Protección de Datos en LATAM: Guía Comparativa para Empresas que Operan en Chile, Argentina, Colombia y México

Si operas en más de un país de LATAM, tienes cuatro marcos legales diferentes — ¿cómo operar seguro?

La protección de datos personales en América Latina no es un tema uniforme. A diferencia de los países de la comunidad europea que tienen la GPDR, en Latam cada país tiene su propia ley, su propia autoridad de control, sus propios derechos para los titulares, sus propias exigencias sobre contratos con proveedores, y sus propios mecanismos de sanción. Lo que sirve en México no necesariamente cumple en Colombia. 

‍

Para una empresa que opera en Chile, Argentina, Colombia y México al mismo tiempo, la pregunta no es solo "¿cumplimos con la ley?"— es "¿con cuál de las cuatro leyes estamos hablando, y qué exige cada una de nuestros contratos?"

‍

Esta guía responde exactamente eso. Es un mapa operacional para equipos legales, de compliance y de tecnología que necesitan entender de forma práctica qué es igual, qué es diferente, y qué deben hacer de inmediato en cada mercado.

‍

Panorama general: las cuatro leyes en una tabla

‍

País por país: lo que debes saber para operar

🇨🇱 Chile — Ley 21.719: la más nueva y la más exigente

Estado: Publicada el 13 de diciembre de 2024. Entra en vigor el 1 de diciembre de 2026.

‍

Chile acaba de estrenar la legislación de protección de datos más moderna de los cuatro países, con un diseño cercano al GDPR europeo. Si bien aún no está vigente, las empresas que operan en Chile tienen un plazo de 24 meses para adaptar sus contratos, procesos y sistemas. Ese plazo es más corto de lo que parece.

‍

Lo más relevante para tus contratos:

‍

La Ley 21.719 obliga a formalizar por escrito todos los contratos con proveedores que traten datos personales en tu nombre (encargados del tratamiento). Esos acuerdos deben especificar el objeto, la finalidad, la duración, las medidas de seguridad, las obligaciones de confidencialidad, los mecanismos de notificación de brechas y las condiciones de devolución o destrucción de datos al término del contrato.

‍

Los derechos de los titulares (acceso, rectificación, supresión, oposición, portabilidad y bloqueo) son irrenunciables y no pueden limitarse contractualmente. Una cláusula que intente hacerlo es nula de pleno derecho.

‍

Para transferencias internacionales — y casi todas las empresas las hacen cuando usan plataformas cloud o proveedores extranjeros — se necesitan mecanismos legales expresos: decisión de adecuación de la APDP, cláusulas contractuales estándar o normas corporativas vinculantes.

‍

Con un régimen de multas que va hasta las 20.000 UTM o hasta de 4% de los ingresos anuales.

‍

Lo que distingue a Chile del resto: Es el único de los cuatro países que ya tiene notificación obligatoria de brechas de seguridad a la autoridad (APDP) y a los afectados. También es el único con portabilidad de datos como derecho explícito, y el que contará con la autoridad regulatoria más robusta de la región.

‍

🇦🇷 Argentina — Ley 25.326: sólida, pero en proceso de renovación

Estado: Vigente desde el año 2000. Reforma en trámite legislativo para modernizarla.

‍

Argentina fue pionera en protección de datos en LATAM. La Ley 25.326, de inspiración europea, establece principios sólidos y fue reconocida por la Unión Europea como un país con nivel adecuado de protección (lo que facilita transferencias desde Europa). Sin embargo, tiene 25 años y muestra su edad: no contempla conceptos como evaluaciones de impacto, DPO obligatorio, notificación formal de brechas ni portabilidad de datos.

‍

Lo más relevante para tus contratos:

‍

La ley exige consentimiento expreso del titular para el tratamiento de sus datos. Los contratos con proveedores que traten datos en nombre de tu empresa deben establecer por escrito el alcance del tratamiento, las medidas de seguridad exigidas, la confidencialidad del personal del proveedor y las condiciones de uso.

‍

Las transferencias internacionales de datos requieren autorización previa de la AAIP o bien que el país receptor cuente con un nivel de protección adecuado. Las empresas que transfieran datos de argentinos a proveedores en el exterior sin este respaldo están en incumplimiento.

‍

Datos sensibles bajo la Ley 25.326:
Tienen protección reforzada: origen racial/étnico, opiniones políticas, creencias religiosas o sindicales, datos de salud, vida sexual e información genética. Su tratamiento requiere consentimiento explícito del titular o habilitación legal expresa.

‍

Los derechos del titular (habeas data):
Acceso, rectificación, supresión y oposición. Aunque menos extensos que el GDPR o la nueva ley chilena, son exigibles y accionables ante la AAIP o judicialmente.

‍

Lo que distingue a Argentina del resto: Es el único de los cuatro países que tiene reconocimiento formal de adecuación por parte de la Unión Europea.

‍

🇨🇴 Colombia — Ley 1581/2012: el habeas data más estructurado de la región

Estado: Vigente. Complementada por el Decreto 1377 de 2013 y el Decreto 1074 de 2015 (código unificado).

‍

Colombia tiene una tradición fuerte en la protección de datos personales, anclada en el derecho constitucional al habeas data (artículo 15 de la Constitución).  

‍

Lo más relevante para tus contratos:

‍

Colombia tiene una exigencia que no existe en los otros tres países: el Registro Nacional de Bases de Datos (RNBD). Toda empresa que trate datos personales en Colombia debe registrar sus bases de datos ante la SIC. No hacerlo es una infracción autónoma, independientemente de si el resto de su gestión de datos es adecuada.

‍

Los contratos con proveedores (encargados del tratamiento) deben establecer por escrito el alcance del tratamiento, el tipo de datos, el objetivo, los derechos de los titulares, las medidas de seguridad, la confidencialidad y los mecanismos de remedio en caso de incumplimiento. El artículo 25 de la ley es explícito sobre este punto.

‍

El consentimiento en Colombia se denomina "autorización" y debe ser previo, expreso e informado. No puede obtenerse mediante casillas pre-marcadas ni órdenes genéricas.

‍

Las multas van hasta 2.000 millones COP. 

‍

Derechos del titular bajo la Ley 1581:
Acceso, rectificación, supresión, oposición, revocación de la autorización y no discriminación. El derecho de revocación — poder retirar la autorización dada en cualquier momento — es particularmente relevante y debe estar contemplado en los contratos con clientes y en los avisos de privacidad.

‍

Transferencias internacionales:
Se permiten solo hacia países con niveles adecuados de protección, según certificación de la SIC. En la práctica, muchas empresas usan cláusulas contractuales como mecanismo alternativo, aunque el marco formal no está tan desarrollado como en GDPR.

‍

Lo que distingue a Colombia del resto: El RNBD es único en la región — las empresas que operan en Colombia y no lo tienen actualizado están en incumplimiento desde el primer día, aunque todo lo demás esté en orden. Además, la tradición constitucional del habeas data hace que los jueces colombianos sean más receptivos a las acciones individuales de los titulares.

‍

🇲🇽 México — LFPDPPP: el marco más extendido, en vísperas de reforma

Estado: Vigente desde 2010. Reforma legislativa en proceso que busca modernizarla.

‍

México fue uno de los primeros países de LATAM en contar con una ley de protección de datos para el sector privado. Estableciendo los principios de licitud, calidad, finalidad, transparencia, seguridad, y los derechos ARCO que se han convertido en referencia regional.

‍

Sin embargo, tiene algunos vacios: no hay obligación formal de notificar brechas a la autoridad, no existe el DPO obligatorio, no hay evaluaciones de impacto requeridas, y el marco de transferencias internacionales es más liviano que el chileno o europeo. 

‍

Lo más relevante para tus contratos:

‍

En México, el documento central de cumplimiento es el Aviso de Privacidad. Debe entregarse al titular antes o al momento de recopilar sus datos, y debe informar sobre la identidad del responsable, las finalidades del tratamiento, los terceros con quienes se comparten los datos, los derechos del titular y cómo ejercerlos.

‍

Los contratos con proveedores que traten datos en nombre de la empresa deben establecer el alcance del tratamiento, el tipo de datos, las finalidades, las medidas de seguridad, la confidencialidad del personal y las condiciones de devolución o destrucción al término. El artículo 36 de la ley es el punto de partida.

‍

Derechos ARCO:
Los derechos de los titulares en México se conocen por su acrónimo: Acceso, Rectificación, Cancelación y Oposición. El responsable tiene 15 días hábiles para responder una solicitud ARCO (prorrogable otros 15 días con justificación). Este plazo es el más corto y más definido de los cuatro países, y su incumplimiento es una infracción recurrente en los procesos ante el INAI.

‍

Datos sensibles bajo la LFPDPPP:
Requieren consentimiento expreso y por escrito: origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas o políticas, afiliación sindical, datos sobre vida sexual. El artículo 9 los regula con especial rigor.

‍

Lo que distingue a México del resto: El Aviso de Privacidad como documento obligatorio y central es característico del sistema mexicano — las otras leyes también lo requieren, pero en México está particularmente formalizado. 

‍

Las 5 diferencias operativas que más impactan a las empresas multi-país

1. El RNBD colombiano: una obligación que muchas empresas extranjeras desconocen

Colombia es el único de los cuatro países que exige registrar las bases de datos con datos personales ante la SIC. No es un trámite opcional ni de grandes empresas: aplica a prácticamente cualquier empresa que procese datos de personas en Colombia. Si tu empresa tiene clientes, empleados o proveedores colombianos y no está registrada en el RNBD, está en incumplimiento desde este momento.

‍

Acción inmediata: Verificar si corresponde el registro y, de ser así, completarlo en la plataforma de la SIC.

2. La notificación de brechas: solo Chile la exige formalmente (por ahora)

Chile es el único de los cuatro países con una obligación legal explícita de notificar brechas de seguridad a la autoridad (APDP) y a los afectados. Argentina, Colombia y México no la tienen en sus leyes actuales — aunque siempre es recomendable hacerlo y actuar acorde a ello.

‍

Esto tiene consecuencias contractuales directas: en Chile, los contratos con proveedores deben establecer plazos de notificación internos (al responsable del tratamiento) para que este pueda notificar a la APDP a tiempo. En los otros tres países, se recomienda incluir cláusulas similares como buena práctica, aunque no sean legalmente obligatorias todavía.

3. Los mecanismos para transferencias internacionales no son equivalentes

Los cuatro países permiten transferencias internacionales, pero con mecanismos distintos:

‍

• Chile: Adecuación de la APDP, cláusulas contractuales estándar o normas corporativas vinculantes (BCR) aprobadas por la APDP.
• Argentina: Autorización de la AAIP o país receptor reconocido como adecuado (Argentina tiene reconocimiento de la UE, lo que simplifica los flujos desde Europa).
• Colombia: Adecuación certificada por la SIC o cláusulas contractuales (el marco formal está menos desarrollado).
• México: Adecuación según criterios del INAI o cláusulas contractuales (el INAI emitió guías al respecto en 2023).

‍

Consecuencia práctica: Si usas un proveedor de nube con servidores en EE.UU. o Europa, necesitas un mecanismo legal diferente en cada país. Una cláusula que sirve para Colombia puede no ser suficiente para Chile.

4. Los plazos de respuesta a solicitudes de titulares varían

Cuando un cliente, empleado o usuario ejerce sus derechos sobre sus datos, tienes un plazo para responder que varía según el país:

‍

• Chile (Ley 21.719): No especificado en detalle; la APDP emitirá instrucciones.
• Argentina: No especificado formalmente en días, pero debe ser "sin demora".
• Colombia: No hay plazo formal único; la práctica establece 10-15 días hábiles.
• México: 15 días hábiles (prorrogables por otros 15 con justificación) — el plazo más definido y exigible de los cuatro.

‍

Si tu empresa gestiona solicitudes de derechos de titulares desde un solo proceso, necesita estar preparada para el plazo más corto y más exigible: el mexicano.

5. La reforma chilena cambiará el estándar de referencia de la región

Cuando la Ley 21.719 de Chile entre en vigor en diciembre de 2026, se convertirá en el marco más exigente de los cuatro países en términos de derechos de titulares, obligaciones de seguridad y poder sancionatorio. Si tu empresa opera en los cuatro mercados, adoptar el estándar chileno como baseline es la estrategia más eficiente: cumplir lo que exige Chile probablemente implica cumplir (con pequeñas adaptaciones locales) en Argentina, Colombia y México.

‍

Qué deben incluir tus contratos en cada país: tabla de referencia rápida

‍

Recomendaciones en caso de operar en todos estos paises. 

Estrategia recomendada: Adoptar el estándar de Chile (Ley 21.719) o de la GPDR como baseline contractual universal, con adaptaciones locales.

‍

El estándar chileno es el más exigente y el más alineado con GDPR. Aplicarlo en todos los contratos, independientemente del país, garantiza cumplimiento en Chile y en la mayoría de los requisitos de Argentina, Colombia y México. Solo requeriría algunas modificaciones dependiendo del pais. 

‍

Por qué necesitas un CLM para gestionar el cumplimiento en cuatro jurisdicciones

Gestionar contratos en un solo país ya es complejo. Hacerlo en cuatro jurisdicciones con marcos legales diferentes, derechos distintos, autoridades separadas, formalidades propias y plazos que varían — sin una herramienta que centralice y estructure todo eso — es una fuente garantizada de errores y riesgos.

‍

Las empresas que intentan gestionar el cumplimiento de datos en múltiples países con planillas de Excel, carpetas compartidas y revisiones manuales en momentos de crisis enfrentan el mismo problema: no saben qué contratos tienen, qué cláusulas incluyen, cuándo vencen, si están actualizados con los requisitos de cada ley, o si el proveedor en Colombia está o no en el RNBD.

‍

Un sistema de gestión del ciclo de vida de contratos (CLM) convierte ese caos en un proceso controlado:

‍

Visibilidad centralizada: Saber, en un solo lugar, cuántos contratos activos tienen cláusulas de tratamiento de datos, por país, por proveedor, por tipo de datos. No como una búsqueda manual en correos, sino como un dashboard accionable.

‍

Alertas antes de que venza un contrato o una obligación: El contrato con tu proveedor de nóminas en Colombia vence en 60 días. ¿Lo sabes hoy? ¿Tienes tiempo de actualizar las cláusulas antes de renovarlo?

‍

Flujos de aprobación con registro de auditoría: Cuando la APDP, la SIC o el INAI piden evidencia de que tus contratos con proveedores cumplen la ley, puedes mostrar no solo el contrato firmado, sino quién lo aprobó, cuándo, con qué versión, y qué cláusulas fueron negociadas.

‍

Firma electrónica integrada: Actualizar 300 contratos en cuatro países con cláusulas de protección de datos requiere un proceso de firma eficiente, trazable y con validez legal en cada jurisdicción.

‍

Seguimiento de obligaciones post-firma: El contrato dice que tu proveedor notificará brechas en 24 horas. ¿Tienes una forma de verificar que eso se cumple? ¿O solo lo sabrás cuando ya sea tarde?

‍

Conclusión: el cumplimiento multi-país no se improvisa

Operar en Chile, Argentina, Colombia y México con datos personales involucra cuatro marcos legales distintos. No hay un solo contrato que sirva para todo — pero sí hay una estrategia que permite cubrir los cuatro mercados de forma eficiente: adoptar el estándar más exigente (Chile) como base, aplicar las adaptaciones locales de forma sistemática, y gestionar todo eso desde una plataforma centralizada.

‍

El compliance de datos no es un proyecto de una vez. Es un proceso continuo de revisión, actualización y seguimiento de contratos — exactamente para lo que está diseñado un CLM.

‍

Cheers: el CLM diseñado para la realidad regulatoria de LATAM

En Cheers entendemos que las empresas latinoamericanas no tienen un departamento legal de Fortune 500. Tienen equipos pequeños que deben resolver cumplimiento real en múltiples países, con presupuestos que no permiten lujos.

‍

Por eso construimos una plataforma CLM que hace que el cumplimiento multi-país sea operacionalmente posible:

‍

• Repositorio centralizado de contratos por país, tipo, contraparte y estado de cumplimiento.
• Alertas automáticas de vencimiento con anticipación configurable, para que nunca pierdas una renovación o una obligación.
• Clasificación por nivel de riesgo — saber inmediatamente qué contratos no estan acorde al riesgo aceptado por la empresa.
• Flujos de aprobación y firma electrónica válidos en Chile, Argentina, Colombia y México.
• Registro de auditoría completo por contrato: quién lo modificó, cuándo, qué versiones existen, cuándo fue firmado.
• Seguimiento de obligaciones contractuales para no perder ningún compromiso post-firma.

‍

No importa si operas en uno o en los cuatro países: Cheers crece con tu operación.

‍

→ Solicita una demo gratuita y te mostramos cómo funciona para tu mercado específico

‍

¿Tu empresa opera en más de un país y no estás seguro de si tus contratos cumplen con cada ley? Escríbenos a info@cheerscontracts.com — hacemos un diagnóstico inicial sin costo.