Llevamos meses conversando con empresas medianas sobre la Ley 21.719, y hay tres mitos sobre la Ley 21.719 que aparecen una y otra vez, casi siempre de buena fe, y casi siempre equivocados.
“Como somos pequeños, no nos va a tocar”
El tamaño de la empresa no es, por sí solo, lo que determina el nivel de obligaciones. Lo que importa es qué datos se procesan, en qué volumen, y con qué nivel de sensibilidad. Una empresa mediana que maneja datos de salud de sus empleados o información financiera detallada de sus clientes puede tener obligaciones más exigentes que una empresa más grande que procesa datos menos sensibles. El tamaño ayuda a estimar el riesgo, pero no es el criterio legal.
“Si tengo una política de privacidad publicada, estoy cubierto”
Una política de privacidad es un documento que informa. No es una medida de protección en sí misma. Lo que realmente se evalúa frente a un incidente o una fiscalización son las medidas técnicas y organizativas reales: cómo están protegidos los sistemas, quién tiene acceso, si el respaldo funciona, si hay trazabilidad. Un sitio web con una política bien redactada y una infraestructura desordenada por dentro no está protegido, solo lo parece desde afuera.
“Esto se resuelve comprando un software”
No existe un software que, instalado, resuelva el cumplimiento de una ley de protección de datos. Existen herramientas —de respaldo, de control de acceso, de orquestación— que ayudan a implementar medidas concretas. Pero la parte que realmente importa es el criterio: qué datos procesa cada sistema, qué nivel de protección le corresponde, y si eso queda documentado. Ningún software toma esas decisiones por una empresa.
Por qué estas tres ideas persisten
Las tres comparten algo: reducen un problema complejo a una condición simple y tranquilizadora. Es entendible el impulso —hay mucho que atender en una empresa mediana, y esta es una preocupación más entre varias—. Pero esa simplificación es exactamente lo que después se convierte en una sorpresa incómoda, cuando alguien pregunta y la respuesta simple no alcanza.
¿Alguna de estas tres ideas te sonaba razonable hasta ahora?
