Etapa 1: Levantamiento de procesos
Se identifican áreas, sistemas, bases de datos, formularios, proveedores, archivos, campañas, contratos, flujos de información y personas que participan en tratamientos de datos.
Inicio » Servicios » Datos personales, inteligencia de negocios, tecnología y activos intangibles » Adecuación a la Ley 21.719 de Protección de Datos Personales
Preparamos a la empresa para cumplir la Ley 21.719 mediante inventario de tratamientos, revisión de bases de licitud, políticas, contratos, procedimientos, derechos de titulares, evaluación de impacto, evidencias y plan de implementación.
La adecuación a la Ley 21.719 exige que las empresas dejen de tratar los datos personales como un asunto meramente documental. La protección de datos no se resuelve con publicar una política de privacidad. Requiere conocer qué datos se tratan, para qué finalidad, con qué base de licitud, quién accede, qué proveedores intervienen, qué datos son sensibles, qué derechos pueden ejercer los titulares, qué evidencias se conservan y qué riesgos deben evaluarse antes de iniciar ciertos tratamientos.
Este servicio permite transformar el cumplimiento de datos personales en un sistema operativo. Su propósito es identificar tratamientos, ordenar brechas, actualizar documentos, revisar contratos, definir responsables, establecer procedimientos y construir evidencia suficiente para demostrar cumplimiento.
La empresa debe poder explicar y acreditar por qué trata datos personales, cómo los protege, con quién los comparte y qué hace cuando un titular ejerce sus derechos.
Muchas empresas tratan datos personales sin tener un mapa claro de sus operaciones. Recursos humanos administra datos de trabajadores y postulantes. Comercial usa bases de clientes. Marketing ejecuta campañas. Tecnología opera sistemas. Finanzas conserva información de pago. Proveedores tecnológicos almacenan datos. Plataformas externas procesan información. La gerencia toma decisiones con reportes que pueden provenir de datos personales.
El problema surge cuando la empresa no puede responder preguntas básicas: qué datos tiene, de dónde provienen, para qué los usa, cuánto tiempo los conserva, quién los trata, qué proveedor accede, qué base de licitud invoca, qué datos son sensibles, qué tratamiento es masivo, qué riesgo implica y qué procedimiento se activa si un titular solicita acceso, rectificación, supresión, oposición, bloqueo o portabilidad.
La adecuación a la Ley 21.719 resuelve esa brecha mediante una revisión estructurada. El resultado no es solo una política de privacidad, sino una arquitectura mínima de cumplimiento: inventario, matriz de brechas, documentos, contratos, procedimientos, evidencias, plan de capacitación y reportabilidad.
El servicio comienza con un diagnóstico de tratamientos de datos personales. Se revisan áreas, procesos, sistemas, formularios, bases, proveedores, contratos, plataformas, campañas, archivos, registros, documentos internos y flujos de información. La finalidad es construir un inventario que permita comprender cómo circulan los datos dentro y fuera de la empresa.
Luego se analiza la licitud y finalidad de cada tratamiento. Un tratamiento puede estar asociado a una relación contractual, consentimiento, cumplimiento legal, interés legítimo, obligaciones laborales, defensa de derechos u otra habilitación aplicable. La revisión debe distinguir tratamientos ordinarios de tratamientos sensibles, masivos, automatizados, de perfilamiento o de alto riesgo.
El servicio incluye la revisión de documentos internos y externos: políticas de privacidad, cláusulas contractuales, anexos de tratamiento de datos, acuerdos con proveedores, formularios de consentimiento, comunicaciones a titulares, procedimientos de ejercicio de derechos, protocolos de incidentes, reglas de conservación y matriz de evidencias.
En empresas con mayor exposición, el servicio puede incorporar evaluación de impacto en protección de datos, diseño de modelo de cumplimiento, preparación de reportes a gerencia, definición de delegado o encargado, capacitación segmentada y criterios de respuesta frente a la futura Agencia de Protección de Datos Personales.
El diagnóstico identifica qué datos personales trata la empresa, en qué procesos, con qué finalidad, por qué áreas, en qué sistemas y con qué terceros. Esta etapa permite construir una visión real del tratamiento, más allá de lo declarado en políticas o formularios.
El inventario de tratamientos ordena finalidad, categoría de titulares, categoría de datos, base de licitud, sistema, responsable interno, proveedor, transferencia, plazo de conservación, nivel de riesgo y evidencia asociada. Es el instrumento central para gestionar cumplimiento.
La identificación de datos sensibles permite revisar tratamientos vinculados a salud, biometría, perfil biológico, afiliación sindical, orientación sexual, identidad de género, situación socioeconómica u otras categorías protegidas. También permite detectar tratamientos masivos, perfilamiento, decisiones automatizadas o monitoreo que puedan requerir evaluación de impacto.
La revisión de bases de licitud permite verificar si cada tratamiento cuenta con fundamento suficiente y si la finalidad informada coincide con el uso real. Esta etapa ayuda a corregir tratamientos basados en consentimientos insuficientes, finalidades genéricas o usos secundarios no evaluados.
Las políticas de privacidad deben reflejar los tratamientos reales de la empresa. El servicio revisa o redacta políticas para clientes, trabajadores, postulantes, usuarios, proveedores, sitio web, formularios, campañas o plataformas digitales.
Los proveedores que acceden, alojan, procesan, transmiten o conservan datos personales deben estar regulados contractualmente. El servicio revisa cláusulas de tratamiento, confidencialidad, seguridad, subencargados, incidentes, devolución, eliminación, cooperación y responsabilidad.
El procedimiento define cómo recibir, verificar, analizar, responder y documentar solicitudes ARCO+ —de acceso, rectificación, supresión, oposición, bloqueo y portabilidad. Debe establecer responsables internos, plazos de gestión, documentos de respaldo y registro de respuesta.
El procedimiento de incidentes permite actuar frente a pérdida, filtración, acceso no autorizado, divulgación indebida, error de envío, uso no autorizado o afectación de datos personales. Debe definir roles, contención, análisis, registro, comunicación interna y medidas correctivas.
La evaluación de impacto permite analizar tratamientos que puedan generar alto riesgo para los derechos de las personas. Debe describir operaciones, finalidad, necesidad, proporcionalidad, riesgos y medidas de mitigación.
La matriz de brechas permite priorizar acciones: documentos a actualizar, contratos a corregir, tratamientos a regularizar, proveedores a revisar, políticas a comunicar, evidencias a conservar y procedimientos a implementar.
La capacitación permite que trabajadores y áreas expuestas entiendan reglas de tratamiento, confidencialidad, incidentes, ejercicio de derechos, manejo de datos sensibles, uso de proveedores y conservación documental.
El reporte permite informar a gerencia o directorio el estado de adecuación, brechas críticas, avances, riesgos, decisiones pendientes y recursos requeridos.
El informe presenta tratamientos revisados, brechas, riesgos, documentos existentes, documentos faltantes, tratamientos críticos y recomendaciones de adecuación.
El inventario registra tratamientos, datos, finalidades, bases de licitud, titulares, responsables internos, proveedores, conservación, transferencias y riesgos.
La matriz clasifica brechas por materia, criticidad, impacto, acción recomendada, responsable y plazo de implementación.
La política comunica de manera clara cómo la empresa trata datos personales. Puede adaptarse a clientes, trabajadores, usuarios, proveedores, postulantes o sitio web.
El procedimiento permite gestionar solicitudes de titulares con trazabilidad, registro y criterios de respuesta.
El procedimiento establece cómo actuar frente a eventos que afecten datos personales, incluyendo registro, evaluación, contención y acciones correctivas.
Los documentos contractuales regulan relaciones con proveedores, encargados, clientes, aliados o terceros que acceden a datos personales.
Cuando corresponde, la evaluación de impacto analiza tratamientos de alto riesgo y propone medidas de mitigación.
El plan define públicos, contenidos, periodicidad, evidencia y responsables de formación interna.
El reporte resume avances, brechas críticas, riesgos abiertos y decisiones que deben adoptar gerencia o directorio.
Este servicio está dirigido a empresas que tratan datos de trabajadores, clientes, usuarios, pacientes, estudiantes, postulantes, proveedores, consumidores, contactos comerciales o bases masivas. Es especialmente útil para e-commerce, plataformas digitales, empresas B2C, servicios de salud, educación, recursos humanos, marketing, tecnología, software, seguros, servicios financieros, inmobiliarias, retail, proveedores de grandes clientes y empresas que utilizan sistemas cloud o inteligencia artificial.
La empresa debería contar con un diagnóstico claro de su nivel de cumplimiento, inventario de tratamientos, brechas priorizadas, documentos actualizados, procedimientos internos, contratos revisados, evidencias de implementación y una hoja de ruta para operar el cumplimiento de datos personales en el tiempo.
Dirección jurídica estratégica para empresas que necesitan decidir, cumplir y gestionar sus riesgos con confianza.
Gerencia Legal © 2026 es un proyecto Lledó y Cía. Limitada
Tor es una red diseñada para reforzar la privacidad y el anonimato en Internet. En lugar de conectar directamente al usuario con el sitio de destino, el tráfico se enruta a través de varios nodos de la red, dificultando que el servicio visitado pueda conocer la dirección IP de origen y reduciendo la información técnica que permite vincular una conexión con una persona determinada.
Nuestro canal de denuncias dispone de una dirección .onion de versión 3, accesible mediante Tor Browser. Esta vía resulta especialmente relevante para un canal de integridad, porque permite reducir la trazabilidad técnica del acceso y reforzar la protección de quienes desean comunicar una situación de forma anónima.
El uso de Tor complementa las medidas de confidencialidad del canal, pero el anonimato también depende de la conducta de quien denuncia: la información proporcionada en el relato o en los archivos adjuntos podría permitir su identificación si contiene datos personales o antecedentes que revelen su identidad.
Utilizamos cookies propias y de terceros para mejorar tu experiencia de navegación, analizar el tráfico del sitio y personalizar el contenido.
