Diagnóstico de tratamientos y brechas
Antes de redactar una política es necesario identificar qué datos se recopilan, de quiénes provienen, para qué se utilizan, dónde se almacenan y con quiénes se comparten. Este inventario permite reconocer datos sensibles, transferencias y operaciones de mayor riesgo.
El diagnóstico también revisa formularios, contratos, sistemas y prácticas internas para identificar diferencias entre la documentación y el tratamiento efectivo.
- Inventario de datos, bases y finalidades de tratamiento.
- Identificación de titulares, datos sensibles y encargados.
- Revisión de bases de licitud, información y consentimientos.
- Mapa inicial de riesgos y plan de adecuación.
Políticas, derechos y relaciones con terceros
La organización debe poder explicar sus tratamientos y responder las solicitudes de los titulares por canales definidos. También debe regular la actuación de proveedores u otros terceros que acceden a información por cuenta de la empresa.
Las medidas se diseñan según la actividad y el riesgo, evitando copiar documentos que no correspondan a los procesos reales.
- Políticas y avisos de privacidad.
- Procedimientos para el ejercicio de derechos de los titulares.
- Cláusulas y acuerdos con encargados o proveedores.
- Reglas de conservación, acceso y eliminación de datos.
Prevención de infracciones y respuesta ante incidentes
La nueva regulación contempla acciones de prevención y permite adoptar voluntariamente modelos de prevención de infracciones. Estos pueden integrar un delegado, identificación de procesos riesgosos, protocolos, reportes, capacitación y responsabilidades internas.
La preparación también debe contemplar cómo detectar, escalar y documentar incidentes. Las medidas técnicas de ciberseguridad o arquitectura de sistemas pueden requerir apoyo especializado, coordinado con la evaluación jurídica.
- Programa o modelo preventivo de cumplimiento.
- Definición de responsables y funciones internas.
- Protocolo jurídico de respuesta ante incidentes.
- Capacitación y plan periódico de revisión.
Preguntas frecuentes
¿Cuándo entra en vigor la Ley N.º 21.719?
Las modificaciones entran en vigor el 1 de diciembre de 2026. La preparación anticipada permite levantar procesos y corregir brechas antes de esa fecha.
¿Toda empresa debe designar un delegado de protección de datos?
La ley contempla su designación dentro del modelo preventivo y regula sus funciones. La conveniencia y exigencias aplicables deben revisarse según la organización y la normativa vigente.
¿La asesoría jurídica reemplaza una auditoría de ciberseguridad?
No. La revisión jurídica puede identificar obligaciones y riesgos, pero las evaluaciones técnicas requieren profesionales y herramientas especializadas.
Referencias normativas
- Ley N.º 21.719 sobre protección y tratamiento de datos personales · Biblioteca del Congreso Nacional
Información general de Legal Providence. La norma aplicable y su versión deben revisarse según la fecha de los hechos y las circunstancias de cada caso.