Protección de datos personales: qué exige la Ley 21.719 a toda empresa que maneja datos de clientes
GICS-Innovación · GICS · Innovación y Despliegue de Tecnologías
Cluster de empresas tecnológicas configuradas desde noviembre de 2024.
- Tecnologías de la Ingeniería de Software
- Procesos Sustentables
- Eficiencia Energética e Hídrica
La Ley 21.719 de Protección de Datos Personales no distingue entre una PYME de diez personas y una empresa corporativa con miles de clientes: si tu organización recolecta, almacena o procesa datos personales —lo cual, en la práctica, incluye a casi cualquier negocio con una base de clientes, un sistema de facturación o un formulario de contacto— la ley te aplica.
A quién alcanza realmente esta ley
Es un error común pensar que la protección de datos personales es un tema exclusivo de empresas grandes o de sectores como la banca y la salud. En realidad, cualquier organización que mantenga una base de datos de clientes, proveedores o colaboradores —desde un correo con historial de compras hasta un CRM completo— está sujeta a las obligaciones de la ley, independiente de su tamaño.
Qué cambia respecto al marco anterior
La nueva ley eleva significativamente las exigencias frente al marco previo, principalmente en tres frentes:
- Consentimiento informado: recolectar datos personales exige que la persona sepa, de forma clara, para qué se usarán —no basta con una casilla genérica marcada por defecto.
- Derechos del titular de los datos: acceso, rectificación, cancelación y oposición sobre sus propios datos, con plazos de respuesta definidos para la empresa que los mantiene.
- Responsabilidad ante incidentes: una filtración o mal uso de datos personales ya no es solo un problema reputacional, tiene consecuencias legales directas y obligación de notificación.
El cruce entre protección de datos y ciberseguridad
Cumplir con la ley no es solo un ejercicio documental —redactar una política de privacidad— sino que exige medidas técnicas reales para proteger esos datos: control de acceso, respaldo, cifrado donde corresponda. Es en este punto donde protección de datos y ciberseguridad dejan de ser dos temas separados: no se puede cumplir la ley sin tener una base técnica que efectivamente resguarde la información, algo que profundizamos en el artículo dedicado a ciberseguridad.
Por dónde empezar si tu empresa aún no se ha preparado
El primer paso no es un proyecto grande de compliance, sino un inventario simple: qué datos personales maneja tu empresa hoy, dónde están almacenados, quién tiene acceso a ellos, y con qué base legal se recolectaron originalmente. Ese inventario —que para una PYME puede tomar días, no meses— es la base sobre la que se construye todo lo demás: desde ajustar formularios de consentimiento hasta definir protocolos de respuesta ante un incidente.
No es un proyecto que se termina, es un proceso continuo
La protección de datos personales no es un checklist que se completa una vez. Cada nuevo sistema, cada nueva integración con un proveedor externo, cada nuevo canal de captura de datos de clientes vuelve a poner en juego el cumplimiento. Tratarlo como parte del proceso normal de digitalización de la empresa —no como un proyecto legal aislado— es lo que realmente reduce el riesgo en el tiempo.