Los principios de protección de datos personales no son frases decorativas para una política corporativa. Son criterios para decidir qué información recolectar, qué uso está permitido, cuánto tiempo conservarla y qué controles necesita. La Ley 21.719 los convierte en una base práctica para evaluar la conducta de responsables y encargados.
El material docente de la Academia Judicial los vincula con deberes específicos, derechos de los titulares, seguridad, privacidad desde el diseño, evaluaciones de impacto y régimen sancionatorio. Esta es una lectura empresarial de cada principio.
1. Licitud y lealtad
Todo tratamiento necesita un fundamento jurídico y debe realizarse de forma leal. Además, el responsable debe poder acreditar la licitud del tratamiento. Esto cambia la pregunta de “¿podemos usar este dato?” a “¿qué base habilita este uso y dónde está documentada?”.
En la práctica, conviene mantener una matriz por tratamiento que conecte finalidad, categorías de datos, base de legitimidad, destinatarios y plazo de conservación.
2. Finalidad
Los datos deben recogerse para fines específicos, explícitos y lícitos. No es lo mismo pedir un correo para responder una consulta que incorporarlo automáticamente a una campaña comercial. Tampoco es suficiente escribir “mejorar la experiencia” si la empresa realiza varios tratamientos diferentes.
Cada nuevo uso debe revisarse: puede existir compatibilidad, una relación contractual, un nuevo consentimiento o una habilitación legal, pero la empresa debe justificar el vínculo y comunicarlo adecuadamente.
3. Proporcionalidad y minimización
La empresa debe tratar sólo los datos necesarios, adecuados y pertinentes para el fin definido. El formulario que pide cargo, tamaño de empresa, teléfono, fecha de nacimiento y preferencias cuando sólo necesita responder una solicitud puede estar recolectando de más.
La proporcionalidad también alcanza la conservación. Cuando la información deja de ser necesaria, corresponde evaluar su supresión o anonimización, salvo que exista una obligación que justifique conservarla.
4. Calidad
Los datos deben ser exactos, completos, actuales y pertinentes. Una base de CRM desactualizada no sólo reduce la eficiencia comercial: también puede generar comunicaciones incorrectas, errores en segmentación o decisiones basadas en información inexacta.
El control requiere procesos de actualización, deduplicación, rectificación y trazabilidad. Si los datos se comparten con terceros, la empresa debe saber cómo comunicar una corrección cuando corresponda.
5. Responsabilidad proactiva
La organización debe poder demostrar que cumple. Esto se conoce como accountability o responsabilidad demostrada. No basta decir que existe una política: deben existir responsables, registros, contratos, procedimientos, capacitación, evaluaciones y evidencias.
La accountability es especialmente importante cuando la organización trabaja con múltiples sistemas. Un control que funciona en el CRM puede no cubrir una planilla histórica, una integración con un SaaS o una base utilizada por marketing.
6. Seguridad
La seguridad debe proteger contra accesos no autorizados, usos ilícitos, pérdida, filtración, daño o destrucción. La medida adecuada depende del riesgo, la naturaleza del dato, el contexto y la tecnología disponible.
Por eso incluye más que antivirus: control de accesos, cifrado, respaldos, segregación, monitoreo, gestión de vulnerabilidades, continuidad, respuesta a incidentes y gobierno de proveedores.
7. Transparencia e información
Las políticas y prácticas de tratamiento deben estar disponibles de forma clara, precisa, inequívoca y gratuita. La transparencia permite que las personas entiendan quién trata sus datos, para qué, durante cuánto tiempo, con quién se comparten y cómo ejercer sus derechos.
En marketing, esto implica que el aviso del formulario debe ser coherente con lo que efectivamente sucede después en el CRM y las automatizaciones.
8. Confidencialidad
Quienes acceden a datos deben guardar reserva. El deber subsiste después de terminar la relación con el titular y exige controles organizacionales: perfiles de acceso, acuerdos de confidencialidad, segregación, monitoreo y reglas para terceros.
La confidencialidad no impide informar; exige hacerlo sin abrir accesos indiscriminados. Un equipo debe conocer la información que necesita para su función, no toda la base.
Convertir principios en una rutina de gestión
Una empresa puede empezar con una revisión de cinco documentos y controles:
- inventario de tratamientos;
- matriz de finalidad y base de legitimidad;
- política de conservación y eliminación;
- registro de accesos, incidentes y solicitudes;
- contratos y controles de proveedores.
Estos elementos transforman principios abstractos en decisiones verificables. En conjunto, permiten entender qué está funcionando y qué riesgo merece prioridad.
Conclusión
Los principios de protección de datos personales son el lenguaje común entre dirección, legal, marketing, ventas, TI y RR.HH. Aplicarlos bien no significa frenar la operación, sino hacer que cada tratamiento tenga un propósito, un responsable, controles y evidencia.
Si necesitas ordenar esta revisión, conoce el diagnóstico de preparación para la Ley 21.719.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
