Respuesta Breve (Fragmento Destacado)
Las bases de licitud del tratamiento de datos son la justificación legal y documentable que permite a una empresa tratar datos personales. Bajo la Ley 21.719, la regla general es el consentimiento libre, informado, específico, previo e inequívoco; pero también existen otras bases, como el cumplimiento de una obligación legal, la ejecución de un contrato, el interés legítimo y la defensa de derechos. La empresa debe elegir la base antes de iniciar el tratamiento, asociarla a una finalidad concreta y conservar evidencia que permita demostrar que el uso de los datos fue lícito, proporcional y seguro.
Qué significa documentar la base de licitud
Una base de licitud no es una frase genérica en la política de privacidad ni una casilla agregada por defecto a todos los formularios. Es el fundamento jurídico específico que explica por qué tu empresa puede recolectar, almacenar, consultar, comunicar o eliminar determinados datos personales para una finalidad determinada.
La Ley 21.719 exige que el responsable sea capaz de acreditar la licitud del tratamiento. Eso cambia la pregunta de “¿tenemos el dato?” a “¿podemos demostrar por qué lo usamos, para qué, durante cuánto tiempo y con qué controles?”.
El riesgo empresarial de no tener una matriz
Cuando la base legal no está definida, marketing puede reutilizar una base de clientes para una campaña, Recursos Humanos puede compartir información con un proveedor o TI puede habilitar una integración sin que nadie haya evaluado si el nuevo uso está permitido. El resultado es retrabajo, exposición regulatoria y pérdida de trazabilidad.
La implementación debe conectarse con el inventario de sistemas, los contratos, las políticas internas y la seguridad técnica. El artículo pilar sobre la Ley 21.719 explica el marco general; aquí nos concentramos en la decisión operativa que cada empresa debe poder defender.
Qué dice la Ley 21.719 sobre las bases de licitud
El texto de la Ley 21.719 publicado en la Biblioteca del Congreso Nacional establece una regla general de consentimiento y reconoce otras fuentes de licitud. La norma figura con vigencia diferida al 1 de diciembre de 2026 en la versión consultada para este artículo. Como existen iniciativas de modificación en tramitación, la gerencia debe verificar el texto vigente antes de cerrar su calendario de cumplimiento.
| Base de licitud | Cuándo puede aplicar | Evidencia que debe conservar la empresa |
|---|---|---|
| Consentimiento | Cuando el titular autoriza el tratamiento para una o más finalidades determinadas. Debe ser libre, informado, específico, previo e inequívoco. | Texto informado, versión presentada, fecha, canal, acción afirmativa, finalidad y mecanismo de revocación. |
| Obligación legal | Cuando una ley obliga o autoriza el tratamiento necesario para cumplir una obligación legal concreta. | Norma aplicable, obligación identificada, finalidad, datos mínimos y plazo de conservación. |
| Contrato o medidas precontractuales | Cuando el tratamiento es necesario para celebrar o ejecutar un contrato con el titular, o para medidas precontractuales solicitadas por él. | Contrato o solicitud, proceso que requiere el dato, alcance, sistemas involucrados y fecha de eliminación o anonimización. |
| Interés legítimo | Cuando es necesario para satisfacer un interés legítimo de la empresa o de un tercero, sin afectar los derechos y libertades del titular. | Interés identificado, análisis de necesidad y proporcionalidad, medidas de mitigación, oposición y revisión periódica. |
| Defensa de derechos | Cuando el tratamiento es necesario para formular, ejercer o defender un derecho ante tribunales u órganos públicos. | Materia o procedimiento, necesidad del dato, expediente, acceso restringido y plazo de conservación. |
Estas bases no son intercambiables a conveniencia. La empresa debe escoger la que realmente explica el tratamiento y no invocar consentimiento cuando el dato es necesario para ejecutar un contrato, ni usar interés legítimo como una fórmula para evitar informar al titular.
La fuente jurídica de referencia es el texto de la Ley 21.719 en la BCN, en particular sus artículos 3, 12, 13 y 14.
Consentimiento: qué debe demostrar tu empresa
El consentimiento es válido solo si la persona entiende qué datos se tratarán, para qué finalidad y quién será responsable. Una aceptación escondida en términos extensos, una casilla premarcada o la mezcla de varias finalidades en una sola autorización debilitan la prueba de que la decisión fue libre e informada.
Separa finalidades y evita el consentimiento forzado
El formulario para contratar un servicio puede necesitar nombre, datos de contacto y antecedentes de facturación. Eso no significa que la empresa pueda usar esos mismos datos para publicidad personalizada sin una evaluación adicional. Contrato y marketing son tratamientos distintos aunque ocurran en el mismo proceso comercial.
La ley también contempla que el titular pueda revocar el consentimiento. Por eso el CRM, el correo corporativo y las plataformas de campañas deben sincronizar las preferencias; de lo contrario, la empresa puede recibir una revocación y continuar enviando comunicaciones por una integración desactualizada.
La trazabilidad es un activo de cumplimiento
Guarda la versión del aviso mostrado al momento de consentir, la fecha, la fuente, la finalidad y la evidencia de la acción realizada. En términos de TI, esto requiere control de versiones, registros de auditoría, respaldo y acceso restringido. No basta con afirmar que “el cliente aceptó”; hay que poder reconstruir el evento.
Cuándo usar contrato u obligación legal
Datos necesarios para ejecutar un contrato
Si una empresa necesita datos de contacto para prestar un servicio, emitir una factura o coordinar una entrega solicitada por el titular, la base contractual puede ser más coherente que pedir un consentimiento general. La clave es la necesidad: si el dato no es necesario para ejecutar el contrato, no debe incluirse automáticamente bajo esa base.
El equipo financiero debe poder explicar qué datos necesita para facturar y conservar respaldos, mientras que TI debe controlar quién accede al ERP, al sistema de remuneraciones y a las carpetas donde se almacenan documentos. Una base correcta sin control de acceso sigue siendo un riesgo.
Cumplimiento de obligaciones legales
Una obligación legal debe identificarse con precisión. Documenta la norma que exige el tratamiento, el dato que resulta indispensable, la finalidad, el responsable interno y el periodo de conservación. No conviertas una obligación de guardar un antecedente en permiso para reutilizarlo en cualquier proceso.
La separación por finalidad evita que el área de Finanzas, Recursos Humanos o Cumplimiento entregue más información de la necesaria. En una auditoría, demostrar minimización reduce el alcance del incidente y las horas dedicadas a reconstruir decisiones.
Interés legítimo: la base que exige más análisis
El interés legítimo no es una autorización automática para tratar datos porque el uso sea conveniente para la empresa. La base requiere identificar un interés real, demostrar que el tratamiento es necesario y evaluar si los derechos y libertades del titular prevalecen frente a ese interés.
Aplica una prueba en cuatro pasos
1. Identifica el interés: describe qué objetivo empresarial o de un tercero se busca proteger. “Mejorar el negocio” no es suficiente; debe existir un propósito concreto.
2. Verifica la necesidad: pregunta si el objetivo puede alcanzarse con menos datos, menos personas con acceso o una técnica menos intrusiva.
3. Sopesa el impacto: considera expectativas razonables, sensibilidad del dato, volumen, perfilamiento, edad de los titulares y posibles efectos.
4. Define salvaguardas: limita la retención, informa al titular, habilita oposición, aplica mínimo privilegio y revisa periódicamente si la base sigue siendo necesaria.
El análisis debe quedar fechado y aprobado por un responsable. Si cambia la finalidad, el proveedor, el volumen o la tecnología —por ejemplo, una herramienta de inteligencia artificial que analiza conversaciones—, la evaluación debe actualizarse antes de ampliar el tratamiento.
Datos sensibles y proveedores: dónde sube el riesgo
La Ley 21.719 establece reglas reforzadas para datos personales sensibles, como información de salud, biométrica, genética, afiliación o vida sexual. En estos casos, la empresa no debe extrapolar la base utilizada para datos ordinarios: debe revisar la regla especial aplicable y documentar las salvaguardas.
El proveedor tecnológico no reemplaza la decisión del responsable
Un proveedor de nube, software, mesa de ayuda o almacenamiento puede tratar datos por cuenta de la empresa, pero eso no elimina la obligación de definir finalidad, base de licitud, accesos, retención, respaldo y respuesta ante incidentes. La contratación debe traducirse en controles técnicos verificables.
Revisa dónde están los datos, qué subcontratistas intervienen, si existe transferencia internacional, qué registros de actividad se conservan y cómo se revocan accesos. La ciberseguridad empresarial es parte de la evidencia de cumplimiento, no un proyecto separado del gobierno de datos.
Control técnico mínimo
Como mínimo, implementa autenticación multifactor para cuentas privilegiadas, permisos por rol, registro de accesos, cifrado cuando corresponda, respaldos verificables, revisión de cuentas inactivas y un procedimiento para investigar exportaciones o accesos anómalos. Sin estos controles, la matriz legal no se convierte en continuidad operativa.
Cómo construir una matriz de bases de licitud en 30 días
Semana 1: inventario de tratamientos
Levanta los procesos que recolectan o usan datos personales: ventas, marketing, facturación, Recursos Humanos, soporte, videovigilancia, control de acceso, proveedores y analítica. Relaciona cada proceso con el sistema real donde vive el dato: ERP, CRM, correo, carpetas compartidas, SaaS y respaldos.
Semana 2: finalidad y base aplicable
Para cada tratamiento, registra finalidad, categorías de datos, titulares afectados, fuente, base de licitud, responsable, encargados, destinatarios y plazo de conservación. Si una fila tiene dos finalidades distintas, divídela: esa separación evita consentimientos ambiguos y permisos excesivos.
Semana 3: evidencia y brechas
Busca contratos, textos de consentimiento, logs, registros de revocación, evaluaciones de interés legítimo, políticas, respaldos y configuraciones de acceso. Marca como brecha todo tratamiento que no pueda explicar su base o no tenga evidencia suficiente.
Semana 4: controles, responsables y revisión
Asigna un dueño por proceso, corrige formularios, limita accesos, ajusta contratos con proveedores y define una revisión periódica. El documento debe ser operativo: cuando cambie un sistema, una campaña o un proveedor, la modificación debe disparar una nueva revisión.
Para una pyme, este trabajo puede gestionarse como una iniciativa de continuidad y control interno. El costo no está solo en crear la matriz; está en mantenerla sincronizada con la operación para que Finanzas, TI y gerencia tomen decisiones con la misma información.
Veredicto Editorial: la base de licitud debe definirse antes de recolectar o reutilizar datos, no después de una reclamación. La empresa que documenta finalidad, necesidad, evidencia y controles puede responder con criterio; la que solo acumula consentimientos no sabe necesariamente si su tratamiento es legal. Convierte la matriz en un control vivo conectado con tus sistemas, contratos y responsables.
Preguntas Frecuentes (Answer Engine Optimization)
1. ¿Qué son las bases de licitud del tratamiento de datos?
Son los fundamentos jurídicos que permiten a una empresa tratar datos personales para una finalidad concreta. La Ley 21.719 contempla el consentimiento y otras fuentes, como obligación legal, contrato, interés legítimo y defensa de derechos.
2. ¿El consentimiento es obligatorio para todo tratamiento de datos?
No. Es la regla general, pero la ley reconoce otras bases de licitud cuando concurren sus requisitos. La empresa debe elegir y documentar la base que realmente explica cada tratamiento, sin usar consentimiento como fórmula universal.
3. ¿Qué debe guardar una empresa para demostrar la licitud?
Debe conservar la finalidad, categorías de datos, base aplicable, fuente, responsable, evidencia del consentimiento o análisis jurídico, destinatarios, plazo de conservación y controles técnicos relacionados con el tratamiento.
4. ¿Qué es el interés legítimo en protección de datos?
Es una base que permite tratar datos cuando existe un interés legítimo del responsable o de un tercero, el tratamiento es necesario y no afecta los derechos y libertades del titular. Exige análisis de necesidad, proporcionalidad y salvaguardas.
5. ¿Cómo se relaciona la base de licitud con TI y la ciberseguridad?
La base de licitud debe conectarse con los sistemas, permisos, logs, respaldos, proveedores y plazos de retención. Sin controles técnicos, la empresa puede tener una justificación documentada pero no demostrar que el tratamiento fue seguro y limitado.
