La Ley 21.719 cambia la forma en que las empresas deben relacionarse con la información de sus clientes. Más que actualizar políticas de privacidad, el desafío está en conocer qué datos se tienen, para qué se utilizan y bajo qué condiciones fueron obtenidos, incorporando la privacidad a la gestión cotidiana.

La entrada en vigencia de la Ley 21.719, el próximo 1 de diciembre, obliga a las empresas a revisar cómo están tratando los datos personales. Para Rodrigo Ureta, CEO y cofundador de Sprint, uno de los principales cambios está en la manera en que las áreas comerciales deben entender el valor de sus bases de datos. 

“La conversación sobre datos personales llegó tarde al comité de marketing y temprano al comité legal, y ahí está el problema. Las áreas comerciales llevan quince años operando con una lógica de volumen: más contactos, más envíos, más frecuencia. La Ley 21.719 no prohíbe el marketing, pero sí obliga a que cada dato tenga una finalidad declarada y un consentimiento libre, específico, inequívoco e informado. Eso cambia la unidad de medida del éxito: ya no es el tamaño de la base, es la calidad del permiso”, plantea. 

Rodrigo Ureta, CEO y cofundador de Sprint.

Desde su perspectiva, la exigencia de contar con consentimiento explícito y utilizar los datos de acuerdo con una finalidad determinada también puede tener efectos sobre el desempeño de las acciones de marketing. 

“Una base construida con consentimiento explícito y segmentada por finalidad rinde mejor en apertura, en clic y en conversión que una base inflada con contactos que no recuerdan haber dado su correo. El spam telefónico y el email irrelevante no son solo una molestia regulatoria: son una destrucción silenciosa de la marca. Cada mensaje que la persona no reconoce como propio erosiona la disposición a abrir el siguiente”, señala Ureta. 

Por eso, plantea que existen dos maneras de aproximarse a la nueva regulación. Una es entenderla como un costo asociado al cumplimiento; otra, como una oportunidad para rediseñar la relación con los clientes. 

“La ley, en la práctica, obliga a hacer bien lo que ya convenía hacer bien. Las empresas que la lean como un costo de compliance van a llegar a diciembre con menos base y peores resultados. Las que la lean como un rediseño de su relación con el cliente van a llegar con una base más chica, sí, pero significativamente más rentable”, afirma. 

Dónde están los datos 

Uno de los primeros problemas que identifica Sprint es que muchas empresas no tienen una única base de datos, sino múltiples fuentes distribuidas entre distintas áreas y sistemas. 

“Marketing tiene su lista en la plataforma de email, ventas tiene su CRM, servicio al cliente tiene su sistema de tickets, y alguien en algún lado tiene un Excel. La ley exige responder a un titular que ejerce su derecho de acceso, rectificación, supresión, oposición o portabilidad. Si la empresa no sabe en cuántos lugares vive esa persona, no puede responder en plazo. Este es probablemente el hallazgo más frecuente y el más caro de resolver”, explica Alan Melnick, director de Marketing Digital y cofundador de Sprint. 

Rodrigo Ureta, CEO y cofundador de Sprint.

A esa fragmentación se suma la cantidad de tecnologías y proveedores que participan actualmente en las actividades de marketing. 

“El stack de marketing tecnológico es una cadena de encargados no contratados. Píxeles, CDP, plataformas de automatización, agencias, herramientas de enriquecimiento, chatbots. Cada uno es un tercero mandatario bajo la ley y requiere contrato que regule la relación. En la práctica, casi nadie tiene esos contratos actualizados, y muchas veces marketing ni siquiera tiene el inventario completo de qué herramientas están corriendo en el sitio”, señala. 

Los contratos con proveedores son, por lo tanto, otro de los aspectos que las organizaciones deberían revisar. Según Ureta, en muchas ocasiones la negociación con proveedores se concentra en precio y niveles de servicio, mientras el tratamiento de datos no recibe la misma atención. 

Pero las brechas no están solamente en los contratos. También aparecen en la historia de las propias bases. “El consentimiento heredado. Bases compradas, listas de eventos de 2019, contactos importados de una fusión. La ley pide consentimiento libre, específico e informado; un checkbox premarcado de hace seis años no lo es. Nadie quiere hacer el ejercicio de estimar qué porcentaje de la base sobrevive ese estándar”, sostiene Ureta. 

Otro ámbito que, según Sprint, suele quedar fuera del radar es el perfilamiento. Prácticas habituales de marketing digital, como las audiencias lookalike, el scoring, la personalización algorítmica y la segmentación basada en comportamiento, deben ser consideradas dentro de la revisión. “Marketing rara vez identifica su propia operación bajo ese concepto”, afirma Ureta. 

Primero diagnosticar 

Ante este escenario, Sprint plantea que antes de comenzar a implementar cambios es necesario conocer la situación de partida. 

“Sin diagnóstico, las empresas invierten en el lugar equivocado. El patrón típico es contratar asesoría legal, redactar una política de privacidad impecable, publicarla, y seguir operando con doce bases desconectadas y treinta píxeles sin consentimiento. Se resolvió el documento, no la operación”, explica Melnick. 

Para los ejecutivos de Sprint, un diagnóstico cumple tres funciones: dimensionar, priorizar y alinear. 

La primera consiste en determinar cuántos sistemas están tratando datos personales, cuántos terceros participan y qué porcentaje de la base cuenta con consentimiento trazable. La segunda permite definir qué brechas deben abordarse primero, considerando que no todas tienen el mismo costo ni la misma exposición. La tercera busca que las áreas de Legal, Marketing y TI trabajen sobre un mismo mapa. 

Entre las brechas que Sprint identifica con mayor frecuencia están la ausencia de un inventario de tratamientos; consentimientos que no pueden ser trazados o que no son suficientemente granulares; píxeles y cookies que se activan antes de cualquier autorización; falta de contratos con encargados; ausencia de procedimientos para responder solicitudes de titulares dentro de los plazos; y conservación indefinida de datos sin criterios de eliminación. 

El diagnóstico desarrollado por Sprint se concentra en la superficie pública de las organizaciones: su sitio web. “Nuestra herramienta parte por lo que está a la vista de cualquiera, incluida la Agencia y cualquier consumidor. Ese es el punto de contacto más expuesto y, en general, el menos revisado”, explica Ureta. 

La herramienta rastrea el sitio para identificar las tecnologías de tracking que están funcionando, el momento en que se activan respecto del consentimiento, las cookies que se instalan y su duración. También revisa los formularios que capturan datos personales y la información que recibe el usuario antes de entregar sus datos. 

Otro elemento que se analiza es el mecanismo de consentimiento: si existe, si rechazar resulta tan sencillo como aceptar y si el rechazo efectivamente detiene la recolección de información. También se revisa si la política de privacidad es accesible y coherente con lo que el sitio realmente hace, además de la existencia de canales visibles para que los titulares puedan ejercer sus derechos. 

El resultado, explica Ureta, busca ser un mapa de brechas con evidencia concreta.“No ‘revisar cookies’, sino qué script específico se dispara antes del consentimiento y desde qué página”, ejemplifica. 

Sin embargo, existe un límite claro respecto de lo que puede entregar este tipo de diagnóstico. 

“Tenemos que ser precisos en algo: esto es un diagnóstico de superficie, no una auditoría de cumplimiento. El sitio web muestra síntomas, no el sistema completo. No cubre el CRM, ni los contratos con proveedores, ni los flujos internos, ni el tratamiento offline, ni la gobernanza”, afirma Melnick. 

Su utilidad, agrega, está en la velocidad y en la evidencia que entrega: “En minutos entrega hallazgos objetivos que suelen ser suficientes para que un directorio entienda que el tema existe y libere presupuesto para el trabajo profundo. Es la puerta de entrada, no el proceso completo”. 

Qué hacer después 

Una vez identificadas las brechas, Sprint propone una secuencia de trabajo. 

El primer paso es realizar un inventario de tratamientos para conocer qué datos se procesan, dónde viven, para qué se utilizan, cuál es su base de licitud, cuánto tiempo se conservan y quién tiene acceso. 

Luego se pueden abordar los aspectos más inmediatos del sitio web: asegurar un consentimiento real antes del tracking, alinear la política de privacidad con la operación efectiva y habilitar un canal visible para el ejercicio de derechos. 

El siguiente nivel corresponde al rediseño de la captura de datos, con formularios que expliciten la finalidad y consentimiento granular por propósito, separando el marketing directo de la ejecución del servicio. 

También aparece la necesidad de hacer una “higiene de base”, que incluye el reconsentimiento de contactos sin trazabilidad, una política de retención con eliminación automática y la deduplicación de información entre sistemas. 

A esto se suman los contratos con encargados, las cláusulas de tratamiento con agencias, plataformas y proveedores tecnológicos; los procedimientos para responder solicitudes de titulares; y los protocolos para abordar incidentes. 

Finalmente, está la gobernanza, incluyendo la posibilidad de contar con un delegado de protección de datos o un rol equivalente y evaluar la conveniencia de un modelo de prevención de infracciones certificable ante la Agencia. 

“Existen herramientas para casi cada etapa: plataformas de gestión de consentimiento, módulos de derechos del titular, herramientas de descubrimiento de datos. Pero la tecnología resuelve la ejecución, no la decisión. El inventario y la definición de finalidades son trabajo humano y transversal, y es donde los proyectos se atascan”, explica Melnick. 

Confianza y calidad de la base 

La discusión sobre privacidad también aparece vinculada a la relación que las empresas mantienen con sus clientes. 

Ureta observa que los consumidores ya han desarrollado comportamientos frente a la sobreexposición de comunicaciones: bloquean números desconocidos, se desuscriben de mensajes, utilizan correos secundarios para completar formularios y rechazan cookies. “Es el costo acumulado de una década de sobreexposición”, plantea. 

En este escenario, la gestión de la privacidad puede traducirse en entregar al consumidor mayor control sobre sus datos. 

“Si la desconfianza es el estado por defecto, la marca que ofrece control explícito -preferencias reales de comunicación, transparencia sobre para qué se usa cada dato, desuscripción de un clic sin fricción, respuesta rápida a solicitudes- se vuelve la excepción. Y la excepción se recuerda”, afirma. 

Para Sprint, esa relación también tiene consecuencias operativas para el marketing. Una base limpia puede traducirse en mejores tasas de entregabilidad; un permiso genuino, en mayor apertura; y una menor cantidad de comunicaciones irrelevantes, en menos reportes de spam. 

“Más disposición a entregar datos de valor, los famosos datos declarados, que son justamente los que sobreviven al fin de las cookies de terceros. La empresa que gestiona bien el consentimiento hoy es la que va a tener datos propios utilizables mañana, cuando el ecosistema publicitario termine de cerrarse. La confianza no es un intangible en este caso. Es un activo de datos”, sostiene Ureta. 

Qué priorizar ahora 

Con la entrada en vigencia de la ley acercándose, los ejecutivos de Sprint recomiendan concentrarse en aquellos aspectos que consideran exigibles desde el primer día. 

El inventario de tratamientos aparece como el prerrequisito. A esto se suma revisar el consentimiento en canales digitales, asegurando que ninguna tecnología de tracking se active antes de la autorización, que rechazar sea tan sencillo como aceptar y que el consentimiento quede registrado con fecha, versión y alcance. 

También señalan como prioridades la información entregada al titular; los procedimientos para ejercer los derechos de acceso, rectificación, supresión, oposición y portabilidad; los contratos con encargados, especialmente agencias y plataformas de marketing; los protocolos de incidentes de seguridad; y la definición de un responsable interno del tema. 

“La trazabilidad es tan importante como el consentimiento mismo”, enfatiza Melnick. 

Uno de los riesgos que identifican es postergar el trabajo bajo la idea de que todavía queda suficiente tiempo. “Un inventario de tratamientos en una empresa mediana toma entre 4 y 12 semanas si hay dedicación real. Diciembre está más cerca de lo que parece en el calendario de proyectos”, advierte Ureta. 

De proyecto puntual a práctica permanente 

El último desafío que identifican los voceros es que la adecuación a la ley no quede reducida a un proyecto puntual. 

“El cumplimiento que depende de un proyecto se degrada apenas termina el proyecto. Se lanza una campaña nueva, se contrata una herramienta nueva, entra un equipo nuevo, y seis meses después la organización volvió al punto de partida sin darse cuenta”, explica Ureta. 

Para evitarlo, plantean cuatro condiciones: un responsable con mandato transversal; incorporar la privacidad a los procesos y no revisarla solo al final; establecer métricas visibles; y capacitar de manera diferenciada a las áreas que trabajan directamente con datos. 

En esa lógica, las preguntas sobre qué información se recoge, para qué se utiliza y bajo qué base de licitud deberían estar presentes desde el brief de una campaña o el checklist de lanzamiento de un producto. 

“Cuando la pregunta llega al final, la respuesta siempre es cara”, afirma Ureta. 

También proponen medir aspectos como el porcentaje de la base con consentimiento trazable, el tiempo promedio de respuesta a solicitudes de titulares, el número de terceros con contrato vigente y la tasa de desuscripción. 

“Lo que no se mide en un dashboard no sobrevive al siguiente trimestre”, dice Melnick. 

Para los voceros, además, la sostenibilidad del cumplimiento requiere un cambio en la manera en que la propia organización entiende la privacidad. 

“Mientras la protección de datos se comunique internamente como ‘lo que no podemos hacer’, el negocio la va a resistir. Cuando se comunica desde el ‘cómo construimos una base de clientes que efectivamente nos quiere escuchar’, marketing se convierte en aliado en vez de obstáculo. Ese cambio de encuadre vale más que cualquier política escrita”, concluye Ureta. 

A esto se suma la necesidad de que cada colaborador entienda la importancia de la protección de los datos personales para clientes y prospectos y asuma responsabilidad respecto de aquello que, desde su función, tenga relación con su tratamiento.