CRM, WhatsApp y bases de datos de clientes: cómo ordenar los datos bajo la Ley 21.719

Muchas empresas creen que el cumplimiento de la Ley 21.719 se juega en el sitio web. En realidad, gran parte del riesgo aparece después: en el CRM, las planillas, los correos, los grupos de WhatsApp, los dashboards, las automatizaciones y las bases históricas de clientes.

Una base comercial no es sólo un archivo útil para vender. Si contiene información asociada a personas naturales identificadas o identificables, es una base de datos personales. Eso incluye nombres, correos, teléfonos, cargos, historial de contacto, preferencias, interacciones, cotizaciones, reclamos y conversaciones.

El problema de guardar datos «por si acaso»

Durante años, muchas empresas acumularon bases sin demasiada estructura: antiguos leads, clientes inactivos, contactos de ferias, formularios descargados, listas compradas, planillas compartidas o respaldos que nadie revisa. La Ley 21.719 obliga a cambiar esa lógica.

El principio de finalidad exige que los datos se recolecten con fines específicos, explícitos y lícitos. El principio de proporcionalidad obliga a conservarlos sólo por el tiempo necesario para esos fines, salvo excepciones legales o consentimiento válido.

CRM: qué revisar

Un CRM bien implementado puede ayudar al cumplimiento, pero también puede ampliar el riesgo si no está gobernado. La empresa debería revisar qué campos existen, cuáles son obligatorios, quién puede verlos, qué automatizaciones se ejecutan, qué integraciones están activas y cuánto tiempo se conserva la información.

Eliminar campos innecesarios o sin finalidad clara.
Separar prospectos, clientes activos, clientes inactivos y contactos históricos.
Definir roles y permisos por equipo.
Registrar fuente de origen y finalidad del contacto.
Documentar integraciones con email marketing, WhatsApp, dashboards o plataformas publicitarias.
Definir criterios de retención, supresión o anonimización.

WhatsApp: útil, pero no informal

WhatsApp se ha convertido en un canal comercial normal para muchas empresas. El riesgo es que se trate como una conversación informal cuando en realidad puede contener datos personales, preferencias, cotizaciones, direcciones, antecedentes comerciales e incluso datos sensibles en ciertos rubros.

Si WhatsApp se usa para atención, ventas o postventa, conviene definir reglas: quién responde, dónde queda el historial, si se integra con CRM, cómo se identifica al responsable, qué mensajes se pueden enviar, cómo se gestiona una baja y cuánto tiempo se conservan las conversaciones.

Planillas y archivos compartidos

Las planillas siguen siendo una de las zonas más débiles. Muchas veces tienen datos actualizados, datos antiguos, accesos abiertos y copias duplicadas. La ley exige medidas de seguridad apropiadas y acordes con la naturaleza del tratamiento y de los datos.

Una revisión básica debería identificar planillas con datos personales, propietarios del archivo, permisos, fecha de última actualización, finalidad, respaldo, eliminación y si esos datos se cargan a otros sistemas.

Derechos de titulares

Cuando una persona solicita acceso, rectificación, supresión, oposición, portabilidad o bloqueo, la empresa debe saber dónde están sus datos. Si la información está repartida entre CRM, WhatsApp, planillas y correos, responder bien se vuelve mucho más difícil.

Por eso, ordenar bases no es sólo una medida de seguridad. También permite cumplir de manera más eficiente con los derechos de las personas.

Checklist práctico

Inventariar bases de clientes, leads, trabajadores y proveedores.
Identificar sistemas donde viven los datos: CRM, WhatsApp, correo, planillas, ecommerce, ERP, dashboards.
Definir responsable interno por cada base.
Revisar accesos y permisos.
Documentar finalidad y base de licitud.
Definir plazos de conservación.
Eliminar o anonimizar datos sin finalidad vigente.
Crear procedimiento para responder derechos de titulares.
Registrar proveedores y transferencias internacionales cuando corresponda.

La adecuación real no se logra agregando un texto legal al sitio. Se logra cuando la empresa sabe qué datos tiene, por qué los tiene, quién los usa y cuándo deja de necesitarlos.

Este artículo tiene fines informativos y prácticos, y no reemplaza asesoría legal especializada. Última actualización: junio de 2026.