Necesitas adaptar tu empresa al RGPD y a la LOPDGDD

¿Tienes razón?

No todas las empresas chilenas deben aplicar el RGPD o la LOPDGDD; la obligación nace si ofreces bienes o servicios a personas residentes en la Unión Europea o en España, o si monitorizas su comportamiento. Lo que determina si debes adaptarte son tres factores: el mercado objetivo (tu app o web va dirigida a usuarios de la UE/ES), el tipo de datos que procesas (datos personales sensibles o perfiles a gran escala) y las transferencias internacionales que realizas (si envías datos desde la UE a Chile). Si cumples alguna de estas condiciones, el RGPD impone requisitos como bases legales para el tratamiento, derechos de los titulares, obligaciones de seguridad y mecanismos para transferencias internacionales. La LOPDGDD añade matices del derecho español y obligaciones adicionales en ámbitos como el tratamiento de menores o la publicidad directa.

En la práctica, la primera verificación es técnica y comercial: revisa las métricas de tus usuarios y si tienes formularios dirigidos a direcciones en la UE o si ofreces precios, soporte o dominios en idiomas europeos. Si sí, el cumplimiento es real y exige cambios organizativos.

Cómo se soluciona

1. Mapeo de datos: inventaria qué datos personales recoges, con qué finalidad, dónde se almacenan y quién tiene acceso. Exporta esta lista en un formato que puedas compartir internamente: campos de formulario, logs, backups y proveedores externos.
2. Evalúa la base legal: para cada tratamiento indica la base aplicable (consentimiento, ejecución de contrato, interés legítimo, etc.). Si usas el consentimiento, documenta cómo se pide y cómo se registra.
3. Revisa transferencias internacionales: identifica proveedores que almacenan datos fuera de la UE o que reciben datos desde la UE. Si hay transferencia a Chile, verifica si existe base jurídica válida (decisiones de adecuación, cláusulas contractuales tipo u otro mecanismo reconocido por la normativa europea).
4. Redacta o actualiza avisos y políticas: adapta tu aviso de privacidad para informar con claridad sobre finalidades, derechos y transferencias. Incluye mecanismos para ejercer derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición).
5. Implementa medidas de seguridad técnicas y organizativas: control de accesos, cifrado en tránsito y reposo, gestión de incidentes y registros de actividades. Documenta los procedimientos: quién actúa si hay una brecha y cómo se comunica a la autoridad competente.
6. Contratos con proveedores: inserta cláusulas de tratamiento de datos en los contratos (responsable y encargado), y exige garantías en materia de seguridad y subcontratación.
7. Formación y gobernanza: designa responsables internos y, si procede, un delegado de protección de datos. Capacita al personal que trata datos personales.

Qué hace la empresa sola: inventario inicial, recopilación de proveedores y políticas públicas. Qué hace un profesional: diseñar cláusulas de transferencia y contratos, realizar análisis de impacto de privacidad para tratamientos riesgosos y negociar SLA y garantías con proveedores.

Qué puede pasar

1) Se soluciona con ajustes contractuales y técnicos: muchas empresas sólo necesitan actualizar avisos y contratos, y aplicar controles de seguridad básicos. Es la solución más rápida y la que evita sanciones.

2) Acuerdo con autoridades o requerimiento: si una autoridad de protección de datos recibe una denuncia, puede ordenar medidas correctivas o imponer sanciones administrativas según la gravedad. Llegar a un acuerdo para subsanar incumplimientos suele implicar compromisos de mejora y supervisión.

3) Multas o procedimientos formales: en casos graves y demostrados de incumplimiento, puede iniciarse un procedimiento sancionador. En ese escenario, la defensa técnica y documental es clave; si pierdes, habrá consecuencias económicas y reputacionales. Además, una sentencia no garantiza que una empresa reciba compensación si el responsable es insolvente.

Y si ganas, ¿cobras? Las resoluciones favorables reconocen el derecho, pero el resarcimiento material depende de la solvencia de la parte contraria.

Errores que arruinan el caso

• No inventariar correctamente: pensar que solo los formularios recogen datos y olvidar logs, analytics o backups.
• Usar consentimientos genéricos y no registrarlos: sin prueba, el consentimiento es débil.
• Ignorar a los proveedores: no revisar cláusulas de subcontratación es creer que la seguridad está fuera de tu control.
• No documentar brechas: no tener un procedimiento de notificación complica la defensa.
• Confundir legislación aplicable: asumir que porque la empresa está en Chile no aplica la normativa europea cuando hay usuarios en la UE.