En protección de datos personales existe una diferencia decisiva entre “tener una política” y “poder demostrar cómo funciona”. La Ley 21.719 incorpora una lógica de responsabilidad proactiva o accountability: el responsable debe organizar su tratamiento de forma diligente y conservar evidencia que permita acreditarlo.
Para la dirección, esto convierte el cumplimiento en una capacidad organizacional, no en un documento estático.
Qué significa responsabilidad demostrada
La accountability obliga a pasar de afirmaciones generales a respuestas verificables. Ante una revisión interna, una solicitud o un incidente, la empresa debería poder mostrar:
- qué tratamientos realiza y con qué finalidades;
- qué base de legitimidad aplica a cada uno;
- quién decide y quién ejecuta;
- qué información se entregó a las personas;
- qué controles de seguridad existen;
- qué proveedores intervienen;
- cuánto tiempo se conservan los datos;
- qué ocurrió cuando hubo una solicitud o un incidente.
La evidencia no necesita ser compleja, pero sí coherente, actualizada y conectada con la operación real.
Los componentes de un sistema demostrable
Gobierno y roles
Debe existir claridad sobre quién coordina la protección de datos, quién aprueba tratamientos de mayor riesgo, quién atiende solicitudes, quién escala incidentes y quién mantiene la documentación. No siempre se requiere una estructura grande; sí una asignación explícita.
Registros y matrices
Un inventario de tratamientos, una matriz de finalidades y bases, un registro de proveedores y una política de conservación entregan una visión común. Estas herramientas permiten detectar duplicidades, tratamientos sin propósito claro y bases históricas que nadie administra.
Procedimientos repetibles
Las obligaciones deben convertirse en flujos: alta de un formulario, contratación de un SaaS, creación de una campaña, atención de un derecho, incorporación de una base antigua o respuesta ante una filtración.
Controles y seguimiento
Un control debe tener dueño, frecuencia, criterio de revisión y evidencia. Por ejemplo, revisar accesos al CRM no es una declaración: es una actividad con fecha, responsable, resultado y acciones correctivas.
Accountability y privacidad desde el diseño
La responsabilidad proactiva empieza antes de lanzar una campaña o sistema. Si un nuevo formulario pide demasiados datos, si un proveedor copia información a otra plataforma o si una automatización crea perfiles con impacto relevante, el análisis no puede quedar para después.
La privacidad desde el diseño y por defecto invita a incorporar medidas desde la configuración inicial: recolectar menos, limitar accesos, reducir conservación, registrar cambios y establecer opciones que protejan a la persona sin que deba negociarlas manualmente.
Qué evidencia conviene conservar
Una carpeta o repositorio de cumplimiento puede organizar, según el tamaño y complejidad de la empresa:
- inventario y mapa de tratamientos;
- políticas y versiones de avisos;
- registros de consentimiento y preferencias;
- evaluaciones de riesgo o impacto;
- contratos y anexos con proveedores;
- matrices de acceso y revisiones periódicas;
- capacitaciones y comunicaciones internas;
- solicitudes de titulares y respuestas;
- incidentes, decisiones y medidas correctivas;
- revisiones de cumplimiento y planes de mejora.
La evidencia debe ser proporcional. El objetivo no es producir carpetas para aparentar cumplimiento, sino demostrar que los controles existen y se usan.
Cómo evitar el compliance de papel
Un riesgo frecuente es crear documentos que nadie consulta. Para evitarlo, cada política debe conectarse con una persona, una tarea y un sistema. El procedimiento de eliminación debe reflejar cómo se eliminan realmente las copias. El aviso del formulario debe coincidir con la automatización. El contrato del proveedor debe reflejar sus accesos efectivos.
La revisión periódica es esencial porque la empresa cambia: aparecen nuevas campañas, colaboradores, herramientas, integraciones y bases de datos.
Conclusión
La accountability no exige perfección instantánea. Exige conocer la situación actual, priorizar riesgos, actuar con responsables claros y conservar evidencia del avance. Una hoja de ruta visible es más útil que un manual perfecto que no modifica la operación.
Si quieres medir tu nivel de preparación, solicita un diagnóstico de brechas y prioridades.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
