Lo que cambia, en dos frases
Desde el 1 de diciembre de 2026, la Ley 21.719 exige al responsable de datos mantener permanentemente a disposición del público un conjunto mínimo de información sobre cómo trata los datos personales. Lo dice el nuevo artículo 14 ter, titulado deber de información y transparencia, y lo normal es cumplirlo con la política de privacidad del sitio web.
La palabra que importa es mínimo. La ley no pide un texto elegante: pide que doce contenidos concretos estén publicados, sean ciertos y se mantengan al día. Una política copiada de otra empresa casi nunca los cubre.
Quién es usted y cómo se le contacta
Las primeras exigencias son de identificación. Parecen obvias, pero muchas políticas actuales no dicen quién es el responsable: hablan de la marca comercial y no de la sociedad que trata los datos.
Si su política no permite saber con certeza a quién dirigir una solicitud, falla la base de todo lo demás, porque los derechos de las personas se ejercen ante alguien identificable.
- La política de tratamiento adoptada, con su fecha y su versión. Sin versión no hay forma de probar qué decía la política en una fecha dada.
- La individualización del responsable de datos y de su representante legal, y la identificación del encargado de prevención, si existe.
- Un domicilio postal, un correo, un formulario o un medio tecnológico equivalente, de uso común y fácil acceso, para recibir las solicitudes de los titulares.
Qué datos trata, de quién, para qué y con qué base
La letra d) del artículo es la que más trabajo da, porque obliga a describir el tratamiento real: las categorías de datos, el universo de personas que comprenden sus bases, los destinatarios a quienes se prevé comunicarlos, las finalidades y la base de legitimidad de cada tratamiento. Si alguna se apoya en un interés legítimo, hay que decir cuál es.
Esto no se escribe desde el escritorio del abogado. Se escribe después de preguntar a cada área qué datos recoge y para qué. Una empresa con clientes, trabajadores, postulantes y proveedores tiene al menos cuatro universos distintos, y cada uno puede tener finalidades y bases diferentes.
La base de legitimidad merece un análisis propio, porque la ley no la reduce al consentimiento. Lo tratamos en Consentimiento o interés legítimo: con qué base trata datos su empresa.
Seguridad, conservación, origen y transferencias
El resto de la lista exige información que suele estar dispersa entre el área de tecnología, la de operaciones y los contratos con proveedores. Conviene reunirla en una sola ficha interna antes de redactar una línea pública:
- La política y las medidas de seguridad adoptadas para proteger las bases de datos. Se describen sin entregar detalles que faciliten un ataque.
- El periodo durante el cual se conservarán los datos. Un plazo que nadie cumple es peor que no publicarlo.
- La fuente de la cual provienen los datos y si proceden de fuentes de acceso público.
- Si hay transferencias a un tercer país u organización internacional, y si ese destino ofrece o no un nivel adecuado de protección. Si no lo ofrece, qué garantías justifican la transferencia. El detalle está en Transferencias internacionales de datos personales.
- Si existen decisiones automatizadas o elaboración de perfiles, con información significativa sobre la lógica aplicada y sus consecuencias previstas. Lo desarrollamos en Decisiones automatizadas y perfilamiento.
Los derechos de las personas, dichos en la política
La política también debe informar los derechos del titular: solicitar al responsable el acceso, la rectificación, la supresión, la oposición y la portabilidad de sus datos. Y, si el tratamiento se basa en el consentimiento, el derecho a retirarlo en cualquier momento, sin que eso afecte la licitud de lo hecho antes.
Debe decir, además, que la persona puede recurrir ante la Agencia de Protección de Datos Personales si el responsable rechaza o no responde a tiempo su solicitud. Esa frase incomoda a algunas empresas, pero es parte del mínimo legal.
Publicar los derechos obliga a tener un procedimiento para responderlos. Si todavía no lo tiene, revise Los derechos ARCO+ en la Ley 21.719.
Cinco errores que se repiten
Al revisar políticas de privacidad aparecen siempre los mismos problemas. Ninguno se resuelve cambiando la redacción: todos exigen mirar primero cómo trata datos la empresa.
- Copiar la política de otra empresa, con finalidades y destinatarios que no son los suyos.
- Decir que todo se trata con consentimiento cuando buena parte del tratamiento se apoya en un contrato o en una obligación legal.
- Omitir la fecha y la versión, de modo que nadie sabe qué texto regía cuando ocurrió un problema.
- Prometer plazos de conservación o medidas de seguridad que la empresa no aplica.
- Publicar un correo de contacto que nadie revisa.
La política de privacidad es la cara visible del cumplimiento: si está bien hecha, demuestra que la empresa sabe qué datos trata. Si quiere revisarla contra el artículo 14 ter antes del 1 de diciembre, nuestra auditoría de la Ley 21.719 parte justamente por ese levantamiento.
Preguntas frecuentes
¿Basta con tener una política de privacidad en el sitio web?+
Es el medio habitual, pero no basta con que exista. El artículo 14 ter exige que la información esté permanentemente a disposición del público, en el sitio web o en un medio equivalente, y que cubra al menos los contenidos que enumera. Una política incompleta, desactualizada o que describe un tratamiento distinto del real no cumple el deber de información. Además, lo publicado debe coincidir con lo que la empresa efectivamente hace: si la política promete algo que no ocurre, el problema ya no es de redacción.
¿Tengo que nombrar a un encargado de prevención para cumplir?+
No. La ley pide identificar al encargado de prevención solo si existe. Ese encargado forma parte del modelo de prevención de infracciones que la Ley 21.719 regula como un mecanismo voluntario. Lo exigible es identificar al responsable de datos y a su representante legal, y publicar un medio de contacto idóneo para recibir las solicitudes. Si su empresa decide adoptar el modelo voluntario, entonces sí debe identificar a quien cumpla esa función. La diferencia está explicada en el artículo sobre lo exigible y lo voluntario de esta ley.
¿Desde cuándo rige esta obligación?+
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Desde esa fecha el deber de información y transparencia del artículo 14 ter es exigible. Como la política debe describir el tratamiento real, conviene empezar antes por el levantamiento interno: qué datos se tratan, de quién, para qué y con qué base. Redactar la política es la última etapa, no la primera, y hacerlo con prisa suele terminar en un texto genérico que no refleja lo que la empresa hace.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.