La Ley 21.719 no es una recomendación de buenas prácticas. Es la ley de la República, publicada el 13 de diciembre de 2024, con fecha de vigencia confirmada para el 1 de diciembre de 2026. Lo que muchas organizaciones llaman "el proyecto de privacidad" debería llamarse "la fecha límite que ya está corriendo".
De qué trata realmente esta ley
La Ley 21.719 reemplaza el marco de la Ley 19.628, que llevaba décadas sin dientes. Crea la Agencia de Protección de Datos Personales (Art. 30), un organismo autónomo con potestad sancionadora real, y establece un régimen de infracciones en tres niveles: leves, graves y gravísimas. Las multas son en UTM y, para empresas grandes que reinciden, pueden alcanzar el 4% de los ingresos anuales por ventas.
Para organizaciones que operan con datos a escala —banca, seguros, retail, minería o logística— el cambio es estructural: el responsable deja de ser pasivo y asume deberes activos. No se trata de cumplir con una política en el footer. La ley exige protección desde el diseño (Art. 14 quáter), medidas de seguridad verificables (Art. 14 quinquies) y la notificación de brechas a la Agencia sin dilaciones indebidas (Art. 14 sexies).
"El responsable deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza."
Esa frase es la que más incomoda a los equipos de TI y legal cuando la leen con atención. No dice "deberá tener documentada" ni "procurará demostrar". Dice acreditar. La carga de la prueba es del responsable. Si la Agencia pregunta, tú tienes que responder con evidencia.
Las 5 obligaciones que más organizaciones están ignorando
El artículo que nadie quiere leer
"Omitir en forma deliberada la comunicación de las vulneraciones a las medidas de seguridad que puedan afectar la confidencialidad, disponibilidad o integridad de los datos personales."
Multa de hasta 20.000 UTM. Y la palabra clave es deliberada: si no tienes un proceso de detección de brechas, no puedes demostrar que la omisión no fue intencional. El silencio organizacional se presume como decisión.
El Art. 14 sexies exige reportar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" cuando una vulneración genera riesgo razonable para los titulares. Sin un sistema de monitoreo y un protocolo de escalamiento documentado, no hay forma de cumplir ese estándar en tiempo real.
El atenuante que pocas organizaciones están usando
La ley contempla un Modelo de Prevención de Infracciones (Art. 49) certificable por la Agencia. Adoptarlo no elimina la responsabilidad, pero es circunstancia atenuante explícita (Art. 36, numeral 5). Incluye la designación de un delegado de protección de datos, protocolos de tratamiento, mecanismos de reporte y sanciones internas.
Las organizaciones que tengan este modelo certificado vigente entran al Registro Nacional de Sanciones y Cumplimiento con marca positiva. En una eventual investigación, presentar un modelo certificado activo es la diferencia entre una multa atenuada y una sanción en su escala máxima.
Los certificados tienen vigencia de tres años (Art. 52). Para organizaciones medianas y grandes, el proceso de certificación toma entre 3 y 6 meses de trabajo efectivo. Con 239 días al 1 de diciembre, el tiempo para una certificación completa ya está ajustado.
Las organizaciones que empiezan hoy tienen margen. Las que esperan a que la Agencia esté operativa no tendrán ese lujo.