Una empresa puede tener una política de privacidad correcta y aun así no saber dónde están sus datos personales. El problema aparece cuando la información está repartida entre CRM, ERP, formularios, correo, WhatsApp, planillas, RR.HH., plataformas publicitarias, proveedores cloud y respaldos.
El mapa de datos personales es la herramienta que transforma ese ecosistema disperso en una vista gestionable.
Qué es y qué no es un mapa de datos
Un data mapping no es una lista de aplicaciones ni un diagrama tecnológico. Es una descripción de cómo la organización recolecta, usa, comparte, conserva y elimina información personal.
Para cada tratamiento debe conectar al menos:
- personas o categorías de titulares;
- datos tratados;
- fuente de obtención;
- finalidad;
- base de legitimidad;
- sistema donde se almacenan;
- áreas y usuarios con acceso;
- proveedores y destinatarios;
- plazo de conservación;
- medidas de seguridad;
- derechos y riesgos asociados.
El material de la Academia Judicial destaca que la amplitud del concepto de dato personal incluye información que permite identificar directa o indirectamente a una persona. Por eso el mapa debe considerar identificadores evidentes y señales que adquieren sentido cuando se combinan.
Paso 1: definir el alcance
Comienza por las áreas con más circulación de información: marketing y ventas, atención al cliente, RR.HH., finanzas, operaciones y TI. Incluye procesos digitales y físicos, bases activas e históricas.
No intentes documentar todo con el mismo nivel de detalle desde el primer día. Una primera versión puede priorizar tratamientos de alto volumen, datos sensibles, decisiones automatizadas, proveedores críticos y flujos de marketing.
Paso 2: entrevistar a quienes operan los datos
El inventario técnico no revela necesariamente el uso real. Una planilla puede exportarse cada semana a otra área. Un CRM puede recibir contactos desde formularios, eventos, WhatsApp o bases compradas. Un proveedor puede activar una integración que nadie recuerda.
Las entrevistas deben preguntar “qué haces con los datos” y no sólo “qué sistema usas”. Conviene seguir el recorrido de un registro desde su origen hasta su eliminación.
Paso 3: dibujar el ciclo de vida
Para cada tratamiento, documenta cinco momentos:
- Captura: qué formulario, canal o fuente lo origina.
- Uso: qué área lo consulta y para qué decisión.
- Circulación: qué integraciones, proveedores o terceros lo reciben.
- Conservación: qué plazo aplica y dónde quedan las copias.
- Cierre: cómo se elimina, anonimiza, bloquea o conserva por obligación.
El ciclo de vida muestra riesgos que no aparecen al mirar una sola pantalla. Un contacto puede salir del formulario, entrar al CRM, viajar a email marketing, alimentar una audiencia publicitaria y terminar en respaldos.
Paso 4: encontrar brechas y priorizar
No todas las brechas tienen el mismo impacto. Prioriza cuando exista gran volumen, dato sensible, población vulnerable, proveedor externo, acceso amplio, transferencia internacional, perfilamiento o ausencia total de evidencia.
Algunas señales de alerta son: campos que nadie puede justificar, contactos sin fuente, bases históricas sin dueño, cuentas compartidas, proveedores que no aparecen en contratos, campañas que no respetan preferencias y datos que no tienen fecha de revisión.
Paso 5: convertir el mapa en una herramienta viva
El mapa pierde valor si se crea una vez y se archiva. Debe actualizarse cuando se lanza una campaña, se contrata un SaaS, se modifica un formulario, se incorpora una integración, se cambia una finalidad o se elimina un sistema.
Una buena práctica es incluir una revisión de protección de datos en el proceso de cambio tecnológico y comercial. Así, el mapa se vuelve parte del gobierno de la empresa.
Conclusión
El mapa de datos personales es la base para responder derechos, controlar proveedores, diseñar formularios, gestionar incidentes y demostrar responsabilidad. Sin visibilidad, la organización sólo puede reaccionar de forma parcial.
Si necesitas construir una primera versión, conoce el diagnóstico de preparación Ley 21.719 y ordénalo en una hoja de ruta priorizada.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
