Quién puede acceder a los datos personales dentro de tu empresa
- Roberto Osorio
- 26 may
- 8 min de lectura
Una empresa puede tener sus datos ordenados y aun así tener un problema.
No por la base.
Por los accesos.
El formulario puede estar bien diseñado. El CRM puede estar limpio. La política de privacidad puede estar publicada. Pero si demasiadas personas pueden ver, exportar, copiar o modificar datos personales sin una razón clara, el riesgo sigue abierto.
Esa parte suele aparecer tarde.
Primero se revisan los textos. Después los sistemas. Después las bases. Y solo cuando alguien pregunta con más detalle aparece una duda incómoda: quién tiene acceso realmente.
El acceso parece un detalle hasta que deja de serlo
En muchas empresas, los permisos crecen por costumbre.
Alguien necesitó entrar una vez al CRM y quedó con acceso permanente. Un usuario se creó para una campaña y nunca se cerró. Un proveedor recibió una cuenta temporal que siguió activa. Un equipo completo comparte un mismo usuario porque era más rápido. Una planilla quedó abierta para “todos los que tienen el link”.
Nada de eso parece grave cuando se mira aislado.
El problema aparece cuando se suma.
Una empresa puede terminar con más accesos de los necesarios, menos control del esperado y muy poca claridad sobre quién hizo qué dentro de cada sistema.
Con la Ley 21.719, esa falta de claridad empieza a pesar más. La protección de datos personales no depende solo de pedir consentimiento o publicar una política. También depende de poder demostrar que la información está bajo control dentro de la operación.
No todos necesitan ver todo
Esta es una regla simple, pero difícil de aplicar cuando la empresa crece.
El equipo comercial puede necesitar nombre, correo, teléfono y estado de una oportunidad.
El equipo de soporte puede necesitar historial de atención. Administración puede necesitar datos de facturación. Marketing puede trabajar con segmentos, campañas o métricas agregadas.
Pero eso no significa que todos deban acceder a todo.
Cuando una empresa no diferencia permisos, los datos personales empiezan a circular más de lo necesario. Y cuando circulan más de lo necesario, se vuelve más difícil explicar para qué se usan, quién los vio y cómo se protegieron.
Aquí aparece una idea central: el acceso también debería tener finalidad.
No solo el dato.
El usuario antiguo es una señal de alerta
Un usuario activo puede decir mucho sobre la madurez de una empresa.
Personas que ya no trabajan ahí. Cuentas compartidas. Accesos de proveedores antiguos.
Perfiles de administrador usados para tareas simples. Permisos heredados de proyectos anteriores. Usuarios creados para pruebas que nunca fueron eliminados.
Todo eso suele quedar debajo de la operación diaria.
Mientras nada ocurre, nadie lo mira.
Pero si hay una solicitud, un incidente o una revisión interna, esos accesos empiezan a mostrar una historia distinta: la empresa no tenía control completo sobre quién podía entrar a sus datos.
Ese problema no se resuelve solo con un documento. Se resuelve con una revisión concreta de usuarios, roles, permisos y trazabilidad.
El CRM puede estar limpio y los accesos no
Muchas empresas concentran el esfuerzo en ordenar la base principal.
Tiene sentido. El CRM suele ser el sistema visible. Ahí están los contactos, las oportunidades, las notas comerciales, los formularios conectados, las campañas y los seguimientos.
Pero un CRM limpio no garantiza un acceso bien diseñado.
Puede haber usuarios con permisos excesivos. Exportaciones sin control. Integraciones conectadas desde cuentas antiguas. Automatizaciones que operan con credenciales genéricas. Equipos que acceden a datos que no necesitan para su función.
Por eso el artículo sobre dónde viven realmente los datos personales en una empresa es una buena base para este tema. Una vez que la empresa entiende dónde están sus datos, la siguiente pregunta es inevitable: quién puede acceder a ellos.
La planilla compartida también es acceso
El control de acceso no ocurre solo dentro de plataformas grandes.
También ocurre en planillas.
Una base exportada desde el CRM. Un archivo con leads de una campaña. Un listado de clientes antiguos. Una hoja compartida con un proveedor. Un Excel que se envió por correo para “trabajar más rápido”.
La planilla tiene algo particular: suele sentirse menos formal que el sistema principal.
Pero puede contener los mismos datos personales.
A veces más.
Si una planilla contiene nombre, correo, teléfono, RUT, dirección, historial de compras o información sensible, entonces no es solo una herramienta auxiliar. Es parte del flujo de tratamiento de datos.
Y debería tener reglas.
Quién la creó. Quién puede verla. Quién puede editarla. Dónde está guardada. Cuánto tiempo se conservará. Qué pasa cuando la campaña termina.
Sin esas respuestas, la planilla se transforma en un punto débil.
Los proveedores también entran por una puerta
Un proveedor no siempre recibe una base completa.
A veces recibe acceso.
A una plataforma de mailing. A un formulario. A una herramienta de automatización. A una carpeta compartida. A un panel. A un sistema de soporte. A una base temporal.
Ese acceso también debe mirarse.
No basta con saber que el proveedor existe. Hay que entender qué puede ver, qué puede modificar, si puede exportar información, cuánto tiempo tendrá acceso y qué ocurre cuando termina el servicio.
Este punto se vuelve especialmente relevante en campañas, clubes de beneficios, programas de fidelización y activaciones comerciales. En esos escenarios participan equipos internos, agencias, plataformas externas y proveedores tecnológicos.
Por eso el análisis sobre clubes de beneficios y Ley 21.719 conversa bien con este post. Mientras más actores participan, más importante se vuelve ordenar accesos y responsabilidades.
El problema no es desconfiar del equipo
Hablar de accesos no significa asumir mala intención.
La mayoría de los problemas no nacen de alguien queriendo usar mal la información. Nacen de permisos amplios, cuentas compartidas, urgencias comerciales y procesos que nunca se revisaron después de implementarse.
Una empresa puede tener un equipo responsable y aun así estar expuesta.
Porque el riesgo no depende solo de la intención.
Depende del diseño.
Si una persona puede acceder a datos que no necesita, exportarlos sin control o seguir entrando después de cambiar de cargo, el sistema está dejando demasiado abierto.
La trazabilidad cambia la pregunta
Cuando existe trazabilidad, la empresa puede mirar el acceso con otra claridad.
No se trata solo de saber quién tiene una cuenta. Se trata de poder responder qué ocurrió con los datos.
Quién entró. Cuándo entró. Qué información consultó. Qué modificó. Qué exportó. Desde qué sistema. Con qué finalidad operativa.
No todos los sistemas permiten responder todo con el mismo nivel de detalle. Pero la pregunta sigue siendo útil, porque obliga a revisar si la empresa tiene evidencia o solo confianza.
Y cuando llega una solicitud de eliminación, acceso o rectificación, esa diferencia importa.
En el post sobre qué pasa si un cliente pide eliminar sus datos, el foco está en la respuesta frente al titular. Pero para responder bien, la empresa necesita saber quién puede tocar ese dato y dónde se refleja el cambio.
Los permisos también envejecen
Un permiso que tenía sentido hace seis meses puede no tenerlo hoy.
Cambian los equipos. Cambian las campañas. Cambian los proveedores. Cambian las responsabilidades internas. Cambian los sistemas. Cambian los flujos.
Pero muchas empresas no revisan accesos con esa frecuencia.
El resultado es una operación llena de permisos heredados.
Accesos que nadie pidió cerrar. Roles que quedaron demasiado amplios. Cuentas que se mantienen por temor a romper una integración. Usuarios que siguen activos porque no existe una rutina de baja.
Ese envejecimiento silencioso es uno de los riesgos más comunes.
Y también uno de los más corregibles.
La revisión puede partir simple
No es necesario comenzar con una auditoría enorme.
Una empresa puede elegir un sistema crítico y revisar quién tiene acceso hoy.
Por ejemplo, el CRM.
Ahí conviene mirar qué usuarios existen, qué rol tiene cada uno, quién puede exportar datos, quién puede crear campañas, quién puede eliminar registros, qué proveedores tienen acceso y qué cuentas deberían cerrarse.
Después se puede repetir el ejercicio en formularios, plataformas de email, carpetas compartidas, herramientas de soporte, automatizaciones y bases históricas.
El primer objetivo no es resolver todo.
Es dejar de operar a ciegas.
Acceso, finalidad y proporcionalidad
La Ley 21.719 empuja a las empresas a mirar los datos personales con criterios de finalidad, proporcionalidad, seguridad y responsabilidad.
Eso aplica también al acceso.
No solo importa qué datos se recopilan. Importa quién puede usarlos y si ese acceso es necesario para una función concreta.
Este punto se conecta directamente con los contenidos sobre formularios, leads y bases de datos en la Ley 21.719 y sobre documento de aceptación de uso de datos. La captura debe estar bien explicada, pero la operación posterior también debe ser consistente con lo informado.
Pedir menos datos ayuda.
Pero controlar mejor los accesos también.
Cuando el dato sigue apareciendo, muchas veces alguien aún puede verlo
En el artículo sobre qué pasa cuando una empresa cree que eliminó un dato personal, pero sigue apareciendo, el problema era el recorrido del dato.
Aquí aparece una capa más.
El dato no solo puede seguir viviendo en otro sistema. También puede seguir siendo visible para personas que ya no deberían acceder a él.
Eso hace que la eliminación, la rectificación o el bloqueo sean más difíciles de ejecutar correctamente.
Porque no basta con cambiar el dato en un lugar. Hay que entender quién lo podía ver, qué copias existen y qué flujos siguen usando esa información.
Qué debería mirar una empresa esta semana
Aquí sí conviene ordenar algunas preguntas concretas.
¿Quién tiene acceso al CRM?
¿Quién puede exportar bases?
¿Quién administra formularios?
¿Quién recibe copias por correo?
¿Qué proveedores tienen usuarios activos?
¿Qué cuentas pertenecen a personas que ya no trabajan en la empresa?
¿Qué planillas contienen datos personales?
¿Qué automatizaciones operan con credenciales antiguas?
No son preguntas sofisticadas.
Son preguntas operativas.
Y muchas veces muestran más riesgo que una revisión documental extensa.
El cumplimiento se nota en los detalles
Una empresa preparada no es la que dice “tenemos política de privacidad”.
Es la que puede explicar cómo se controla el acceso a los datos personales en la práctica.
Quién entra.
Para qué entra.
Qué puede ver.
Qué puede modificar.
Qué puede exportar.
Cuándo se revisa.
Cómo se cierra un acceso.
Qué evidencia queda.
Ese nivel de control no aparece de un día para otro.
Se construye.
Por eso el checklist de la Ley 21.719 para empresas funciona como punto de partida, pero el trabajo real está en bajar esas prioridades a sistemas, permisos, flujos y responsables.
El riesgo no siempre está en la multa
Las multas son importantes y forman parte de la conversación. En Datactil ya lo abordamos en el análisis sobre multas de la Ley 21.719 en Chile.
Pero antes de una multa, muchas empresas enfrentan un riesgo más cotidiano: no saber quién puede acceder a sus datos personales.
Ese desorden puede provocar errores de comunicación, respuestas incompletas, uso de bases antiguas, exposición innecesaria y pérdida de confianza.
La autoridad puede fiscalizar.
Pero el cliente también puede preguntar.
Y cuando pregunta, la empresa necesita responder con algo más sólido que “creemos que está controlado”.
Agenda una evaluación de proyecto con Datactil
En Datactil abordamos estos desafíos desde la operación real: CRM, formularios, planillas, automatizaciones, proveedores, permisos, accesos, trazabilidad e integraciones.
La Ley 21.719 no se prepara solo escribiendo políticas. Se prepara entendiendo quién puede acceder a los datos personales dentro de la empresa y qué controles técnicos conviene implementar para reducir exposición.
Si tu empresa necesita revisar sus accesos, ordenar permisos y convertir el cumplimiento en un plan concreto, puedes agendar una evaluación de proyecto con Datactil:
Este contenido es informativo y no reemplaza una asesoría legal especializada. Su objetivo es ayudar a mirar la Ley 21.719 desde la operación tecnológica, los sistemas y los procesos reales de una empresa.
Comentarios