La adecuación a la Ley 7593/25 empieza con una pregunta básica: ¿cómo trata datos personales la empresa?
Responder esa pregunta exige mirar la operación diaria. Formularios de contacto, bases de clientes, legajos de trabajadores, registros de proveedores, sistemas de facturación, cámaras de seguridad, herramientas de recursos humanos, plataformas de marketing y servicios en la nube pueden involucrar datos personales.
Por eso, el primer paso es hacer un diagnóstico. La empresa necesita identificar qué datos recolecta, para qué los usa, dónde los guarda, quién accede a ellos, durante cuánto tiempo los conserva y con quién los comparte.
El segundo paso es detectar brechas. No todas las empresas tienen los mismos riesgos ni las mismas obligaciones prácticas. Una empresa que trata datos sensibles, datos de niños, niñas o adolescentes, o grandes volúmenes de información no está en la misma situación que una empresa que solo conserva datos básicos de contacto.
El tercer paso es revisar las bases legales del tratamiento. No todo debe resolverse con consentimiento. La ley admite distintas bases para tratar datos personales, según el caso. Por eso, la pregunta importante no es solamente si la persona “aceptó”, sino cuál es el fundamento que permite tratar cada dato para cada finalidad.
El cuarto paso es ordenar documentos y comunicaciones. Las personas deben recibir información clara sobre quién trata sus datos, para qué los usa, cuáles son sus derechos y cómo pueden ejercerlos. Esto puede exigir revisar políticas de privacidad, formularios, cláusulas contractuales, avisos y textos informativos.
El quinto paso es preparar procedimientos internos. La ley reconoce derechos como acceso, rectificación, supresión, oposición y portabilidad. Para la empresa, esto implica saber quién recibe una solicitud, quién la analiza, quién responde, en qué plazo y cómo queda documentada la respuesta.
El sexto paso es mirar a los proveedores. Muchas empresas tratan datos personales a través de terceros: software, servicios de nube, marketing, payroll, soporte técnico o almacenamiento documental. Esas relaciones deben revisarse, especialmente cuando un tercero trata datos por cuenta de la empresa.
El séptimo paso es ordenar medidas de seguridad. La protección de datos personales no es solo una cuestión jurídica. También exige medidas técnicas y organizativas adecuadas para prevenir accesos indebidos, pérdidas, usos no autorizados o incidentes de seguridad.
Finalmente, la empresa debe documentar lo que decide y lo que implementa. La adecuación debe verse como un proceso que permita explicar y demostrar cómo se tratan los datos personales.
Por eso, el camino razonable es avanzar por etapas: diagnóstico, identificación de brechas, plan de adecuación, implementación y acompañamiento.