Los datos de una misma persona pueden estar repartidos entre el CRM, el ERP, facturación, cobranza y los respaldos. Cuando hay que corregirlos, restringir un acceso o investigar una filtración, el equipo necesita saber dónde están y cómo actuar en cada sistema.
Para las áreas de tecnología, preparar la implementación de la Ley de Protección de Datos significa llevar esas tareas a la práctica: definir responsables, configurar controles y comprobar que funcionan en la operación diaria.
La fecha prevista en la Ley 21.719 es el 1 de diciembre de 2026. El Gobierno propuso trasladarla al 1 de diciembre de 2027, pero esa propuesta no modifica por sí sola la fecha legal.
Para conocer su alcance, derechos y sanciones, revisa nuestra guía sobre la Ley de Protección de Datos en Chile. Aquí abordamos cómo revisar los sistemas y reunir evidencia de los controles aplicados.
Qué exige la ley y cómo llevarlo a tus sistemas
La ley exige medidas de seguridad adecuadas al riesgo de los datos que utiliza la empresa. Para elegirlas, considera qué información manejas, quién puede acceder y qué consecuencias tendría una pérdida, filtración o uso indebido.
También contempla la protección desde el diseño y por defecto. En la práctica, son dos decisiones distintas:
Principio | Qué significa | Ejemplo en la operación |
|---|---|---|
Protección desde el diseño | Considerar la privacidad antes de crear un proceso, desarrollar una función o conectar una plataforma, y mantenerla durante su uso. | Antes de conectar el CRM con el facturador, definir qué datos necesita recibir, quién podrá consultarlos y cuánto tiempo se conservarán. |
Protección por defecto | Configurar el sistema para que, desde el inicio, utilice únicamente los datos necesarios y limite su acceso. | Crear perfiles según la función de cada persona. Quien consulta una factura no necesariamente necesita descargar toda la base de clientes. |
Estos deberes están desarrollados en los artículos 14 quáter y 14 quinquies de la Ley 21.719.
¿Cómo comprobarlo? Revisa qué campos transmite la conexión y prueba una cuenta con permisos limitados. Si se envía información innecesaria o el usuario puede descargar datos fuera de su función, hay una configuración que ajustar.
Antes de iniciar tratamientos de alto riesgo, también corresponde revisar la obligación de realizar una evaluación de impacto: analizar qué podría afectar a las personas y cómo disminuir ese riesgo. El artículo 15 ter contempla, entre otros casos, el tratamiento masivo o a gran escala.
Identifica dónde están los datos y quién puede acceder
El inventario debe seguir el recorrido de la información. Un correo de contacto puede ingresar por un formulario, pasar al CRM y llegar después a facturación, cobranza y soporte.
Para cada recorrido, registra qué datos se utilizan, para qué sirven, qué sistemas los reciben y quién administra sus accesos.
Qué revisar | Acción concreta recomendada | Evidencia útil |
|---|---|---|
Datos repartidos entre sistemas | Identifica dónde se recopilan, qué copias existen y con quién se comparten. | Mapa de sistemas, datos y responsables. |
Permisos de usuarios | Revisa qué puede consultar, modificar o descargar cada perfil. Retira accesos que ya no corresponden. | Listado de permisos revisados y cambios realizados. |
Conexiones entre plataformas | Comprueba qué información intercambia cada integración y qué permisos utiliza. | Configuración, responsable y resultado de una prueba. |
Conservación de información | Define con las áreas responsables qué se conserva, durante cuánto tiempo y cómo se elimina. | Reglas documentadas y registro de su ejecución. |
Entornos de prueba | Revisa si contienen copias de información real y si todos esos datos son necesarios. | Origen de los datos, accesos y medidas de protección. |
Revisa también los accesos de las aplicaciones. Una credencial es la clave o mecanismo con que una aplicación se identifica ante otra. Desactivar la cuenta de una persona puede dejar intacta una credencial compartida que sigue consultando información.
Por ejemplo, al terminar la relación con un proveedor, conviene comprobar tanto el cierre de sus cuentas de usuario como la revocación de las conexiones que utilizaba.
Elige controles que respondan a riesgos concretos
Cada herramienta debe tener un propósito y una forma de comprobar su funcionamiento. Estos son ejemplos de controles que el equipo puede evaluar según su operación; no constituyen una lista universal de tecnologías exigidas por la ley.
Control | Qué hace | Cómo aterrizarlo |
|---|---|---|
Permisos por función | Limita lo que cada persona puede consultar o modificar. | Permitir que un analista revise pagos sin darle acceso para cambiar cuentas bancarias de proveedores. |
Autenticación multifactor | Solicita una segunda comprobación de identidad, además de la contraseña. | Activarla en accesos de personas que administran sistemas o manejan información sensible. |
Cifrado | Protege la información mediante claves, tanto al almacenarla como al transmitirla. | Revisar la protección de bases de datos, respaldos y conexiones, junto con quién administra sus claves. |
Registros de actividad | Permite reconstruir acciones relevantes. | Registrar cambios de permisos, exportaciones y modificaciones de datos, con fecha y responsable. |
Evita guardar contraseñas, credenciales o datos personales completos dentro de los registros de actividad cuando no sean necesarios. Esos registros también requieren permisos y protección.
Antes de implementar un control, deja definidos tres puntos: qué riesgo aborda, cómo se configura y qué prueba demostrará que funciona.
Prueba una solicitud de principio a fin
Supongamos que una persona pide corregir el correo donde recibe comunicaciones de cobranza. El dato está en el CRM, el facturador y la plataforma de recaudación.
Actualizarlo en una pantalla no permite concluir que el cambio llegó a las demás. Una prueba controlada puede seguir estos pasos:
- Localiza el dato: identifica los sistemas y copias que lo utilizan.
- Define dónde se corrige: establece cuál es el sistema que debe mantener la versión actualizada.
- Comprueba el cambio: verifica que las plataformas conectadas reciban la corrección.
- Revisa la siguiente sincronización: confirma que el intercambio de información entre sistemas no vuelva a cargar el valor antiguo.
- Registra el resultado: deja constancia de qué se modificó, cuándo y en qué plataformas.
Aplica una lógica similar a las solicitudes de acceso, supresión, oposición, portabilidad y bloqueo, según corresponda.
La eliminación requiere una revisión previa. El derecho de supresión contempla excepciones, como ciertas obligaciones legales de conservación. Coordina esa decisión con las áreas responsables antes de borrar información. Ley 21.719, artículo 7.
También conviene definir cómo evitar que la recuperación de un respaldo vuelva a incorporar información que ya debía permanecer corregida, bloqueada o eliminada.
Comprueba que puedes recuperar la información
Un respaldo es una copia que permite recuperar datos ante una pérdida o falla. Su utilidad se comprueba restaurándolo en un entorno controlado y revisando que la información pueda utilizarse.
Antes de definir la frecuencia de las copias y la infraestructura necesaria, acuerda con el negocio:
- Cuánto tiempo puede estar detenido el proceso.
- Cuánta información reciente sería aceptable perder.
Por ejemplo, una prueba de recuperación debería verificar que las facturas y pagos conservan su relación, que los permisos siguen siendo correctos y que las conexiones pueden reanudarse sin duplicar operaciones.
Prueba | Qué comprobar | Qué registrar |
|---|---|---|
Restaurar una copia | Que los archivos y registros se recuperen y puedan utilizarse. | Tiempo empleado, información recuperada y errores. |
Revisar los accesos | Que la recuperación conserve las restricciones correspondientes. | Permisos comprobados y ajustes necesarios. |
Reanudar las conexiones | Que los sistemas continúen intercambiando información correctamente. | Operaciones pendientes, duplicadas o fallidas. |
La frecuencia de los respaldos y las alternativas de continuidad deben responder a esas necesidades. Las pruebas muestran si la configuración elegida cumple el objetivo.
Prepara una respuesta a incidentes que pueda ejecutarse
Un ejercicio sencillo puede mostrar brechas antes de una emergencia. Por ejemplo, simular el envío de una planilla con datos personales a un destinatario equivocado, utilizando información ficticia.
El equipo debería poder determinar:
- Quién recibe el aviso y coordina la respuesta.
- Cómo se contiene la exposición.
- Qué datos y personas podrían estar afectados.
- Qué evidencia se conserva.
- Quién evalúa las comunicaciones necesarias.
- Cómo se corrige la causa del incidente.
La ley exige reportar a la Agencia las vulneraciones que generen un riesgo razonable para los derechos y libertades de las personas, sin dilaciones indebidas. Según los datos afectados, también corresponde comunicar a sus titulares. Ley 21.719, artículo 14 sexies.
El procedimiento interno debería permitir reunir esos antecedentes con rapidez y dejar registro de las decisiones.
Revisa a los proveedores y las conexiones financieras
Cuando los datos pasan a otra plataforma, la revisión debe abarcar tanto el contrato como el funcionamiento de la conexión.
Aspecto | Qué revisar |
|---|---|
Información compartida | Qué datos recibe el proveedor y si son necesarios para prestar el servicio. |
Accesos | Qué personas y sistemas pueden consultar o modificar la información. |
Incidentes | Cómo informa una exposición y qué antecedentes entrega para investigarla. |
Evidencia de seguridad | Qué controles demuestra y cuál es el alcance de sus evaluaciones o certificaciones. |
Término del servicio | Cómo se recuperan los datos, se retiran los accesos y se gestiona su eliminación. |
En una conexión entre el ERP y una plataforma financiera, prueba qué ocurre cuando cambia un contacto, falla un envío o se revoca un permiso. Tener una integración activa no demuestra por sí solo que esos escenarios estén resueltos.
Cómo Duemint conecta la operación financiera con controles y trazabilidad
Duemint permite automatizar procesos de recaudación, cobranza, conciliación y pago a proveedores, conectando la operación con bancos, facturadores, ERP y otros sistemas, según las integraciones habilitadas.
Sus controles de seguridad incluyen roles y permisos, flujos de autorización e historial de acciones con sus responsables. Estas funciones ayudan a controlar quién interviene en un proceso financiero y a revisar lo ocurrido.
Al evaluar la plataforma, puedes contrastar esas capacidades con tus necesidades: qué información se sincroniza, qué permisos requiere cada equipo y qué registros estarán disponibles. El cumplimiento depende también de cómo la empresa configure, utilice y supervise sus sistemas.
