Autoevaluación de cumplimiento Ley 21.719

Question 1

¿Tiene un inventario documentado y actualizado de todos sus tratamientos de datos, con finalidad, base de licitud, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad?

Accepted Answer

Es lo primero que pide un fiscalizador. Sin RAT, ninguna otra evidencia lo salva.

Question 2

¿Puede señalar, para cada tratamiento, cuál de las bases legales lo habilita — consentimiento, contrato, obligación legal u otra?

Accepted Answer

Tratar datos sin base de licitud es infracción, aunque el dato esté bien resguardado.

Question 3

Cuando la base es el consentimiento, ¿es libre, específico, informado e inequívoco, y puede el titular revocarlo con la misma facilidad con que lo otorgó?

Accepted Answer

Un checkbox premarcado o un consentimiento genérico para “todo uso” no cumple.

Question 4

¿Puede demostrar quién consintió, cuándo, por qué canal y a qué versión del texto?

Accepted Answer

La obligación no es tener consentimiento: es poder probarlo.

Question 5

¿Existe un canal formal y un procedimiento interno para atender solicitudes de acceso, rectificación, cancelación, oposición, portabilidad y bloqueo?

Accepted Answer

El plazo máximo de respuesta es de 30 días desde la recepción. Corre con o sin proceso.

Question 6

Ante una solicitud de supresión o portabilidad, ¿puede ejecutarla en cada sistema donde vive ese titular — ERP, CRM, correo, base de datos, planillas y respaldos?

Accepted Answer

Aquí falla la mayoría: el procedimiento existe, pero no alcanza a todos los sistemas.

Question 7

¿Evaluó si está obligado a designar un DPO? Lo están los organismos públicos y las empresas cuya actividad principal implique tratamiento a gran escala de datos sensibles o monitoreo sistemático a gran escala.

Accepted Answer

Si no está obligado, designarlo igual reduce su exposición. Pero primero determine en qué categoría cae.

Question 8

¿Tiene un procedimiento escrito para detectar, evaluar y notificar una violación de seguridad a la Agencia sin dilación indebida (dentro de las 72 horas siguientes a tomar conocimiento), y comunicarla a los titulares cuando haya riesgo relevante?

Accepted Answer

El reloj parte cuando toma conocimiento del hecho, no cuando termina de investigarlo.

Question 9

¿Identificó qué tratamientos son de alto riesgo — datos sensibles a gran escala, decisiones automatizadas, perfilado sistemático — y realizó la evaluación antes de iniciarlos?

Accepted Answer

La evaluación debe ser previa al tratamiento. Hacerla después no repara la omisión.

Question 10

¿Tiene contrato firmado con cada proveedor que procesa datos en su nombre, con obligaciones concretas de cifrado, control de acceso, registro de accesos y respuesta a incidentes?

Accepted Answer

Su proveedor incumple y usted responde. El contrato es lo que distribuye esa responsabilidad.

Question 11

¿Su política refleja lo que efectivamente hace con los datos, con la información mínima exigida, y está publicada y accesible en cada punto de recolección?

Accepted Answer

Una política copiada de internet acredita una conducta que usted no ejecuta.

Question 12

¿Puede reconstruir quién accedió a qué dato personal, cuándo y qué hizo con él?

Accepted Answer

Sin trazabilidad no puede evaluar el alcance de una brecha, y por lo tanto no puede notificarla bien.

Autoevaluación de cumplimiento · Ley 21.719