Ley 21.719: lo que tu empresa debería tener listo antes de diciembre
La ley entra en vigencia el 1 de diciembre de 2026. La mayoría de las empresas que hemos revisado no está atrasada en tecnología, está atrasada en inventario: no sabe qué datos tiene ni dónde.
Faltan pocos meses para que la Ley 21.719 empiece a aplicarse, y en las revisiones que hemos hecho este año se repite el mismo patrón: la conversación arranca en herramientas y termina en algo mucho más básico. Nadie tiene claro qué datos personales trata la empresa, dónde viven, ni quién los toca.
No es un problema de presupuesto. Es que el inventario nunca se hizo, y sin inventario todo lo demás es adivinanza.
El Registro de Actividades de Tratamiento no es papeleo
El RAT tiene mala fama porque se suele llenar como formalidad. Pero es lo único que te permite responder tres preguntas que la Agencia sí va a hacer, y que tu propio equipo hoy no puede responder:
- ¿Qué datos personales tratas, con qué finalidad y bajo qué base legal?
- ¿Cuánto tiempo los conservas, y quién decidió ese plazo?
- ¿A qué terceros se los entregas, y qué contrato lo respalda?
Si esas respuestas no existen por escrito, no existe cumplimiento. Existe intención.
El RAT es también la mejor herramienta técnica que vas a tener. Un inventario honesto de datos revela integraciones olvidadas, respaldos que nadie borra y accesos de gente que ya no trabaja contigo.
Los tres hallazgos que más se repiten
Ordenados por frecuencia, no por gravedad:
- Datos personales en planillas compartidas. Casi siempre en una carpeta con acceso a todo el equipo, casi nunca con fecha de eliminación.
- Proveedores sin contrato de tratamiento. El servicio se contrató por su función; el rol de encargado nunca se escribió.
- Retención infinita. Nada se borra porque nadie definió cuándo, y borrar da miedo.
Por dónde empezar si vas tarde
El orden importa más que la velocidad. Hacer un DPIA antes de tener el inventario es evaluar el riesgo de algo que todavía no puedes describir.
- Inventario de tratamientos, aunque sea imperfecto. Una planilla honesta vale más que un sistema vacío.
- Contratos con encargados: identifica a los proveedores que tocan datos y regulariza.
- Política de retención con plazos concretos, y un responsable con nombre.
- Procedimiento de derechos ARCO+P, con plazo de respuesta medido.
- Recién ahí, evaluación de impacto donde el riesgo lo amerite.
Ninguna herramienta te va a decir qué datos tienes. Eso se levanta hablando con las personas que los usan todos los días.
Qué no hacemos
No vendemos certificados de cumplimiento ni prometemos ausencia de multas: nadie serio puede hacerlo, porque la interpretación final no la tiene un consultor. Lo que sí podemos es dejarte con evidencia ordenada, defendible y actualizada.
Si quieres una revisión concreta de dónde estás parado, escríbenos. La primera conversación es un diagnóstico, no una presentación de ventas.
Notas escritas a varias manos por quienes están en los proyectos. Si algo de acá te sirve o te parece discutible, escríbenos.