El oficial de cumplimiento como tratante de datos en la Ley 21.719

"¿Quién vigilará a los propios vigilantes?"

Juvenal, en las Sátiras

Mucho se ha escrito sobre la Ley 21.719 y lo que exige a las empresas respecto de sus clientes, sus trabajadores y sus campañas de marketing, y en este mismo blog hemos dedicado varias reflexiones a la nueva era que comienza el primero de diciembre de 2026. Hoy queremos mirar el asunto desde un ángulo que casi nadie ha explorado y que nos parece, sin embargo, el más urgente para quienes trabajan en nuestro rubro. La pregunta de Juvenal, escrita hace casi dos mil años para otros vigilantes, cae hoy sobre el escritorio del oficial de cumplimiento con una precisión incómoda, porque el área que fiscaliza a los demás será, desde diciembre, una de las más fiscalizadas de la organización.

El fiscalizador fiscalizado

Detengámonos un momento en lo que un programa de prevención de lavado de activos acumula en su operación cotidiana. Nombres, cédulas de identidad, domicilios y actividades económicas de miles de clientes recolectados en el proceso de conocimiento del cliente. Registros de calidad de persona expuesta políticamente, con el detalle de cargos, parentescos y asociaciones que la Circular N°62 obliga a indagar. Cadenas de propiedad que llegan hasta el beneficiario final, es decir hasta personas naturales que muchas veces jamás firmaron nada con la empresa y cuyos datos se obtuvieron precisamente porque intentaban no aparecer. Perfiles transaccionales, alertas de comportamiento, y en los casos más delicados, antecedentes que terminaron en un reporte de operación sospechosa.

Todo eso, mirado desde la Ley 19.913, es debida diligencia bien hecha. Mirado desde la Ley 21.719, es tratamiento masivo de datos personales, y en varios casos de datos especialmente protegidos. El mismo archivo que ante la UAF demuestra diligencia constituye, ante la nueva Agencia de Protección de Datos Personales, una actividad de tratamiento que debe tener base de licitud, finalidad declarada, plazo de conservación, medidas de seguridad y un responsable identificable. El vigilante, sin haber cambiado de oficio, quedó dentro del perímetro vigilado.

Donde las dos leyes se dan la mano y donde se miran con recelo

La buena noticia es que ambos cuerpos normativos conviven mejor de lo que parece a primera vista. El tratamiento de datos que exige la prevención de lavado de activos descansa sobre la base de licitud más sólida que contempla la nueva ley, el cumplimiento de una obligación legal, de manera que el oficial de cumplimiento no necesita pedirle consentimiento al cliente para consultarlo contra las listas del Consejo de Seguridad de Naciones Unidas, y sería absurdo que lo necesitara. La finalidad está definida por la propia Ley 19.913, y los plazos de conservación que la normativa UAF establece, como el deber de mantener registros por cinco años, entregan al programa de compliance una respuesta preparada para la pregunta por la limitación del almacenamiento.

Las tensiones aparecen en los bordes, que es donde aparecen siempre las cosas interesantes del derecho. Un titular que ejerza su derecho de acceso podría preguntar qué información tiene la empresa sobre él, y el oficial de cumplimiento deberá responder sin revelar jamás la existencia de un reporte de operación sospechosa, cuya reserva la Ley 19.913 protege con sanción penal. Los datos del beneficiario final son datos de terceros recolectados sin su participación, lo que exige especial cuidado en su exactitud y su custodia. Y el principio de minimización invita a revisar una costumbre extendida en el rubro, la de acumular por si acaso, porque desde diciembre cada dato guardado sin finalidad ni plazo definidos deja de ser prudencia y pasa a ser pasivo.

Los 113 días del que vigila

Quedan 113 días para la vigencia plena, y para el área de compliance el trabajo de adecuación tiene un contorno más definido que para el resto de la organización, lo que constituye una ventaja si se aprovecha a tiempo. Se trata de levantar el registro de actividades de tratamiento del propio programa de prevención, documentando qué datos se recolectan en el KYC, con qué base legal, dónde se almacenan, quién accede a ellos y cuándo se eliminan. Se trata de revisar los contratos con los proveedores que participan del proceso, desde las fuentes de información hasta el software de screening, porque muchos de ellos serán encargados de tratamiento en el sentido de la nueva ley. Y se trata de preparar el procedimiento para responder solicitudes de titulares sin comprometer la reserva que la normativa antilavado impone, un equilibrio que improvisado sale mal y diseñado sale simple.

Hay una lectura final que quisiéramos dejar planteada. El oficial de cumplimiento es, de todas las personas de la organización, quien mejor entiende lo que significa custodiar información ajena con rigor, trazabilidad y reserva, porque lleva años haciéndolo bajo la mirada de la UAF. La Ley 21.719 no le cambia el oficio, le amplía la jurisdicción, y bien mirado lo convierte en el aliado natural del delegado de protección de datos que muchas empresas están recién designando. A la pregunta de Juvenal, quién vigila a los vigilantes, la respuesta moderna resultó ser menos dramática que la del poeta. Se vigilan entre sí, con registros que cualquiera puede auditar, y las organizaciones donde ambos vigilantes trabajan juntos duermen considerablemente mejor.

Los datos que su programa de compliance administra merecen el mismo estándar que usted exige a sus clientes. Neitcom entrega trazabilidad completa sobre cada consulta PEP, cada screening y cada proceso de debida diligencia desde 2004. Conversemos, o revise nuestro artículo sobre los derechos de las personas tras el dato.