Protección de datos personales: preguntas frecuentes de bancos y fintechs

Según EY:

• La ley se publicó en el DOF el 20 de marzo de 2025, entró en vigor al día siguiente y reemplaza la ley de 2010.
• La supervisión pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno.
• Usar los datos para una finalidad distinta de la informada en el aviso de privacidad original requiere nuevo consentimiento.
• Se refuerzan los controles de confidencialidad.

Para un banco o fintech, el punto sensible suele ser el reúso de datos: analítica, modelos de IA, venta cruzada o alianzas con terceros que no estaban previstos en el aviso original.

Qué conviene revisar:

• Inventario de datos: qué se tiene, dónde y para qué.
• Avisos de privacidad y consentimientos frente a los usos actuales.
• Atención de derechos ARCO con plazos y registro.
• Controles de acceso y confidencialidad, también en proveedores.

La interpretación de la ley para tu institución corresponde a tu área legal.

Qué establece la ley, que reforma la Ley 19.628:

• Crea la Agencia de Protección de Datos Personales.
• Exige notificar las brechas de seguridad.
• Prevé multas de hasta 20,000 UTM, que pueden ser mayores en casos de reincidencia (fuente: Ley 21.719; CiberLATAM, 17 sep 2026).

Las dos fechas. La entrada en vigencia está fijada para el 1 de diciembre de 2026. El 1 de septiembre de 2026, el Gobierno presentó en el Senado un proyecto para postergarla un año, al 1 de diciembre de 2027; a la fecha de esta actualización, el proyecto seguía en trámite y no estaba aprobado (fuente: Carey).

Qué preparar, con cualquiera de las dos fechas:

• Inventario de datos y de sus finalidades.
• Base de licitud de cada tratamiento y gestión de consentimientos.
• Detección y notificación de brechas, con responsables y plazos.
• Evaluaciones de impacto para tratamientos de mayor riesgo.
• Contratos con proveedores que tratan datos de tus clientes.

Actualizado el 27 de septiembre de 2026. Revisa el estado del proyecto de postergación antes de planificar.

El detalle cambia por país:

• México: nueva ley vigente desde el 21 de marzo de 2025, con nuevo consentimiento para finalidades distintas del aviso original (fuente: EY).
• Chile: Ley 21.719, con entrada en vigencia fijada para el 1 de diciembre de 2026 y un proyecto que propone postergarla al 1 de diciembre de 2027 (fuente: Carey).
• Brasil: LGPD, cuyas sanciones pueden llegar al 2% de la facturación en Brasil, con un tope de R$ 50 millones por infracción (fuente: Ley 13.709, art. 52), más la supervisión del Banco Central sobre incidentes con datos del Pix: el 13 de febrero de 2026 informó el incidente número 21 con llaves Pix desde 2020, con 5,290 llaves expuestas en una institución (nombres, CPF enmascarado, agencia y cuenta; no saldos ni contraseñas), e indicó que pueden aplicarse multas, suspensión o exclusión del Pix (fuente: Agência Brasil, feb 2026).
• Colombia: la Ley 1581 de 2012 es el régimen general de protección de datos personales; confirma con tu área legal los requisitos vigentes para tu entidad.

Categorías de solución:

• Plataformas de gestión de privacidad (registro de tratamientos, evaluaciones de impacto).
• Gestión de consentimientos en todos los canales.
• Descubrimiento y clasificación de datos.
• Prevención de fuga de datos (DLP) y monitoreo de actividad en bases de datos.
• Control de accesos de terceros y de cuentas privilegiadas.
• Atención de solicitudes de titulares con plazos y evidencia.
• Respuesta a incidentes y notificación de brechas al regulador y a los titulares.

Qué revisar: soporte para varias leyes a la vez, si descubre datos en todos tus entornos (incluida la nube), cuántas alertas útiles genera, integración con tus sistemas de origen, qué registro deja para demostrar diligencia y la facilidad para adaptarse cuando cambie una norma.