Una analista de remuneraciones necesita enviarle al contador externo la nómina de octubre. Exporta el Excel, lo adjunta a un correo y lo manda. El archivo trae RUT, sueldos, cuentas bancarias y, en una columna que nadie recuerda haber agregado, el motivo de cada licencia médica. Nadie la detiene, porque en Microsoft 365 nada sabe que ese archivo es distinto de una minuta de reunión.
Con Microsoft Purview, la protección de datos en Microsoft 365 parte justamente ahí: enseñarle a la plataforma qué archivos y correos contienen datos personales, para que pueda advertir, etiquetar o bloquear antes de que salgan. Es la parte de la Ley 21.719 que vive en el correo, en OneDrive, en SharePoint y en Teams, y que muchas empresas tienen a medio configurar sin saberlo. Aquí va cómo se combinan los tipos de información confidencial, las etiquetas de confidencialidad y la DLP de Microsoft 365, y qué trae cada licencia.
Dónde está la ley hoy
La Ley 21.719 tiene fijada su entrada en vigencia para el 1 de diciembre de 2026. El 28 de octubre, el Senado aprobó el proyecto que la posterga hasta el 15 de octubre de 2027 (Diario Financiero), y ahora está en segundo trámite en la Cámara de Diputados. Mientras no se publique, la fecha que rige sigue siendo diciembre.
Para lo que sigue, da un poco lo mismo cuál fecha quede. La ley exige medidas de seguridad acordes al tipo de dato y al riesgo, y es difícil cumplir eso con archivos que nadie sabe que contienen datos personales. Ya escribimos sobre cómo inventariar esos datos en ERP, CRM y respaldos en Ley 21.719 en sistemas informáticos. Purview cubre el otro lado: documentos, planillas y correos.
Las tres piezas de Purview que importan aquí
Purview tiene muchos módulos. Para clasificar datos personales en Microsoft 365 alcanza con entender tres:
| Pieza | Qué hace | Ejemplo |
|---|---|---|
| Tipos de información confidencial | Detectan patrones dentro del contenido (un RUT, una tarjeta de crédito, un pasaporte) | Encontrar todos los archivos de SharePoint con RUT válidos |
| Etiquetas de confidencialidad | Marcan un archivo o correo según su nivel de sensibilidad y pueden cifrarlo, ponerle marca de agua o restringir quién lo abre | Etiqueta "Confidencial - Datos personales" que solo deja abrir el archivo a personas de la empresa |
| DLP (prevención de pérdida de datos) | Revisa lo que se comparte o se envía y actúa: avisa, pide justificación o bloquea | Bloquear un correo externo con más de diez RUT |
Se pueden usar por separado, pero la gracia está en combinarlas: el tipo de información encuentra el RUT, la etiqueta acompaña al archivo aunque lo descarguen y DLP actúa cuando alguien intenta mandarlo afuera.
Cómo reconoce Purview un RUT chileno
Purview trae un tipo de información confidencial llamado Chile identity card number. Busca siete u ocho dígitos con puntos opcionales, un guion y un dígito verificador (número o K), y valida el dígito verificador. Si además encuentra a menos de 300 caracteres palabras como "RUT", "RUN" o "cédula de identidad", la coincidencia queda con confianza alta. Sin esas palabras, la confianza es media.
En la práctica, conviene partir con confianza alta en las reglas que bloquean y dejar la media para reglas que solo auditan. Una planilla de cobranza con encabezado "RUT" va a calzar bien; un número suelto en un PDF escaneado probablemente no.
Para datos que no tienen un formato fijo (una ficha clínica, un diagnóstico en una nota, una evaluación de desempeño), el RUT no basta. Ahí puedes crear tipos de información personalizados con palabras clave y expresiones regulares propias, por ejemplo para los códigos de tu sistema de remuneraciones o los nombres de tus formularios internos.
Etiquetas de confidencialidad: pocas y entendibles
El error más común con las etiquetas es diseñar una taxonomía de doce niveles que nadie entiende. Para una empresa mediana suele bastar algo así:
- Público: material que puede salir sin problema.
- Interno: uso general dentro de la empresa.
- Confidencial: información del negocio que no debe salir sin autorización.
- Confidencial - Datos personales: archivos con datos de clientes, trabajadores o proveedores identificables. Cifrado y acceso restringido a la organización.
La cuarta etiqueta es la que conecta con la ley. Si un archivo con esa etiqueta termina reenviado a una cuenta personal, el cifrado impide abrirlo fuera de la empresa.
Ojo con las licencias. Según la descripción de servicio de Purview, el etiquetado manual está incluido en Microsoft 365 Business Premium, E3 y E5. El etiquetado automático, tanto el que sugiere la etiqueta en Word o Excel como el que la aplica en SharePoint, OneDrive y Exchange, requiere Microsoft 365 E5 o complementos como Microsoft Purview Suite o E5 Information Protection and Governance.
Con Business Premium o E3, entonces, la clasificación depende de que las personas etiqueten. Funciona si las etiquetas son pocas y claras, y si se configura una etiqueta por defecto para que nada quede sin clasificar.
DLP en Microsoft 365: qué cubre cada licencia
Sin DLP, clasificar sirve sobre todo para saber dónde está el problema. Una política típica dice: si un correo o archivo compartido hacia afuera contiene RUT con confianza alta, o lleva la etiqueta de datos personales, muestra un aviso al usuario y pide justificación; si son más de cierta cantidad, bloquea.
La cobertura depende de la licencia:
| Ubicación | Business Premium / E3 | E5 |
|---|---|---|
| Exchange Online (correo) | Sí | Sí |
| SharePoint y OneDrive | Sí | Sí |
| Archivos compartidos en Teams | Sí (viven en SharePoint/OneDrive) | Sí |
| Mensajes de chat y canales de Teams | No | Sí |
| Explorador de contenido y de actividad | No | Sí |
Fuentes: descripción de servicio de Purview y DLP y Microsoft Teams.
Volviendo a la escena del comienzo: con Business Premium, una política DLP sobre Exchange que detecte RUT habría avisado a la analista antes de enviar, o habría pedido justificación. No es necesario partir con E5 para tener ese primer control.
Microsoft recomienda desplegar las políticas primero en modo de simulación. Durante unas semanas la política registra lo que habría bloqueado sin bloquear nada, y con eso ajustas umbrales antes de molestar a nadie. Saltarse esa etapa suele terminar con el área comercial pidiendo que apaguen todo.
Si estás preparando Copilot, esto pesa todavía más. Copilot solo muestra lo que cada persona ya puede abrir y respeta el cifrado de las etiquetas, pero una carpeta de remuneraciones compartida con toda la empresa va a aparecer en sus respuestas igual que aparece en el buscador. Revisamos otros ajustes base en Seguridad de Microsoft 365 en la empresa.
Un orden de trabajo que funciona
- Revisa qué licencias tienes y por usuario. Muchas empresas tienen Business Premium o E3 y nunca activaron las etiquetas ni DLP que ya pagan.
- Define qué cuenta como dato personal en tu empresa: RUT, datos bancarios, datos de salud de trabajadores, datos de clientes. Crea tipos de información personalizados para lo que el RUT no cubre.
- Publica tres o cuatro etiquetas, con una por defecto, y explica en una página cuándo usar cada una.
- Crea una política DLP para Exchange, SharePoint y OneDrive en modo simulación, enfocada en RUT con confianza alta y en la etiqueta de datos personales.
- Ajusta durante dos a cuatro semanas, revisando falsos positivos con las áreas que más comparten información hacia afuera.
- Activa avisos y justificación primero, y bloqueos solo donde el riesgo lo amerite.
- Evalúa E5 o Purview Suite si necesitas etiquetado automático, DLP en chats de Teams o visibilidad con el explorador de contenido.
Preguntas frecuentes
¿Purview detecta el RUT chileno sin configurar nada?
Sí. Incluye un tipo de información confidencial para el número de cédula de identidad chilena que valida el dígito verificador y sube la confianza cuando aparece cerca de palabras como RUT o RUN. Lo que sí tienes que configurar son las políticas que lo usan.
¿Necesito Microsoft 365 E5 para cumplir la Ley 21.719?
No necesariamente. Business Premium y E3 incluyen etiquetado manual y DLP para correo, SharePoint y OneDrive, que cubren buena parte del riesgo. E5 agrega etiquetado automático, DLP en chats de Teams y más visibilidad. Ninguna licencia cumple la ley por sí sola.
¿Purview sirve para los datos del ERP o del CRM?
Para lo que sale de esos sistemas hacia Microsoft 365, sí: exportaciones, reportes y adjuntos. Los datos dentro de las bases del ERP o CRM requieren otro trabajo, con inventario y controles en cada sistema.
Cómo te podemos ayudar
En Disrupsoft partimos revisando lo que ya tienes en Microsoft 365 y qué licencias lo cubren. Después definimos con tus áreas las etiquetas y las políticas DLP, las implementamos y seguimos acompañando cuando ya están en producción. Si quieres saber qué tan cerca estás de proteger los datos personales que circulan por tu correo y tus documentos, conversemos sobre seguridad Microsoft.
