Santiago Benítez, Abogado Director de Magliona Abogados.

En los procesos de transformación digital de sectores altamente regulados, como Finanzas y Salud, todavía persiste una zona de riesgo que suele recibir menos atención de la que merece: la infraestructura documental que soporta la operación cotidiana. Impresoras multifuncionales, escáneres, colas de impresión, repositorios compartidos, respaldos documentales y flujos híbridos entre papel y soporte digital aún son parte activa del tratamiento de información sensible. Más allá de ser una capa marginal del negocio son, en muchos casos, una extensión concreta del sistema de datos de la organización.

Ese punto adquiere una relevancia distinta frente a la nueva Ley N°21.719 sobre protección y tratamiento de datos personales, publicada en diciembre de 2024 y con entrada en vigencia el 1 de diciembre de 2026. La norma, además de modernizar el marco chileno, instala un estándar más exigente en materia de principios, responsabilidades, seguridad y tratamiento de categorías especialmente protegidas, entre ellas los datos de salud y otros datos sensibles. Para industrias intensivas en información, esto obliga a revisar tanto las grandes plataformas como también los entornos donde el dato se imprime, se digitaliza, se deriva, se almacena temporalmente o queda accesible para terceros.

“Durante años, muchas organizaciones entendieron la protección de datos como un asunto asociado principalmente a bases de datos, plataformas o sistemas centrales. Pero en la práctica, buena parte de la exposición ocurre en la operación documental: en un escaneo mal gestionado, en un equipo con almacenamiento local, en una carpeta compartida sin trazabilidad o en un documento impreso que sigue circulando fuera de control”, asegura Santiago Benítez, Abogado Director de Magliona Abogados.

En Salud, esa exposición puede involucrar fichas clínicas, resultados de exámenes, consentimientos informados, antecedentes de afiliación o documentos de identificación. En Finanzas, puede abarcar contratos, respaldos de onboarding, antecedentes comerciales, formularios de cumplimiento, validaciones de identidad o documentación de soporte para decisiones crediticias, documentos que son parte de procesos de identificación de clientes, prevención de lavado de activos y soporte de operaciones financieras y cumplimiento regulatorio aplicable, y que por tanto están sujetos a exigencias de trazabilidad y conservación.

En ambos casos, el problema es la existencia de esos flujos y la ausencia de una gobernanza consistente sobre ellos: quién accede, bajo qué perfil, por cuánto tiempo se conserva la información, qué terceros participan en el proceso y qué medidas permiten reconstruir la trazabilidad frente a un incidente, reclamo o fiscalización. La nueva ley, precisamente, refuerza deberes de responsabilidad, finalidad, proporcionalidad, seguridad y confidencialidad, además de exigir una gestión más robusta del ciclo de vida de los datos.

Desde la mirada de cumplimiento, el error más frecuente es asumir que estos dispositivos y flujos son meramente operativos, cuando en realidad forman parte del ecosistema regulado de tratamiento de datos. La distinción es crítica, porque cambia la pregunta.

No se trata solo del funcionamiento del proceso documental o si permite continuidad operativa, más bien va en línea con el cumplimiento de estándares de acceso, minimización, retención, seguridad y accountability acordes al nuevo marco normativo.

“Lo que viene exige bajar la discusión regulatoria a la operación real. En sectores como Finanzas y Salud, el cumplimiento no se juega únicamente en una política corporativa o en una declaración general de privacidad, sino también en cómo una organización administra sus impresiones, sus repositorios, sus respaldos documentales y la intervención de terceros en esos circuitos”, agrega Benítez.

Desde esa perspectiva, prepararse de inmediato ya supone hacer algo más que ajustar documentos internos. Implica mapear flujos documentales, identificar categorías de datos tratadas, revisar contratos con proveedores, ordenar perfiles de acceso, definir reglas de conservación y eliminación, y asegurar que la trazabilidad no se pierda en las capas más cotidianas de la operación. En otras palabras, reconocer que el dato sensible no solo vive en grandes sistemas: también pasa por la impresora, el escáner y el repositorio que nadie estaba mirando con suficiente atención. Con diciembre de 2026 ya definido como hito regulatorio, postergar esa revisión empieza a ser una decisión difícil de justificar.