Dónde viven realmente los datos personales en una empresa
- Roberto Osorio
- 18 may
- 7 min de lectura
Un dato personal casi nunca vive en un solo lugar.
Esa es una de las primeras sorpresas cuando una empresa empieza a mirar su operación con más cuidado.
El contacto que llegó por un formulario puede terminar en el CRM. Después puede pasar a una planilla comercial. Luego puede quedar en una campaña de correo, en una automatización, en un reporte o en manos de un proveedor externo.
Desde lejos, la empresa cree que tiene una base de datos.
De cerca, suele aparecer otra cosa: un recorrido.
Y ese recorrido importa.
Con la Ley 21.719, las organizaciones en Chile van a necesitar más claridad sobre cómo capturan, almacenan, usan, comunican, conservan y eliminan datos personales. No basta con saber que existe una base. Hay que entender cómo se mueve la información dentro del negocio.
El error de mirar solo el sistema principal
Cuando una empresa empieza a revisar sus datos personales, normalmente mira primero el sistema más visible.
El CRM. El ERP. El sitio web. El sistema de ventas. La plataforma de atención. La base comercial.
Tiene sentido. Ahí están los registros que todos reconocen. Ahí se buscan clientes, cotizaciones, tickets, compras, solicitudes o campañas.
Pero la operación real suele ser más amplia que el sistema principal.
Un CRM puede estar ordenado y aun así existir una planilla paralela. Un formulario puede estar actualizado y aun así enviar copias por correo a varias personas. Una base puede estar limpia y aun así existir un respaldo antiguo que nadie revisa. Una automatización puede seguir activa aunque la campaña ya terminó.
El problema no siempre está en el centro.
Muchas veces está alrededor.
El dato entra por lugares simples
Los datos personales suelen entrar por canales muy cotidianos.
Un formulario de contacto. Una cotización. Un registro para descargar información. Una campaña de marketing. Un chat. Un WhatsApp. Una inscripción a un evento. Una compra. Un soporte técnico. Una ruleta promocional. Un club de beneficios.
Nada de eso parece complejo al principio.
La complejidad aparece después, cuando la empresa intenta responder preguntas básicas: qué dato pidió, para qué finalidad, dónde quedó guardado, quién lo recibió, qué sistema lo procesó, cuánto tiempo se conservará y qué pasa si una persona pide eliminarlo o corregirlo.
Por eso el artículo sobre formularios, leads y bases de datos en la Ley 21.719 es una pieza clave para entender el funcionamiento de la nueva regulación. La captura no es un trámite menor. Es el inicio del recorrido.
Si el dato entra mal, todo lo que viene después queda más frágil.
Después el dato empieza a moverse
Una empresa puede creer que el dato quedó en un solo sistema, pero en la práctica muchas operaciones funcionan por transferencia.
El formulario notifica a un correo.
El correo llega a ventas.
Ventas copia la información a una planilla.
La planilla alimenta una campaña.
La campaña genera un reporte.
El reporte se descarga.
El proveedor recibe una copia.
El sistema crea un respaldo.
Esta lista no busca exagerar. Busca mostrar una escena común.
Así operan muchas empresas. No porque estén haciendo algo irregular, sino porque han ido resolviendo necesidades a medida que aparecen.
El problema aparece cuando nadie mira el recorrido completo.
Y si nadie mira el recorrido, nadie puede explicar con seguridad dónde vive realmente cada dato.
La planilla paralela suele decir más que el CRM
En muchas revisiones, la señal más honesta no aparece en la plataforma oficial.
Aparece en una planilla.
Una planilla de seguimiento comercial. Una base descargada para una campaña. Un archivo con clientes antiguos. Un Excel compartido por correo. Una hoja interna con datos que se copiaron “solo por mientras”.
La planilla paralela suele revelar cómo trabaja realmente el equipo.
Puede mostrar duplicados, campos innecesarios, datos antiguos, contactos sin origen claro o información que ya no debería circular.
No siempre hay que eliminar la planilla de inmediato. A veces cumple una función operativa.
Pero sí hay que entender por qué existe, qué datos contiene, quién accede y cuánto tiempo debería mantenerse.
Si una empresa no puede responder eso, no tiene solo un problema documental. Tiene una brecha de control.
Los proveedores también forman parte del mapa
El recorrido del dato no termina dentro de la empresa.
Muchas operaciones dependen de terceros: plataformas de email marketing, CRM, formularios externos, sistemas de soporte, nubes, automatizaciones, agencias, herramientas de analítica, pasarelas de pago o servicios especializados.
Eso cambia la conversación.
Cuando una empresa dice “tenemos los datos en nuestro sistema”, puede estar dejando fuera a todos los proveedores que también procesan, almacenan o reciben información en algún punto del flujo.
La Ley 21.719 obliga a mirar con más seriedad estas relaciones. No basta con saber qué proveedor se usa. Hay que entender qué datos recibe, para qué finalidad, bajo qué instrucciones, durante cuánto tiempo y con qué medidas de seguridad.
Este punto conecta con una idea que Datactil viene trabajando desde hace tiempo: el cumplimiento no se resuelve solo con documentos. También requiere trazabilidad, controles y capacidad real de demostrar cómo opera el tratamiento de datos.
El dato antiguo es el más difícil de explicar
Los datos nuevos suelen ser más fáciles de ordenar.
Se puede ajustar un formulario. Se puede cambiar un texto de aceptación. Se puede reducir la cantidad de campos. Se puede revisar una automatización antes de publicarla.
El dato antiguo es más incómodo.
Muchas empresas tienen bases históricas que crecieron durante años. Contactos de campañas pasadas. Clientes inactivos. Leads sin origen claro. Registros importados. Bases fusionadas. Formularios antiguos. Reportes descargados. Respaldos sin criterio de revisión.
Ahí aparece una pregunta difícil:
¿por qué seguimos conservando esto?
Durante años, la respuesta fue “por si acaso”. Por si el cliente vuelve. Por si sirve para marketing. Por si se necesita revisar el historial. Por si algún día se ocupa.
Ese criterio ya no alcanza.
Si la empresa no puede explicar la finalidad, la conservación se vuelve una carga. Y mientras más datos antiguos existan sin propósito claro, más difícil será responder frente a una solicitud de acceso, rectificación o supresión.
Para profundizar en ese punto, conviene revisar el post sobre qué pasa si un cliente pide eliminar sus datos según la Ley 21.719 y el análisis más reciente sobre qué ocurre cuando una empresa cree que eliminó un dato personal, pero sigue apareciendo.
Los derechos de las personas obligan a mirar la operación
Los derechos sobre datos personales no son una sección decorativa de la ley.
Cuando una persona pide acceso, rectificación, supresión, oposición, portabilidad o bloqueo, la empresa necesita saber dónde buscar y cómo responder.
Eso exige más que buena voluntad.
Exige saber si el dato está en el CRM, en una campaña, en una planilla, en una integración, en un proveedor o en un respaldo. Exige distinguir qué puede eliminarse, qué debe conservarse y qué debe dejar de usarse para ciertos fines.
Por eso el contenido sobre derechos sobre datos personales en Chile es útil también para empresas. Aunque está escrito desde la mirada de las personas, muestra algo que las organizaciones deben asumir: las solicitudes van a llegar.
Y cuando lleguen, la respuesta dependerá de la operación.
Un mapa simple puede cambiar la conversación
Mapear datos personales no tiene que partir como un proyecto enorme.
Puede empezar con un flujo específico.
Por ejemplo, el formulario de contacto comercial.
La empresa puede seguir ese dato desde que la persona lo entrega hasta que deja de ser necesario. En ese recorrido debería mirar qué información se pide, qué sistema la recibe, qué correos se activan, qué equipo accede, qué proveedor interviene, qué reporte se genera, qué respaldo queda y qué regla existe para eliminar o anonimizar.
Ese ejercicio suele mostrar más que una reunión larga.
Porque deja de hablar de cumplimiento en abstracto y empieza a mostrar la operación real.
Cuando el mapa aparece, las prioridades también aparecen.
Se ve qué formulario pide datos de más. Se ve qué base está duplicada. Se ve qué automatización sigue usando contactos antiguos. Se ve qué usuario conserva accesos innecesarios. Se ve qué proveedor participa sin que nadie lo tenga del todo presente.
No todos los datos necesitan la misma solución
Un error común es pensar que todo se resuelve de una sola manera.
No es así.
Algunos flujos necesitan mejores textos. Otros necesitan menos campos. Otros necesitan reglas de conservación. Otros necesitan control de accesos. Otros necesitan contratos con proveedores. Otros necesitan trazabilidad técnica. Otros, por su nivel de riesgo, podrían requerir soluciones más robustas como cifrado, seudonimización o tokenización.
Por eso la preparación frente a la Ley 21.719 debería partir con diagnóstico, no con compra impulsiva de herramientas.
Primero se entiende el mapa.
Después se decide qué hacer.
En algunos escenarios, especialmente cuando se manejan datos sensibles o identificadores críticos, puede tener sentido revisar alternativas como la tokenización de datos en Chile. Pero en otros casos, el primer avance puede ser mucho más simple: ordenar formularios, accesos, bases y automatizaciones.
El cumplimiento empieza cuando la empresa puede explicar sus datos
Una empresa preparada no es la que tiene más documentos.
Es la que puede explicar mejor qué ocurre con sus datos personales.
Puede decir de dónde vienen.
Puede decir para qué se usan.
Puede decir quién accede.
Puede decir dónde se guardan.
Puede decir qué proveedores participan.
Puede decir cuánto tiempo se conservan.
Puede decir qué pasa cuando una persona ejerce sus derechos.
Aquí sí vale ordenar las preguntas, porque son preguntas de operación.
Si la empresa no puede responderlas, todavía falta trabajo.
Ese trabajo puede partir por revisar el checklist de la Ley 21.719 para empresas y luego avanzar hacia una mirada más completa sobre cómo preparar tu empresa para la Ley 21.719 en Chile.
El riesgo de no saber dónde están los datos
El riesgo no está solo en una multa.
Las multas son importantes y ya tienen un peso claro dentro de la discusión sobre la Ley 21.719. Pero antes de llegar a ese punto, una empresa puede enfrentar problemas más cotidianos: responder mal una solicitud, mantener bases antiguas sin finalidad, usar datos para campañas no justificadas, compartir información con proveedores sin claridad o depender de búsquedas manuales cuando alguien pregunta.
Ese riesgo desgasta.
Desgasta al equipo comercial.
Desgasta al área de soporte.
Desgasta a tecnología.
Desgasta la confianza del cliente.
Por eso el artículo sobre multas de la Ley 21.719 en Chile funciona bien como entrada al tema, pero no debería ser el único ángulo. La multa explica la consecuencia. El mapa explica el origen del problema.
Agenda una evaluación de proyecto con Datactil
En Datactil abordamos este tipo de desafíos desde la operación real: formularios, CRM, planillas, automatizaciones, integraciones, accesos, proveedores, trazabilidad y flujos de datos.
La Ley 21.719 no se prepara solo escribiendo políticas. Se prepara entendiendo dónde viven los datos personales dentro de la empresa y qué ajustes técnicos conviene priorizar.
Si tu empresa necesita revisar sus flujos de datos, detectar puntos de riesgo y convertir el cumplimiento en un plan concreto, puedes agendar una evaluación de proyecto con Datactil:
Comentarios