Datos personales en tu CRM casero: el pasivo legal que circula en tus planillas

Hagamos un inventario rápido, sin culpa. En tu empresa, ahora mismo, probablemente existen:

• Una planilla “Clientes_2024_FINAL.xlsx” con RUTs, correos, teléfonos y direcciones, guardada en un Drive compartido con permisos de “toda la empresa”.
• Una base de ex-postulantes con CVs completos, que RRHH guarda “por si acaso” desde hace ocho años.
• Un grupo de WhatsApp donde alguna vez se reenvió “la base de contactos” completa a un vendedor nuevo.
• Un CRM casero (o una planilla haciendo de CRM) sin registro de quién accede a qué.

Nada de esto era gratis, pero hasta ahora el costo era difuso: mala higiene de datos, riesgo reputacional, algo de exposición legal bajo una ley antigua que casi no se fiscalizaba. Eso cambió. Chile aprobó a fines de 2024 su nueva Ley de Protección de Datos Personales (Ley 21.719), que entra en plena vigencia el 1 de diciembre de 2026. La ley crea una agencia fiscalizadora dedicada, la Agencia de Protección de Datos Personales, con facultades reales para sancionar.

Este artículo no es asesoría legal (para eso está tu abogado) sino lo que su título promete: la bajada operativa del tema, para la empresa mediana que no tiene (ni tendrá) un equipo de privacidad, escrita por alguien que piensa en datos.

Cuánto cuesta equivocarse

Antes de cualquier discusión de arquitectura, el número. La Ley 21.719 clasifica las infracciones en tres tramos, cada uno con su tope. Los montos en pesos son referenciales, calculados con la UTM de septiembre de 2026 ($71.721):

Y la letra chica que cambia el orden de magnitud: en caso de reincidencia la multa se puede triplicar, con lo que una gravísima repetida llega a 60.000 UTM (del orden de $4.300 millones). Para empresas que no califican como de menor tamaño existe además el cálculo alternativo sobre los ingresos anuales por ventas y servicios en Chile: 2% en las graves, 4% en las gravísimas. Se aplica el monto mayor de los dos. Hay también sanciones accesorias, entre ellas la suspensión de las operaciones de tratamiento.

Confirma las cifras con tu abogado antes de citarlas en un directorio. Pero úsalas: sirven para lo único que hasta ahora faltaba en esta conversación, que es dimensionar. Con un número sobre la mesa, “deberíamos ordenar los datos” deja de competir contra el presupuesto de marketing y empieza a competir contra el seguro.

El cambio de marco mental: el dato personal es un pasivo

La cultura de datos empresarial tiene un instinto acumulador: guardar todo, por si acaso, para siempre. Para datos operativos (costos, avances, inventarios) ese instinto es correcto: la historia es un activo que se aprecia.

Para datos personales, el nuevo marco legal invierte el signo: cada dato personal que almacenas es un pasivo. Genera obligaciones (protegerlo, justificarlo, poder mostrarlo, poder borrarlo), y su valor tiene que superar ese costo. La base de ex-postulantes de hace ocho años no es un activo dormido: es riesgo puro, sin ningún uso de negocio que lo compense.

Lo que la ley te va a exigir (versión ingeniero, no versión abogado)

Traducido a lenguaje de sistemas, el nuevo régimen exige esencialmente seis capacidades. Nota lo interesante: cinco de las seis son capacidades de gestión de datos, no de papeleo legal:

1. Inventario: saber qué datos personales tienes, dónde, y con qué base legal (consentimiento, contrato, obligación legal, interés legítimo). No puedes cumplir sobre datos que no sabes que tienes.
2. Finalidad y minimización: recolectar solo lo necesario para un propósito declarado, y no reutilizarlo para otra cosa sin nueva base. El formulario que pide 12 campos “por si acaso” es exactamente lo contrario.
3. Derechos del titular: las personas pueden pedir acceso a sus datos, rectificación, supresión, oposición y portabilidad. Operativamente: si un cliente te pide “todo lo que tienen sobre mí” o “bórrenme”, necesitas poder ejecutarlo en plazo, en todas las copias.
4. Seguridad proporcional: medidas razonables contra acceso indebido, pérdida y filtración. La planilla con permisos “toda la empresa” falla este punto por diseño.
5. Respuesta a incidentes: si hay una brecha que afecta datos personales, hay deberes de notificación. Lo que implica algo previo: ser capaz de saber que la tuviste.
6. Control sobre terceros: casi nada de esto lo tratas solo. El ERP en la nube, la plataforma de correo masivo, el sistema de remuneraciones, la contadora externa, la agencia de marketing: todos son encargados de tratamiento que operan datos tuyos por instrucción tuya. La ley te obliga a regular esa relación por contrato y te deja a ti como responsable de lo que ellos hagan con tus datos. Operativamente: necesitas la lista de a quién le entregas datos personales, y un papel firmado con cada uno.

Por qué la planilla compartida es el peor escenario posible

Contra esas capacidades, evaluemos la infraestructura típica (planillas replicadas en correos, Drives y WhatsApp) y el diagnóstico es demoledor, por las mismas razones que ya escribí en Excel no es una base de datos, ahora con consecuencia legal:

• No hay inventario posible: cada reenvío crea una copia nueva fuera de todo control. No sabes cuántas versiones de “la base” existen ni dónde.
• No hay control de acceso: el archivo se abre completo o no se abre. No existe “el vendedor ve sus clientes”; existe “el vendedor tiene todo, para siempre, incluso después de renunciar”.
• La supresión es imposible por construcción: ¿borrar a un cliente que lo pidió? Tendrías que borrarlo de N copias que no sabes que existen. El derecho más básico del titular es inejecutable sobre tu arquitectura.
• No hay trazabilidad de incidentes: si la base se filtró, no sabrás nunca cuándo, desde qué copia, ni quién.

La conclusión práctica es incómoda pero útil, y sale de contar la lista de arriba: de las seis capacidades que la ley exige, cinco se resuelven en la arquitectura de tus datos y solo una se resuelve firmando papeles. El cumplimiento no es un proyecto legal con un anexo técnico: es un proyecto de datos con un anexo legal, el mismo que este blog viene recomendando por razones puramente operativas. Los datos personales en una base central con control de acceso por rol, registro de accesos y borrado real no son solo mejor ingeniería: son la única forma material de cumplir.

Dos rincones que concentran el riesgo

Antes del plan, dos casos que la literatura genérica sobre privacidad cubre mal y que en una empresa chilena mediana explican buena parte de la exposición real.

El RUT no es un dato más: es la llave de cruce. En Chile el RUT es identificador universal, único, estable de por vida y de formato público. Eso lo convierte en la llave primaria natural de todas tus planillas, y por eso está en todas. El problema es de sistemas, no de trámite: una filtración de tu base con RUT no se queda en tu base. Permite unirla con cualquier otra filtración que también traiga RUT, y el resultado es un perfil consolidado que ninguna de las dos bases contenía por separado. Tu planilla de clientes no vale por lo que dice, sino por lo que permite unir. El corolario práctico es incómodo: la columna RUT sube de tramo el riesgo de toda la tabla que la contiene, y es la primera candidata a quedar fuera de cualquier extracto, reporte o export que no la necesite de verdad.

Los datos sensibles ya están en tu empresa, y viven en RRHH. Salud, afiliación sindical, situación socioeconómica, datos biométricos: la ley les da un régimen más estricto y su tratamiento indebido cae derecho en el tramo gravísimo. La respuesta refleja de un gerente es “nosotros no tratamos datos sensibles”. Revisa antes de contestar: las licencias médicas en la carpeta compartida de personal, el certificado de afiliación sindical que sustenta el descuento por planilla, la ficha socioeconómica del beneficio de escolaridad, el huellero de asistencia en la entrada de la obra. Todo eso es dato sensible, y está casi siempre en el mismo Drive de permisos amplios que el resto. Si vas a ordenar un solo rincón primero, que sea este: es donde el peor caso es más caro.

El plan mínimo viable, en orden

Para una empresa mediana sin equipo de privacidad, el camino mínimo viable, en orden de dependencia. Los plazos suponen una empresa de entre 50 y 200 personas, con alguien dedicándole una fracción real de su semana y no los ratos libres:

1. El censo. 2 a 4 semanas. Dueño: quien ya administra el ERP o el sistema con más datos. Igual que el inventario previo a cualquier proyecto de datos: qué datos personales existen, dónde viven, quién accede, para qué se usan. Incluye los rincones incómodos: correos, WhatsApp, notebooks personales, la carpeta del ex-gerente.
2. La purga. 1 semana. Dueño: cada jefe de área sobre sus propias carpetas. El paso más barato y de mayor retorno: borrar lo que no tiene finalidad vigente. Ex-postulantes de hace años, bases compradas de origen dudoso, copias históricas “por si acaso”. Cada fila eliminada es pasivo que desaparece sin costo de cumplimiento futuro.
3. La centralización. 4 a 8 semanas, y es la partida cara. Dueño: TI o el proveedor de tu CRM. Los datos personales que sí tienen finalidad migran a un sistema central (tu CRM real, una base de datos con roles) y las planillas satélite se eliminan con fecha comprometida. Regla de diseño: acceso por rol y necesidad, no por costumbre.
4. Los contratos con terceros. 2 a 3 semanas, en paralelo con la centralización. Dueño: quien firme contratos, administración o legal. Toma la lista de encargados que salió del censo y regula cada relación por escrito: qué datos reciben, para qué, por cuánto tiempo, qué pasa con esos datos cuando el contrato termina. Es el paso que más se olvida, porque es el único que no se ve en ningún sistema tuyo.
5. Los flujos de derechos. 1 semana. Dueño: quien hoy recibe los reclamos de clientes. Define y prueba el procedimiento para “quiero ver mis datos” y “bórrenme”: quién recibe la solicitud, cómo se ejecuta, en qué plazo, cómo se deja registro. Pruébalo con un caso simulado antes de que llegue el real.
6. El papeleo, al final. 1 a 2 semanas. Dueño: tu abogado, con el censo en la mano. Políticas de privacidad, textos de consentimiento y designación de responsable reflejan la arquitectura anterior; no la reemplazan. El error clásico es hacer este paso primero y solo este paso: una política impecable sobre planillas incontrolables es una confesión escrita con membrete.

Sumados en serie son más de cinco meses, y por eso no se hacen en serie: los pasos 2 y 4 corren en paralelo al 3, que es el único realmente largo. Con esa superposición el camino completo cabe en unos tres meses. Y si vas más apretado que eso, haz el censo y la purga igual: son las dos o tres semanas de trabajo que más pasivo eliminan por peso invertido, y dejan al resto en una posición defendible frente a un fiscalizador.

Cómo se ve un censo hecho

El paso 1 es el que más gente salta por vago, así que aquí está el entregable. Una fila por cada lugar donde vive un dato personal, y una columna final que es la que de verdad importa:

Seis filas y ya aparecen los cuatro problemas típicos: acceso excesivo, dato sin finalidad vigente, encargado externo sin contrato y copia fuera de control. El valor del censo no es el inventario: es que los huecos se vuelven visibles y priorizables. Si tu tabla real tiene cuarenta filas, agrégale dos columnas más (quién accede y plazo de conservación) y tendrás, sin más trabajo, el registro de actividades de tratamiento que la ley te va a pedir de todas formas.

La lectura de negocio

Cierro con el ángulo que a este blog le importa: esto no es solo defensa. Pero conviene decir el mecanismo, porque “la privacidad es una ventaja competitiva” sin mecanismo es una frase de seminario.

El mecanismo es la sexta capacidad, mirada desde el otro lado del contrato. La ley deja al responsable respondiendo por lo que hagan sus encargados, y tú eres el encargado de alguien. Traducido: el cliente corporativo que te entrega datos queda expuesto por tu desorden. Eso ya está bajando a tres lugares concretos:

• El cuestionario de proveedor. Antes de firmar, compras o riesgo te manda una lista de preguntas: dónde viven los datos, quién accede, cuánto tiempo los guardas, en qué plazo notificas una brecha. Si hiciste el censo, lo respondes en un día con un documento que ya tienes. Si no, son tres semanas de correos internos y respuestas que no puedes sostener si te las revisan.
• El anexo de tratamiento de datos. Plazo de notificación de brechas, subcontratación, derecho de auditoría, devolución o eliminación al terminar el contrato. Lo vas a firmar igual: la diferencia es si lo firmas sabiendo que puedes cumplirlo o cruzando los dedos.
• Las bases de licitación. Es donde esto termina. El requisito deja de ser negociable y pasa a ser admisibilidad: no compites peor, simplemente no compites.

El punto fino es que la ventaja tiene fecha de vencimiento. Hoy diferencia porque la mayoría va a llegar tarde; en dos o tres años va a ser piso, igual que pasó con la factura electrónica. El valor no está en cumplir, está en cumplir antes, mientras todavía sirve para ganar cuentas y no solo para no perderlas.

Y hay un premio secundario que casi nadie anticipa: el censo del paso 1 no es solo un requisito legal. Es el primer mapa completo de dónde viven tus datos, quién los usa y para qué. Es bastante común que la empresa encuentre ahí, de pasada, el problema operativo que llevaba años sin poder nombrar.