Derechos y brechas
Los capítulos anteriores construyen tu cumplimiento hacia adentro. Este trata las dos situaciones donde el cumplimiento se enfrenta al mundo: cuando una persona ejerce sus derechos, y cuando algo sale mal.
Las dos tienen plazo, y las dos se resuelven bien solo si estaban preparadas.
Solicitudes de derechos
Sección titulada «Solicitudes de derechos»Cualquier titular puede pedirte acceso a sus datos, su rectificación, su supresión, oponerse al tratamiento, pedir portabilidad o el bloqueo temporal mientras se resuelve su solicitud. También tiene garantías frente a decisiones tomadas únicamente por medios automatizados: puede pedir intervención humana y expresar su punto de vista.
Los plazos
Sección titulada «Los plazos»Acuse de recibo, y respuesta fundada por escrito dentro de 30 días corridos, prorrogable por una sola vez hasta por 30 días más. Hay que conservar los respaldos del envío: la respuesta que no se puede demostrar es equivalente a no haber respondido.
El bloqueo tiene un plazo mucho más corto: dos días hábiles. Es la solicitud de suspender temporalmente el tratamiento mientras se resuelve otra, y mientras no la resuelvas no puedes seguir tratando los datos comprendidos en el requerimiento. Es el plazo que más fácil se pasa, precisamente porque es el más breve y el menos conocido.
Si deniegas una solicitud, la negativa debe ser fundada e informar al titular que puede reclamar ante la Agencia. Y si dejas correr los 30 días sin responder, el titular puede reclamar directamente.
Lo que hay que tener listo
Sección titulada «Lo que hay que tener listo»Un canal publicado. Un correo o formulario que la gente pueda encontrar. Si no existe, las solicitudes llegan igual — al correo de un vendedor, a una sucursal — y el plazo corre desde que llegaron, no desde que alguien las encontró.
Un procedimiento escrito. Quién recibe, cómo se verifica la identidad del solicitante, quién busca los datos, quién redacta la respuesta y quién la autoriza.
Un registro de solicitudes. En la sección Privacidad, el módulo de Solicitudes existe para eso: cada solicitud con su fecha de ingreso, su estado y su respuesta. Ese registro es la evidencia de que cumples los plazos.
La primera solicitud real que recibe Cordillera es de un extrabajador pidiendo copia de todos sus datos. Gracias al registro, Marco sabe en cuántos tratamientos aparece esa persona: nómina, control de acceso biométrico, cámaras, canal de denuncias.
El hallazgo incómodo es el biométrico: la huella seguía almacenada dos años después de la desvinculación, porque nadie había definido el plazo de conservación. La solicitud termina generando una medida correctiva — purga automática al desvincular — que vale mucho más que la respuesta misma.
Vulneraciones de datos personales
Sección titulada «Vulneraciones de datos personales»Una vulneración es una brecha de seguridad que afecta datos personales. No es exactamente lo mismo que un incidente de ciberseguridad, aunque casi siempre vengan juntos: un incidente puede no tocar datos personales, y una vulneración puede no ser un ataque — un correo enviado a la lista equivocada lo es.
El procedimiento
Sección titulada «El procedimiento»La ley exige disponer de un procedimiento para detectar, evaluar y gestionar vulneraciones, coordinado con tu gestión de incidentes de ciberseguridad.
Esa coordinación es la clave práctica: no montes dos procesos paralelos. Usa el mismo flujo de incidentes y agrégale una pregunta obligatoria en la evaluación inicial — ¿esto afectó datos personales? — que, si se responde que sí, dispara la rama de privacidad con sus propias obligaciones y sus propios plazos.
Notificar a la Agencia
Sección titulada «Notificar a la Agencia»Las vulneraciones que generen riesgo razonable de daño para los titulares se reportan a la Agencia de Protección de Datos Personales sin dilaciones indebidas, con el contenido mínimo exigido.
“Sin dilaciones indebidas” no fija un número de horas, pero tampoco autoriza a esperar: el criterio es que el tiempo transcurrido sea explicable. Tu procedimiento debería fijar un plazo interno, y la cronología del incidente debe registrar cuándo se supo, cuándo se evaluó el riesgo y cuándo se notificó.
Comunicar a los titulares
Sección titulada «Comunicar a los titulares»Además de notificar a la Agencia, hay que comunicar la vulneración a los titulares afectados cuando se refiera a:
- datos sensibles,
- datos de niñas y niños menores de catorce años, o
- datos de obligaciones económicas, financieras, bancarias o comerciales.
La comunicación va en lenguaje claro y sencillo, singularizando los datos afectados, las posibles consecuencias y las medidas de solución adoptadas. Se hace a cada titular afectado; solo si eso no fuera posible, mediante aviso publicado en un medio de comunicación social masivo y de alcance nacional.
Vale la pena tener la plantilla redactada de antemano: escribir con claridad a personas afectadas, en medio de una crisis y bajo presión, es justamente cuando peor se escribe. Y conviene saber de antemano en qué casos el aviso público es la única salida, porque esa decisión no se improvisa.
El registro interno
Sección titulada «El registro interno»Hay que mantener un registro interno de todas las vulneraciones — no solo de las que se notificaron — con los hechos, sus efectos y las medidas correctivas, a disposición de la Agencia.
Es un detalle fácil de pasar por alto y de consecuencias claras: si solo registras las reportables, no puedes demostrar el criterio con que decidiste que las otras no lo eran. El módulo Violaciones de Datos, en la sección Privacidad, es donde vive ese registro.
La rutina que sostiene todo esto
Sección titulada «La rutina que sostiene todo esto»Tres tareas recurrentes bastan para que esta parte no se degrade:
| Tarea | Frecuencia sugerida |
|---|---|
| Revisar solicitudes pendientes y sus plazos | Semanal |
| Revisar el registro de vulneraciones y sus medidas correctivas | Mensual |
| Ensayar el procedimiento de vulneraciones con un caso simulado | Anual |
Con esto cierras la ruta
Sección titulada «Con esto cierras la ruta»Tienes el inventario, las evaluaciones de impacto, los derechos y las brechas cubiertos. Lo que sigue es sostenerlo: el asistente Cerrar el ciclo y planificar el siguiente revisa cómo quedó el período y ayuda a planificar el próximo.
Si además te aplica la ley de ciberseguridad, la otra ruta está en Cumplir la Ley 21.663.
Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. Los plazos y criterios citados provienen del articulado de la Ley 21.719 y se incluyen como orientación: verifica su aplicación a tu caso concreto y los criterios vigentes de la Agencia con tu asesor jurídico.