¿Qué capacidad se está comprando realmente cuando se busca “adecuación a la Ley 21.719”?
Se está comprando producción de evidencia auditable dentro de plazos legales, no un informe. El proveedor correcto entrega un sistema que registra cada solicitud de titular, mide el reloj de los 30 días corridos del Art. 11, y almacena los respaldos que exige la ley: la remisión, su fecha y el contenido íntegro de la respuesta.
La Ley 21.719 reconoce seis derechos al titular en su Art. 4º: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Cada uno tiene un flujo operativo distinto y un plazo asociado.
Ese es el punto de quiebre entre asesoría legal y trabajo técnico. El área legal del cliente define qué es una solicitud “fundada”, qué base de licitud aplica y hasta dónde llega una excepción. Nada de eso lo define un proveedor de automatización.
Lo que sí define el proveedor: dónde vive el registro de actividades de tratamiento, cómo se dispara la alerta al día 20, quién recibe el escalamiento, y cómo se prueba ante la Agencia que la respuesta salió a tiempo.
Un dato que ordena la conversación de compra: responder fuera de plazo se califica como infracción leve (Art. 34 bis, letra c), con multa de hasta 5.000 UTM. Pero obstaculizar el ejercicio del derecho es grave (Art. 34 ter, letra e), hasta 10.000 UTM. La diferencia entre ambas suele ser un proceso mal instrumentado, no mala fe.
¿Cómo se ve un proyecto de adecuación bien hecho, de punta a punta?
Un proyecto bien hecho termina con cuatro artefactos funcionando en producción, no con un PDF: un canal de recepción de solicitudes, un motor de plazos, un registro de actividades de tratamiento vivo, y un tablero de evidencia consultable por el oficial de datos y por auditoría externa.
El Art. 11 fija que la solicitud se presenta por escrito ante el responsable —correo, formulario de contacto o medio electrónico equivalente—. Ese es el punto de entrada que hay que instrumentar primero, porque si no existe un canal único, el reloj empieza a correr en bandejas de entrada personales.
El segundo artefacto es el motor de plazos. Debe distinguir tres relojes distintos: 30 días corridos para pronunciarse, prórroga por una sola vez de hasta 30 días corridos adicionales, y 2 días hábiles para ejecutar el bloqueo temporal.
| Fase | Qué se construye | Componente típico del stack | Salida verificable |
|---|---|---|---|
| Levantamiento | Inventario de sistemas fuente con datos personales | Entrevistas + mapeo sobre Dataverse | Registro de actividades de tratamiento (Art. 14 ter) |
| Canal | Punto único de ingreso de solicitudes | Power Pages / formulario web + Power Automate | Acuse de recibo automático con fecha cierta |
| Motor | Cálculo de plazos y escalamiento | Power Automate + Dataverse | Alertas por vencimiento y trazabilidad de estado |
| Evidencia | Respaldo íntegro de cada respuesta | Dataverse + SharePoint/almacenamiento inmutable | Contenido, fecha y remisión almacenados |
| Reporte | Visibilidad para legal y auditoría | Power BI | Tablero de solicitudes, plazos y desviaciones |
El tercer artefacto —el registro de actividades de tratamiento— es el que más subestiman los proyectos. El Art. 14 ter obliga además a un deber de información permanente en el sitio web: política de tratamiento, categorías de datos, finalidades, destinatarios, base de licitud, medidas de seguridad, período de conservación, transferencias internacionales y decisiones automatizadas.
La guía práctica de implementación publicada por la División de Gobierno Digital sirve como referencia oficial de estructura para ese levantamiento, aunque no reemplaza la revisión del articulado.
El cuarto artefacto es el tablero. Sin él, nadie sabe cuántas solicitudes están a 5 días de vencer. Esta lógica de visibilidad continua es la misma que sostiene cualquier programa serio de gobierno de datos regional, y aquí se vuelve obligación legal.
¿Qué preguntar al evaluar un proveedor? Tabla de criterios verificables
Pregunte por artefactos, no por metodologías. Los cinco criterios de abajo se pueden verificar en una sola reunión técnica de 60 minutos, pidiendo que muestren pantalla.
| Capacidad | Qué pedir como evidencia | Señal de alerta |
|---|---|---|
| Cálculo correcto de plazos | Que muestren en vivo cómo su motor calcula 30 días corridos desde el ingreso, la prórroga única de 30 corridos, y los 2 días hábiles del bloqueo temporal, con feriados chilenos cargados | Usan “días hábiles” para el plazo general, o no distinguen corridos de hábiles en la configuración |
| Evidencia de remisión | Un registro de ejemplo con contenido íntegro de la respuesta, fecha de envío y prueba de remisión al domicilio o correo fijado por el titular | Guardan solo el estado (“respondido”) sin el cuerpo de la respuesta ni la constancia de envío |
| Integración con sistemas fuente reales | Diagrama y demo de conectores contra los sistemas donde viven los datos: ERP (SAP, Softland), CRM, RRHH, data warehouse | Solo proponen un formulario y una planilla, sin tocar los sistemas donde efectivamente están los datos |
| Trazabilidad de decisiones automatizadas | Cómo registran qué modelo decidió, con qué lógica, y cómo instrumentan la intervención humana y la revisión que exige el Art. 8º bis | No tienen respuesta técnica para “explicación” e “intervención humana”; lo tratan como tema exclusivamente legal |
| Separación entre criterio jurídico y ejecución técnica | Que declaren por escrito qué decisiones quedan en el área legal del cliente y cuáles asumen ellos | Ofrecen “garantizar el cumplimiento” o interpretar el alcance de la ley sin ser un estudio jurídico |
| Continuidad post-implementación | Plan de operación tras el go-live: quién mantiene el motor de plazos cuando cambian los sistemas fuente | El proyecto termina en la entrega; no hay modelo de soporte ni traspaso documentado |
Un criterio adicional que separa proveedores rápido: pida el detalle de qué pasa cuando el sistema fuente cambia. El costo real de este tipo de proyecto crece con el número de sistemas conectados, no con el número de derechos implementados.
¿Qué señales de alerta descartan a un proveedor?
La señal más determinante es prometer cumplimiento legal garantizado. Ningún proveedor técnico puede garantizarlo, porque la calificación de una infracción la hace la Agencia, no el implementador.
La segunda: citar plazos que no están en el texto oficial. Circulan guías con “15 días hábiles” y “30 días hábiles”. El texto de la Ley 21.719 en la Biblioteca del Congreso Nacional fija 30 días corridos en el Art. 11. Un proveedor que trae la cifra equivocada a la reunión de venta construirá el motor de plazos con la cifra equivocada.
La tercera: tratar las decisiones automatizadas como un anexo. El Art. 8º bis obliga —en todos los casos, incluidas las excepciones— a asegurar transparencia, derecho a obtener una explicación, intervención humana, expresión de punto de vista y solicitud de revisión de la decisión.
Esto último es crítico para cualquier empresa que ya tenga scoring, segmentación o priorización automatizada. Si el proveedor de automatización no sabe cómo registrar la lógica aplicada, el propio proyecto de IA queda expuesto.
La cuarta señal: no separar el ambiente de datos personales del resto. La protección desde el diseño y por defecto (Art. 14 quáter) no se cumple con una capa cosmética sobre un ambiente compartido sin control de acceso.
“El error caro no es responder tarde una solicitud. Es no poder probar que respondiste. La ley pide almacenar la remisión, la fecha y el contenido íntegro — eso es un requisito de arquitectura, no de redacción.” — Marco Chávez, Fundador de Muze AI Consulting.
¿Cuándo conviene resolverlo internamente en vez de contratar?
Conviene internalizar cuando ya existen tres condiciones simultáneas: un equipo con licencias y competencias en la plataforma de automatización, un oficial de datos con mandato real, y sistemas fuente pocos y documentados.
Si la empresa tiene un volumen bajo de solicitudes esperadas y sus datos personales viven en dos o tres sistemas bien conocidos, un flujo interno con Power Automate y Dataverse es suficiente y más barato de mantener.
El cálculo cambia cuando los datos personales están dispersos en ERP, CRM, RRHH, sistemas legados y planillas departamentales. Ahí el trabajo deja de ser “hacer un formulario” y pasa a ser integración, y el costo de equivocarse sube: la sanción accesoria del Art. 38 permite a la Agencia suspender operaciones de tratamiento hasta por 30 días ante gravísimas reiteradas en 24 meses.
Un modelo intermedio funciona bien: contratar la construcción del motor de plazos y la capa de evidencia, y operar internamente el día a día. Requiere que el traspaso esté documentado, algo que se apoya en prácticas de validación cruzada entre el área técnica y la de compliance.
Muze AI Consulting entra en el escenario de sistemas dispersos: construye el canal de ingreso, el motor de plazos y el registro de evidencia sobre Power Automate, Dataverse, Power Pages y Power BI, integrando contra ERP y CRM existentes. En proyectos de automatización de compliance, Muze ha medido una reducción del 60% en el tiempo de preparación de informes y 80% menos errores de digitación.
¿Cuánto está realmente en juego? La aritmética de la sanción
El techo de exposición son 20.000 UTM por infracción gravísima (Art. 35), y con reincidencia la Agencia puede aplicar hasta 3 veces ese monto. Ese número, no el costo del proyecto, es el que debe anclar la decisión de presupuesto.
La escala completa: leves hasta 5.000 UTM o amonestación escrita; graves hasta 10.000 UTM; gravísimas hasta 20.000 UTM.
Existe un tramo adicional para empresas que no son de menor tamaño según la Ley 20.416 y que reinciden en infracción grave o gravísima: la multa puede alcanzar hasta 2% de los ingresos anuales por ventas y servicios del último año calendario en el caso de graves, y hasta 4% en gravísimas. No es “4% de la facturación” a secas — aplica solo a ese cruce específico.
Hay una válvula de escape operativa: subsanar en un plazo no mayor a 60 días. No hacerlo agrega un recargo de 50% a la multa. Esa ventana de 60 días es, en la práctica, un requisito de capacidad de respuesta técnica.
Y hay un dato que cambia la prioridad: la Agencia administra un Registro Nacional de Sanciones y Cumplimiento de carácter público. El costo reputacional no se negocia después.
La calificación jurídica de cada situación concreta la define el área legal del cliente. Lo que se automatiza es la capacidad de demostrar diligencia — y esa capacidad se construye con los mismos estándares de compliance y ciberseguridad que rigen cualquier implementación seria.