Ley 21.719: qué cambia para tu pyme desde diciembre

Qué cambia, en una frase

La Ley 21.719 crea la Agencia de Protección de Datos Personales y pasa de un modelo declarativo a uno de cumplimiento exigible: hay que poder demostrar por qué se trata cada dato, para qué, por cuánto tiempo y con quién se comparte. Las multas llegan hasta 20.000 UTM.

Si tu empresa solo tiene la planilla de sueldos y la base de clientes, igual está alcanzada: son datos personales de trabajadores y de personas naturales.

1. Definir la base de licitud de cada tratamiento

Cada conjunto de datos necesita una razón legal: consentimiento, ejecución de un contrato, cumplimiento de una obligación legal o interés legítimo. Lo práctico es hacer una lista:

• Remuneraciones: obligación legal y ejecución del contrato de trabajo.
• Clientes: ejecución del contrato y, para el envío de información comercial, consentimiento.
• Postulantes: consentimiento, con plazo de conservación definido.
• Proveedores: ejecución del contrato y obligaciones tributarias.

Si no sabes por qué tienes un dato, la respuesta correcta suele ser eliminarlo.

2. Armar el registro de actividades de tratamiento

Es un inventario simple, no un sistema: qué datos se tratan, de quién, con qué finalidad, dónde se guardan, quién tiene acceso, con qué proveedores se comparten y por cuánto tiempo se conservan. Una planilla de cinco columnas bien mantenida cumple la función y sirve para responder cualquier requerimiento.

3. Ordenar los encargados y proveedores

Casi todas las pymes tratan datos en servicios de terceros: contabilidad en la nube, correo, software de remuneraciones, plataformas de facturación. Con cada uno se necesita un contrato que establezca que el proveedor trata los datos solo por instrucción del responsable y con medidas de seguridad.

Revisa dónde queda la información. Un proveedor que almacena en otro país requiere revisar las reglas de transferencia internacional, que la nueva ley hace más exigentes.

4. Preparar los derechos de las personas

La ley amplía los derechos: acceso, rectificación, cancelación, oposición, portabilidad y oposición a decisiones basadas únicamente en tratamiento automatizado. La obligación práctica es tener un canal y un procedimiento: un correo, un responsable y un plazo de respuesta.

No basta con publicar un correo: si alguien pide sus datos, hay que poder entregarlos en un formato comprensible y dentro del plazo legal.

5. Escribir el protocolo de brechas

Si se filtra una base —por un correo mal enviado, un notebook robado o un proveedor comprometido— hay que notificar a la Agencia y, cuando el riesgo es alto, a las personas afectadas. Tener el protocolo escrito antes del incidente es la diferencia entre una notificación ordenada y un caos con reloj corriendo.

El protocolo mínimo incluye: quién detecta, a quién se informa, cómo se contiene, qué se registra y quién redacta la notificación.

6. Ajustar los textos del sitio y de los formularios

La política de privacidad debe decir la verdad sobre lo que el sitio hace: qué formularios guardan datos, qué cookies existen, qué servicios externos intervienen y cuánto se conserva. Si mañana se agrega analítica o un formulario que guarda en servidor, el texto cambia antes, no después.

En este sitio la política está publicada en /privacidad.html y el detalle de servicios externos en /cookies.html.

Qué hacer en las próximas cuatro semanas

1. Lista los lugares donde viven datos personales: correo, nube, software, planillas locales, teléfonos.
2. Asigna un responsable interno, aunque sea una sola persona con nombre y correo.
3. Redacta el registro de actividades con lo que ya existe; no inventes procesos nuevos.
4. Elimina lo que no tiene finalidad: currículums de hace cinco años, bases de correos sin origen claro.
5. Revisa contratos con proveedores y pide la cláusula de encargado de tratamiento.
6. Escribe el protocolo de brechas en una página.

Sobre la fecha. Se ha discutido públicamente una posible postergación de la entrada en vigencia. Antes de fijar plazos internos, confirma la fecha vigente; el trabajo de ordenar los datos sirve igual, con o sin postergación.

Información general, no asesoría legal. La aplicación de la Ley 21.719 a tu empresa depende de los datos que trates y de los proveedores que uses.