficie de ataque es enorme y la madurez de seguridad, baja.

“Mientras más actores participan en el ciclo del dato, mayor es la superficie de exposición. En estas industrias, la protección de datos deja de ser un tema de cumplimiento y pasa a ser un factor crítico de continuidad operacional.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

Lo que tienen en común todos estos sectores es que la empresa tech suele ser el eslabón más débil de la cadena: tiene acceso a los datos del cliente regulado, pero no estaba sujeta directamente a la misma fiscalización. La nueva ley cierra esa brecha.

¿Por dónde empezar? El diagnóstico como primer paso

Ante la pregunta de qué hacer primero, los tres expertos convergen en un punto: antes de actuar, hay que entender la realidad actual.

“Lo primero es entender la realidad actual. No se puede proteger lo que no se conoce. Las organizaciones que abordan esto correctamente comienzan con un assessment estructurado que permite identificar brechas legales, técnicas y operativas, mapear flujos de datos y priorizar riesgos.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

“Mapear antes de actuar. El primer paso real es un inventario de datos: qué datos personales procesas, dónde viven, quién tiene acceso, con qué proveedores los compartes y bajo qué base legal. Sin ese mapa, cualquier esfuerzo de cumplimiento es cosmético.”

— Kendru Estrada, Co-fundador y Developer, Apside

Una vez hecho el diagnóstico, hay decisiones de diseño que marcan la diferencia. La más citada: incorporar la privacidad desde el inicio, no como una capa posterior.

“Sí: minimización de datos como principio de diseño. Antes de preguntar ‘¿cómo guardamos este dato?’, preguntar ‘¿de verdad necesitamos este dato?’. Es sorprendente cuántas veces la respuesta es no, y cuánto simplifica todo lo demás.”

— Kendru Estrada, Co-fundador y Developer, Apside

“Incorporar protección de datos desde el diseño de los procesos y sistemas, no como una capa posterior. Las decisiones tempranas reducen significativamente costos futuros, riesgos regulatorios y complejidad operativa.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

El riesgo real no es la multa

A modo de cierre, los tres expertos coinciden en un mensaje: el mayor riesgo para una empresa tech que no aborda este tema no es la sanción regulatoria, sino algo más inmediato.

“El riesgo no es solo la multa. El riesgo real es perder la confianza de un cliente empresarial que sí está regulado y que va a empezar a exigirte cumplimiento como condición de contrato. En sectores como banca, salud o seguros, eso ya está pasando.”

— Kendru Estrada, Co-fundador y Developer, Apside

“Las organizaciones que se anticipan no solo reducen riesgos, sino que fortalecen su reputación, habilitan nuevos negocios y generan confianza en sus clientes y partners. Las que no lo hagan van a enfrentar costos mucho mayores — legales, operacionales y reputacionales — en el corto plazo.”

— Christian Navarro, Líder Comercial y de Estrategia, Nivel 4

“El cambio de mentalidad debe ser ahora: los datos ya no son un activo que nos pertenece, sino algo que custodiamos temporalmente bajo reglas más estrictas.”

— José Ignacio Verdugo, CEO y Co-fundador, Apside

📅 Webinar MITI · 23 de abril · Ley de Protección de Datos: ¿está tu empresa preparada?

¿Quieres profundizar en estos temas con los expertos? El 23 de abril realizamos un webinar donde conversaremos desde una perspectiva legal, estratégica y técnica sobre cómo prepararse para la nueva ley, con foco en empresas tech que trabajan con sectores regulados.

Inscríbete aquí → https://luma.com/ythbd8u4