La peligrosa ilusión del cumplimiento

Por Alex Eduardo Haros Kaiser*

El 28 de octubre, el Senado aprobó postergar hasta el 15 de octubre de 2027 la entrada en vigencia de la Ley N.° 21.719, que regula la protección y el tratamiento de los datos personales. El proyecto debe ahora pasar por la Cámara de Diputados.

Comprensiblemente, el debate gira en torno al plazo, los costos y las multas. Se habla menos de una pregunta previa: qué significa, en concreto, cumplir.

Una lectura apresurada del texto lleva a una conclusión equivocada. Como el modelo de prevención de infracciones es voluntario (artículo 49), algunos creerán que la prevención también lo es. No lo es. Voluntario es el programa formal, con delegado, protocolos y canal de reporte. Lo obligatorio está en el artículo 48: todo responsable de datos, persona natural o jurídica, pública o privada, debe adoptar acciones destinadas a prevenir las infracciones que la ley establece. Y el principio de responsabilidad (artículo 3, letra e) lo hace legalmente responsable de cumplir sus deberes.

Cuando se habla de cumplimiento, lo primero que aparece son los documentos: políticas, matrices, registros, protocolos, capacitaciones. Son necesarios, pero un documento afirma; no demuestra. Una política no previene nada por existir, y un procedimiento aprobado no prueba que alguien lo aplique.

La propia ley va en esa dirección. En materia de seguridad, el artículo 14 quinquies dispone que, ante un incidente y en caso de controversia, corresponde al responsable acreditar la existencia y el funcionamiento de las medidas adoptadas: no basta con que existan, deben funcionar, y hay que poder demostrarlo. Y la atenuante del artículo 36 no premia tener un modelo, sino haber cumplido diligentemente los deberes de dirección y supervisión, que la ley dispone verificar con el certificado del artículo 51. La diligencia es una conducta, no un archivo.

Por eso propongo una prueba simple, antes de cualquier plan de adecuación: la prueba de reconstrucción. Elija una decisión sobre datos personales de su organización —por ejemplo, haber resuelto si informar o no una vulneración de seguridad, deber que regula el artículo 14 sexies— y responda por escrito cuatro preguntas: ¿quién decidió?, ¿con qué información y criterio?, ¿cuándo?, ¿dónde quedó registrado? Si las respuestas dependen de la memoria de una persona, existe un riesgo, por completo que sea el manual.

Esto vale para todas las organizaciones, con proporcionalidad. Una pyme no necesita la estructura de una corporación, pero sí poder explicar sus decisiones. El artículo sexto transitorio faculta a la Agencia para aplicar, durante los primeros doce meses de vigencia, una amonestación por escrito como sanción a las empresas de menor tamaño. Es una facultad, no una exención, y la amonestación queda sujeta a registro conforme al artículo 39. Ese período sirve para ordenar la casa, no para postergar la tarea.

Si la postergación se concreta, las organizaciones tendrán un año más. El riesgo es usarlo para escribir más documentos. La pregunta que ordena todo lo demás es otra: el día en que alguien —la Agencia, un tribunal, un cliente o un titular de datos— pregunte por una decisión, ¿podremos mostrar cómo se tomó?

Quien pueda responder habrá cumplido. Quien no, solo habrá archivado.

*Alex Eduardo Haros Kaiser