La Ley 21.719 reconoce un catálogo amplio de derechos para que las personas puedan controlar la información que les concierne. Para una empresa, esto significa que la atención de solicitudes no puede depender de la memoria de una persona o de una búsqueda manual en un solo sistema.
Debe existir un proceso que reciba, identifique, localice, evalúe, responda y deje evidencia.
Acceso: saber qué información existe
El derecho de acceso permite solicitar confirmación sobre si se están tratando datos personales y obtener información relevante: datos tratados, origen, finalidades, destinatarios, período de tratamiento, intereses legítimos cuando corresponda y, en ciertos casos, información significativa sobre la lógica de una decisión automatizada.
En la empresa, responder exige consultar más que el CRM. La información puede estar en formularios, tickets, facturas, contratos, sistemas de RR.HH., proveedores de email, respaldos o planillas. Por eso, el acceso es un buen test de la calidad del mapa de datos.
Rectificación: corregir y propagar el cambio
Si los datos son inexactos, desactualizados o incompletos, la persona puede pedir su rectificación. La corrección no termina en una pantalla: cuando los datos fueron comunicados o cedidos, puede ser necesario notificar la modificación a terceros, salvo imposibilidad o esfuerzo desproporcionado.
El proceso debe impedir que una automatización vuelva a tratar la versión antigua. Esto requiere sincronización, reglas de actualización y una bitácora que muestre cuándo se corrigió, quién lo hizo y qué sistemas fueron afectados.
Supresión: eliminar cuando corresponde
La supresión puede proceder, entre otros casos, cuando los datos ya no son necesarios, se revocó el consentimiento sin otra base, fueron tratados ilícitamente, están caducos, existe una obligación de eliminarlos o prosperó una oposición.
No es un derecho automático en cualquier escenario. Puede haber límites por obligaciones legales, contratos vigentes, funciones públicas, salud pública, fines históricos o científicos y defensa de reclamaciones. Por eso la empresa necesita un flujo de evaluación, no un botón de borrado indiscriminado.
Oposición: detener tratamientos específicos
La persona puede oponerse a tratamientos basados en interés legítimo, a marketing directo y a ciertos usos de datos provenientes de fuentes de acceso público. El marketing merece una operación clara: si alguien se opone, el CRM debe detener campañas y evitar que la persona vuelva a ingresar por una segmentación antigua.
También existe protección frente a decisiones individuales automatizadas, incluidos perfiles, cuando producen efectos jurídicos o afectan significativamente. En esos casos, el responsable debe considerar información, explicación, intervención humana, posibilidad de expresar el punto de vista y revisión de la decisión.
Portabilidad y bloqueo
La portabilidad permite solicitar una copia de los datos facilitados por el titular en un formato electrónico estructurado, genérico y de uso común, cuando el tratamiento sea automatizado y se base en el consentimiento. No implica por sí sola eliminar los datos del responsable cedente.
El bloqueo funciona como una medida temporal: puede pedirse mientras se resuelve una solicitud de rectificación, supresión u oposición. Es una razón adicional para que el equipo pueda marcar un registro como “en revisión” y detener ciertos usos sin destruir información necesaria para analizar el caso.
El flujo mínimo de atención
Un procedimiento operativo debería definir:
- canal de recepción y requisitos de identificación;
- responsable de registrar la solicitud;
- sistemas y áreas que deben ser consultados;
- criterios para responder, rechazar o pedir antecedentes;
- coordinación con encargados y proveedores;
- plazos, aprobaciones y comunicaciones;
- evidencia del resultado y de las decisiones adoptadas.
La empresa también debe capacitar a quienes reciben solicitudes. Una persona puede escribir a ventas, soporte, RR.HH. o marketing; todos deben saber cómo derivar el caso.
Conclusión
Los derechos del titular convierten la protección de datos en una experiencia concreta. La organización que sabe dónde están sus datos, quién puede acceder y cómo se actualizan está en mejores condiciones de responder rápido y con consistencia.
El diagnóstico de preparación permite identificar qué tan preparado está tu ecosistema de datos para atender estos derechos.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
