Por Sofía Jaque Pérez*
Hace poco me pasó algo curioso. Necesitaba guardar información importante y, al evaluar distintas alternativas, entendí algo muy simple: cuando conservar algo tiene un costo visible -pagar por ello, ocupar espacio o dedicar tiempo a ordenarlo- uno se detiene a pensar si realmente vale la pena mantenerlo.
Esa misma lógica, sin embargo, rara vez se aplica a los datos personales. Como almacenarlos parece fácil, barato e incluso útil, muchas organizaciones terminan conservándolos durante años sin preguntarse seriamente si todavía los necesitan, si la finalidad original sigue vigente o si existe una razón legítima para mantenerlos.
Durante mucho tiempo la información fue entendida casi exclusivamente como un activo. Mientras más datos tuviera una empresa, mayores serían sus posibilidades de conocer a sus clientes, anticipar comportamientos, mejorar procesos o desarrollar nuevos negocios, y bajo esa lógica, muchas organizaciones adoptaron una regla no escrita: guardar todo, porque algún día podría servir.
Así, bases de datos de antiguos clientes, postulantes que nunca fueron contratados, proveedores con los que ya no existe relación comercial, registros de navegación, respaldos antiguos y múltiples versiones de archivos pueden permanecer almacenados durante años, muchas veces sin que alguien pueda explicar con claridad por qué siguen ahí, pese a que, a diferencia de un documento olvidado en un archivador, cada dato personal almacenado mantiene activa una responsabilidad para quien lo conserva.
Con la entrada en vigencia de la Ley N° 21.719, a contar del 1 de diciembre de 2026 esta lógica debe cambiar. La nueva regulación no prohíbe conservar datos personales, pero sí exige que su tratamiento se ajuste a los principios de licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información y confidencialidad. En materia de conservación, esto supone que los datos se mantengan para fines específicos, explícitos y lícitos, y se limiten estrictamente a aquellos que resulten necesarios, adecuados y pertinentes para esos fines. En otras palabras, ya no bastará con guardar información “por si acaso”: las organizaciones deberán ser capaces de justificar qué datos conservan, para qué, durante cuánto tiempo, bajo qué condiciones y cómo administran esa información durante todo su ciclo de vida.
En ese contexto, los datos dejan de ser vistos solo como un activo valioso y empiezan a mostrar una dimensión menos evidente, pero igualmente relevante: su capacidad de transformarse en una fuente de riesgo, porque cada registro adicional aumenta las obligaciones de protección, amplía las exigencias de seguridad y eleva la exposición frente a eventuales incidentes.
Por eso, en materia de ciberseguridad la pregunta no debiera limitarse a cómo evitar un ataque o cómo responder cuando este ocurre, sino también a qué datos estamos exponiendo en primer lugar. Si una organización conserva información que ya no necesita, cualquier incidente se vuelve más grave, no solo por la falla de seguridad en sí misma, sino porque la brecha puede terminar afectando datos que probablemente nunca debieron seguir almacenados. La protección de datos, entonces, no puede reducirse a levantar barreras técnicas, comprar herramientas de seguridad o reaccionar frente a incidentes; también exige reducir el riesgo desde su origen, revisando inventarios de datos, criterios de conservación, respaldos, accesos, contratos con proveedores y procedimientos de eliminación segura.
El desafío, además, no consiste solo en fijar plazos generales de conservación, sino en generar evidencia de que esas decisiones se adoptan y revisan de manera efectiva, especialmente considerando que se crea la Agencia de Protección de Datos Personales, encargada de interpretar, fiscalizar y sancionar. En un modelo de cumplimiento basado en el principio de responsabilidad no basta con declarar que los datos se eliminarán cuando dejen de ser necesarios, sino que la organización debe poder demostrar, mediante inventarios actualizados, registros de actividades de tratamiento de datos, criterios y plazos documentados, y constancias de eliminación, que conoce qué información mantiene, quién accede a ella, por qué sigue siendo necesaria y qué controles existen para evitar que permanezca almacenada indefinidamente por simple inercia.
Ahí aparece una dimensión que muchas veces se subestima: la reputacional. Cuando ocurre una brecha de seguridad es natural que la atención se concentre primero en las multas, los costos de respuesta, las notificaciones a los titulares y las eventuales acciones judiciales. Sin embargo, en la práctica el daño a la confianza puede ser igual o incluso más difícil de revertir. La pregunta de las personas afectadas rara vez es técnica; suele ser mucho más simple, ¿por qué seguían teniendo mis datos si hace años dejé de ser su cliente? Esa pregunta puede ser especialmente dañina, porque revela algo que va más allá de la ciberseguridad: una falta de control sobre el ciclo de vida de los datos personales y un problema previo de acumulación, desorden y falta de criterio respecto de la información que la organización mantenía.
En definitiva, la nueva regulación obliga a pasar desde una cultura de acumulación a una cultura de administración responsable. No todo dato que puede guardarse debe guardarse; no toda información que alguna vez fue útil sigue siéndolo indefinidamente; y no todo respaldo, registro o base histórica merece permanecer intacto solo porque eliminarlo exige tomar una decisión.
*Sofía Jaque Pérez | Abogada | GA-Abogados
