¿Postergar o suspender? 10 consideraciones prácticas ante la posible prórroga de la Ley de Datos Personales

1. La postergación todavía es una propuesta.

Mientras el proyecto no sea aprobado, promulgado y publicado, la fecha legal de referencia sigue siendo el 1 de diciembre de 2026. Suspender completamente un proceso de adecuación supone asumir un riesgo legislativo innecesario.

2. Se aplazaría el nuevo régimen, no la protección de los datos.

Si la propuesta se aprueba en sus términos actuales, se diferirían, entre otras materias, las nuevas bases de licitud, los derechos ampliados, los deberes reforzados de transparencia y seguridad, el reporte de determinadas vulneraciones, las reglas sobre encargos y transferencias internacionales, la fiscalización de la Agencia y el nuevo régimen sancionatorio. Mientras tanto, la Ley N.º 19.628 sigue vigente, junto con la garantía constitucional de protección de los datos personales.

3. Prácticamente toda empresa trata datos personales y debe revisar su situación.

La protección de datos no es un asunto exclusivo de bancos, centros de salud o empresas tecnológicas. Una empresa que tiene trabajadores ya trata datos personales: antecedentes contractuales y de remuneraciones, datos de contacto, licendcias, registros de asistencia, evaluaciones y otra información laboral. A ello suelen agregarse datos de postulantes, clientes, proveedores y usuarios.

4. El primer trabajo es mapear los datos y asignar correctamente los roles.

Antes de redactar políticas, es necesario identificar qué datos se recopilan, para qué finalidades, con qué fundamento, dónde se almacenan, quién accede, cuánto tiempo se conservan y con qué terceros se comparten. Ese inventario también permite distinguir cuándo la empresa actúa como responsable y cuándo procesa información por cuenta de un tercero como encargado.

5. Externalizar el tratamiento no externaliza la responsabilidad.

La nueva ley hace especialmente relevante la relación entre responsables, encargados y subencargados. La cadena puede generar responsabilidades cruzadas: el responsable mantiene obligaciones aunque utilice un proveedor SaaS o cloud; el encargado debe respetar las instrucciones recibidas y puede asumir responsabilidad propia si utiliza los datos para fines distintos; y los subencargos requieren controles contractuales y operativos. Los contratos de tratamiento pasan así a ser parte de la gestión de riesgo de proveedores.

6. Software e inteligencia artificial hacen más urgente ordenar los datos.

CRM, plataformas de recursos humanos, analytics, servicios cloud y herramientas de IA multiplican los puntos en que la información se recopila, aloja, comparte y analiza. A ello se suma el uso de datos para entrenar, ajustar o alimentar sistemas de inteligencia artificial. Cuando existe información personal, deben revisarse finalidad, licitud, minimización, seguridad y trazabilidad, especialmente en casos de perfilamiento o decisiones automatizadas. Corregir un flujo antes de integrarlo al negocio suele ser mucho más sencillo que rediseñarlo después.

7. La seguridad y los incidentes no se postergan con la ley.

Filtraciones, accesos indebidos, errores de configuración y ataques pueden ocurrir hoy. Resulta razonable avanzar desde ya en controles de acceso, retención, respaldos, gestión de proveedores y protocolos de respuesta a incidentes. El nuevo régimen hará estas obligaciones más exigentes y demostrables, pero el riesgo operacional y reputacional ya existe.

8. La adecuación también influye en licitaciones y contratación internacional.

En contratos con multinacionales, procesos de due diligence, licitaciones y relaciones con Estados, organismos públicos extranjeros u organizaciones internacionales es habitual encontrar exigencias de privacidad, seguridad, auditoría y transferencias de datos. La Ley N.º 21.719 regula expresamente las transferencias internacionales. Llegar anticipadamente a estándares comparables puede facilitar la contratación y evitar negociaciones de última hora o pérdida de oportunidades.

9. Las amonestaciones no equivalen a inmunidad y también dejan registro.

El proyecto propone que, durante los primeros doce meses del nuevo régimen, la facultad de la Agencia para aplicar una amonestación escrita pueda alcanzar a todos los responsables y no solo a empresas de menor tamaño. Es una facultad, no un derecho a quedar libre de multa. Además, esas amonestaciones están sujetas a registro. La Ley N.º 21.719 crea un Registro Nacional de Sanciones y Cumplimiento, público y gratuito, cuyas anotaciones permanecen accesibles hasta por cinco años. El cumplimiento tendrá, por tanto, una dimensión reputacional y de due diligence.

10. Un año adicional no es tanto tiempo cuando la adecuación se hace bien.

Un proyecto serio no consiste únicamente en publicar una nueva política de privacidad. Requiere diagnóstico, data mapping, revisión de bases de licitud, contratos con proveedores, procedimientos para ejercer derechos, reglas de conservación, seguridad, respuesta a incidentes, capacitación y evidencia de cumplimiento. También puede exigir cambios tecnológicos y coordinación entre Legal, TI, Ciberseguridad, RR.HH., Marketing, Comercial y Compras. Son asesorías e implementaciones que toman meses. Un año adicional puede dar holgura; difícilmente sobra.

Si la prórroga se aprueba, la mejor forma de leerla no es como una pausa de un año, sino como una oportunidad para llegar mejor preparados. Las empresas que utilicen ese tiempo para conocer sus datos, ordenar proveedores, actualizar contratos y probar sus procesos enfrentarán la entrada en vigencia con una ventaja relevante para cuando la Agencia comience aa fiscalizar. En ese sentido, todo indicio de diligencia y cumplimiento serán relevantes.