Ley 7593 de datos personales: adecue sus sistemas, no solo sus papeles
La ley ya está promulgada y será exigible a fines de 2027. La parte legal la define su abogado. La parte técnica —dónde viven los datos, quién accede, qué pide su formulario, qué guarda su bot de WhatsApp— la resolvemos nosotros.
Lo que un abogado no puede hacer por usted
Saber qué datos tiene y dónde están
En la mayoría de las empresas los datos personales están repartidos: el sistema de gestión, una planilla compartida, el historial de WhatsApp, un formulario web que envía correos a una casilla, la carpeta de currículums. Antes de escribir una política hay que hacer el inventario real, porque nadie puede proteger lo que no sabe que tiene.
Controlar quién accede y por cuánto tiempo
El problema más común no es un ataque externo: es que media empresa tiene acceso a todo y que las cuentas de quienes ya no trabajan siguen activas. Definir permisos por rol, cerrar accesos que sobran y fijar cuánto tiempo se conserva cada base es trabajo de sistemas, no de redacción.
Dejar rastro de lo que pasa con esos datos
Si mañana un cliente pide saber qué información tienen sobre él, o pide que la borren, alguien tiene que poder responder con certeza. Eso exige registro de accesos, trazabilidad de cambios y un procedimiento claro ante un incidente. Sin eso, la respuesta es una suposición.
El régimen de sanciones va de 20 a 2.500 jornales mínimos para infracciones generales, hasta 5.000 cuando hay datos sensibles de por medio y hasta 10.000 cuando involucran datos de niños, niñas y adolescentes. La autoridad de control puede aplicarlas por vía administrativa. Ordenar sus sistemas ahora cuesta bastante menos que ordenarlos con una fiscalización encima.
Trabajo técnico de adecuación, sobre sus sistemas reales
Inventario de bases de datos
Mapeamos dónde vive cada dato personal de su empresa: sistemas, planillas, formularios, chats y respaldos. El resultado es una lista concreta, no una estimación.
Permisos y control de accesos
Definimos quién ve qué dentro de sus sistemas, cerramos accesos heredados y dejamos el criterio documentado para que no se vuelva a desordenar solo.
Formularios y consentimiento
Revisamos qué datos pide realmente cada formulario, cada bot y cada campaña, y sacamos lo que se recolecta por costumbre y no por necesidad.
Trazabilidad y respuesta a incidentes
Registro de accesos y cambios, más un procedimiento escrito y probado para cuando algo sale mal. Improvisar durante un incidente es la parte cara.
Qué hacemos y qué no
Cercai no es un estudio jurídico. No redactamos dictámenes, no interpretamos la ley por usted y no reemplazamos a su asesor legal. Si necesita una opinión sobre cómo se aplica la Ley 7593 a su caso, eso lo firma un abogado.
Lo que sí hacemos es la mitad que casi nadie está cubriendo: traducir esas obligaciones a cambios concretos en el software. Su abogado le va a decir que debe garantizar el acceso, la rectificación y la supresión de datos; alguien tiene que construir la forma de hacerlo. Le va a decir que debe aplicar el principio de minimización; alguien tiene que revisar campo por campo qué está pidiendo su formulario. En la práctica, los dos trabajos se hacen mejor en paralelo, y solemos coordinarnos con el abogado que ya tiene la empresa.
Media hora para saber cuán lejos está hoy
Repasamos qué datos maneja, en qué sistemas viven y quién accede a ellos. Al final de la llamada va a tener claro qué se resuelve con configuración, qué necesita desarrollo y qué corresponde derivar a su abogado.
También construimos lo que le falta
Muchas veces la adecuación se traba en un punto concreto: el sistema que usa no permite separar permisos por rol, no registra quién consultó qué, o no tiene forma de exportar ni eliminar los datos de una persona puntual. Ahí la opción no es un documento más, sino software a medida que resuelva esa función específica, o una integración que conecte lo que ya tiene.
Lo mismo pasa del lado de la atención automatizada. Si usa WhatsApp Business automatizado o un chatbot con IA, ese canal está recolectando datos personales todos los días: nombres, teléfonos, a veces documentos y hasta información de salud. Diseñarlo para que pida solo lo necesario y guarde solo lo que corresponde es parte del mismo trabajo.
Dudas sobre la Ley 7593
La Ley N° 7593/2025 fue promulgada el 27 de noviembre de 2025 y su exigibilidad plena llega a fines de 2027, con un plazo de dos años pensado justamente para que las organizaciones se adecuen. Durante 2026 se pone en marcha la autoridad nacional de protección de datos, que funciona en la órbita del Ministerio de Tecnologías de la Información y Comunicación con autonomía funcional, y se espera que vaya emitiendo reglamentación que precise plazos y mecanismos. La lectura práctica es que hoy nadie lo va a fiscalizar, pero el trabajo de adecuación tarda meses y toca sistemas que se cambian de a poco. Las empresas que están arrancando ahora lo hacen con calma y presupuesto repartido; las que esperen a 2027 van a pagar por urgencia. Para el detalle de cada obligación, consulte a su asesor legal: acá abordamos la parte técnica.
La norma alcanza a entidades públicas y privadas que traten datos personales, sin que el tamaño de la empresa sea por sí solo un criterio de exclusión. En la práctica esto significa que una pyme que guarda datos de clientes en un sistema, atiende por WhatsApp y tiene un formulario en su sitio web también está tratando datos personales. Lo que sí cambia con el tamaño es la profundidad de lo que hay que implementar: una empresa de diez personas no necesita la misma estructura que un banco, pero sí necesita saber qué datos tiene, quién accede y qué hace si los pierde. Nuestra experiencia con pymes es que el primer inventario suele revelar más bases de las esperadas, sobre todo planillas antiguas y grupos de chat. Empezar por ahí es barato y ordena el resto del camino.
Si su bot pide o guarda datos que identifican a una persona, está tratando datos personales, igual que cualquier otro sistema. Y los canales conversacionales tienen un riesgo propio: la gente escribe de más. Un cliente que consulta por un turno médico puede terminar contando su diagnóstico; alguien que pide una cotización puede mandar una foto de su cédula sin que nadie se la haya pedido. Todo eso queda guardado en algún lado. Por eso, al diseñar la automatización conviene definir desde el principio qué datos se piden, qué se hace con lo que llega sin pedirse, cuánto tiempo se conserva la conversación y quién del equipo puede leerla. Es mucho más simple resolverlo cuando se construye el flujo que corregirlo después sobre miles de conversaciones acumuladas.
No, y desconfíe de quien le diga que sí. Cercai es una empresa de desarrollo de software e inteligencia artificial: no emitimos opiniones legales ni redactamos documentos que deban ser firmados por un profesional del derecho. La interpretación de la ley, el análisis de qué obligaciones concretas alcanzan a su actividad y la documentación legal corresponden a su asesor. Lo que nosotros aportamos es la ejecución técnica: mapear sus bases de datos, ajustar permisos y retención dentro de los sistemas, revisar qué recolectan sus formularios y bots, y construir las funciones que hoy le faltan para responder pedidos de acceso o supresión. Cuando la empresa ya tiene abogado, trabajamos con él, porque el trabajo se complementa. Cuando no lo tiene, se lo decimos con claridad antes de empezar.
El plazo parece lejos hasta que mira cuántos sistemas hay que tocar
Cercai — Inteligencia artificial a su lado, no en su lugar. Servicios relacionados: Software a medida · Consultoría en IA · WhatsApp · Chatbots.
Sectores con datos sensibles: clínicas y salud · contadores · abogados · hub de soluciones.
Guías del blog: qué cambia en sus sistemas · inventario de datos · bots y datos personales.