La pregunta que más nos llega desde empresas pequeñas es alguna variante de «esto aplica solo a las grandes, ¿cierto?». La respuesta corta es no. La Ley 21.719 no contempla umbrales de facturación, de número de trabajadores ni de volumen de datos. Una consultora de tres personas con un formulario de contacto queda sujeta a las mismas obligaciones sustantivas que un retailer.
Dicho eso, hay una diferencia real: la ley exige medidas apropiadas al riesgo. Y el riesgo de una PYME que trata datos de contacto de doscientos clientes no es el de una empresa que trata datos de salud de un millón de personas. La proporcionalidad juega a favor de las organizaciones pequeñas en el cómo, no en el si.
Lo que sí es exigible sin excepción
Con independencia del tamaño, toda organización debe:
- Tener base de licitud para cada tratamiento.
- Informar al titular qué datos trata y para qué.
- Atender los derechos ARSOP de forma gratuita.
- Adoptar medidas de seguridad apropiadas al riesgo.
- Notificar brechas de seguridad.
- Poder demostrar lo anterior.
Lo que se modula por tamaño y riesgo
- El Delegado de Protección de Datos es obligatorio para organismos públicos y para tratamientos masivos, habituales o de datos sensibles a gran escala. Una PYME típica no está en ese supuesto.
- Las evaluaciones de impacto se exigen para tratamientos de alto riesgo. Un formulario de contacto no lo es.
- El modelo de prevención certificado es voluntario, y para una empresa pequeña su versión razonable es un documento de pocas páginas, no un programa corporativo.
- Las medidas de seguridad se evalúan contra el riesgo: cifrado en tránsito, control de accesos y respaldos son exigibles; un centro de operaciones de seguridad no.
Un plan realista para una PYME
Este es el plan que recomendamos a empresas de menos de veinte personas. Casi todo se puede hacer internamente.
Semana 1 · Inventario
Siéntate una hora con quien conozca los procesos y lista todos los lugares donde entran datos personales:
- Formularios del sitio web.
- Correo de contacto.
- WhatsApp Business.
- Planilla de clientes.
- Sistema de facturación.
- Postulaciones laborales y currículums recibidos.
- Cámaras de seguridad, si las hay.
- Cookies y analítica del sitio.
Para cada uno anota qué datos capturas, para qué los usas, dónde quedan guardados y cuánto tiempo los conservas. Una planilla de cinco columnas es suficiente: eso ya es tu registro de actividades de tratamiento.
Semana 2 · Depuración
Con el inventario a la vista, la pregunta para cada línea es: ¿necesito realmente esto?
Casi siempre aparecen datos que se piden por inercia y nunca se usan, currículums de procesos cerrados hace tres años, planillas de clientes duplicadas en el correo de alguien que ya no trabaja en la empresa, y bases antiguas sin origen conocido.
Borrar es la medida de cumplimiento más barata y más efectiva que existe: los datos que no tienes no pueden filtrarse, no requieren base de licitud y no aparecen en una solicitud de acceso.
Sobre currículums en particular: conservarlos indefinidamente «por si acaso» no tiene base de licitud una vez cerrado el proceso. Si quieres mantener una cartera de candidatos, hay que informarlo y obtener consentimiento para esa finalidad, con un plazo definido.
Semana 3 · Sitio web
Es la parte visible y la que detona denuncias. Cuatro acciones concretas:
- HTTPS forzado. Si tu hosting no lo tiene activado, actívalo. Suele ser un interruptor.
- Casillas de consentimiento desmarcadas en todos los formularios, con enlace a la política.
- Gestor de consentimiento de cookies que bloquee de verdad analítica y píxeles hasta la aceptación.
- Política de privacidad reescrita a partir de tu inventario, no de una plantilla.
El punto 4 es el que más se subestima. Una política copiada que menciona el reglamento europeo y describe tratamientos que tu empresa no realiza es peor que no tenerla, porque documenta que no sabes qué haces con los datos.
Semana 4 · Canal y proveedores
Crea una dirección tipo privacidad@tuempresa.cl, publícala en la política de privacidad y en el pie del sitio, y define quién la revisa y con qué frecuencia.
Luego lista tus proveedores que tratan datos por ti: hosting, correo, CRM, plataforma de facturación, herramienta de email marketing, servicio de respaldos. Con cada uno necesitas un contrato de encargo. En la mayoría de los casos los proveedores internacionales ya ofrecen un anexo de tratamiento de datos que basta con aceptar y archivar; lo importante es tenerlo identificado y guardado, no negociarlo.
El caso particular del software como servicio
Si tu PYME vende software, tu posición es doble: eres responsable respecto de los datos de tus propios clientes, y encargado respecto de los datos que tus clientes cargan en tu plataforma.
Esa segunda condición te obliga a poder ofrecer a tus clientes un contrato de encargo, medidas de seguridad demostrables, capacidad de exportar y eliminar datos a solicitud, y notificación de brechas hacia ellos. A partir de diciembre de 2026, tus propios clientes empezarán a exigírtelo como condición de compra: el cumplimiento pasa de ser un costo a ser un argumento comercial.
Cuánto cuesta esto
Para una PYME típica, la mayor parte del trabajo descrito es tiempo interno, no gasto. Los costos reales suelen limitarse a un gestor de consentimiento —hay opciones gratuitas razonables—, eventualmente un certificado SSL si el hosting no lo incluye, y una revisión legal de la política de privacidad, que es donde recomendamos concentrar el presupuesto si existe.
Comparado con el rango de sanciones y, sobre todo, con el costo de remediar bajo presión de un procedimiento, la adecuación planificada es órdenes de magnitud más barata.
Para empezar por el diagnóstico, nuestro escáner gratuito revisa la capa pública de tu sitio en 30 segundos y te dice exactamente qué corregir. El checklist completo está en la guía.
Contenido informativo. No constituye asesoría legal.