Protección de datos en factoring: Ley 21.719 y SGSI

En corto: desde el 1 de diciembre de 2026 rige la Ley 21.719 de protección de datos personales, con una agencia fiscalizadora y multas de hasta 20.000 UTM. Un factoring trata datos de personas aunque sus clientes sean empresas. Un SGSI ordena cómo se protegen esos datos, pero no reemplaza las obligaciones de la ley: hay que cubrir las dos cosas, también en tus proveedores.

Qué cambia desde el 1 de diciembre de 2026

La Ley 21.719 modifica a fondo la Ley 19.628 y entra en vigencia plena el 1 de diciembre de 2026. Los cambios que más tocan a un factoring:

• Una autoridad que fiscaliza. Se crea la Agencia de Protección de Datos Personales, que puede investigar y sancionar.
• Multas reales. Las infracciones se clasifican en leves, graves y gravísimas. Las gravísimas llegan a 20.000 UTM.
• Base legal para cada tratamiento. Cada uso de un dato personal necesita una base: consentimiento, contrato, obligación legal u otra que la ley reconozca. Y solo para la finalidad declarada.
• Más derechos para las personas. Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. También pueden oponerse a decisiones tomadas solo por un sistema automatizado.
• Deber de seguridad y de aviso. Hay que aplicar medidas de seguridad proporcionales al riesgo y reportar las vulneraciones a la Agencia. Si afectan datos financieros o comerciales, también hay que avisar a las personas afectadas.
• Responsabilidad sobre los proveedores. Quien trata datos por cuenta tuya lo hace bajo contrato y con tus instrucciones, pero el responsable sigue siendo tu empresa.

¿Por qué aplica si mis clientes son empresas?

La ley protege a las personas naturales, y un factoring trata sus datos todos los días:

• Socios, representantes legales y avales de tus clientes.
• Personas naturales con giro que factorizan sus facturas.
• Deudores que son personas naturales.
• Los usuarios de tu propio equipo.

Si tu evaluación de riesgo usa reglas automáticas para aprobar o rechazar, revisa también cómo explicas esa decisión y cómo la revisa una persona.

Qué es un SGSI y qué aporta

Un sistema de gestión de seguridad de la información (SGSI) es la forma ordenada en que una empresa identifica sus riesgos de seguridad, decide cómo tratarlos y comprueba que los controles funcionan. La norma de referencia es la ISO/IEC 27001, que explicamos en qué es la ISO 27001 y qué exigirle a tu proveedor.

Frente a la ley, un SGSI te da:

• Inventario y riesgos. Sabes qué información tienes, dónde está y qué puede salir mal.
• Controles con dueño. Accesos, cifrado, respaldos y gestión de proveedores, cada uno con un responsable.
• Respuesta a incidentes. Un procedimiento para detectar una vulneración, contenerla y avisar a tiempo.
• Evidencia. Registros y auditorías que muestran lo que haces, no solo lo que declaras.

Lo que un SGSI no resuelve solo: la base legal de cada tratamiento, la atención de los derechos de las personas y el contrato con cada proveedor. Eso es trabajo legal y de operaciones, y conviene revisarlo con tu asesor.

Checklist: 6 preguntas para tu proveedor de datos

Antes del 1 de diciembre, haz estas preguntas a cada proveedor que trate datos de tus clientes:

1. ¿Qué rol tiene en el tratamiento y dónde está escrito? El contrato debe decir para qué usa los datos y con qué instrucciones.
2. ¿Usa los datos para algo más? Si los usa para fines propios o los comparte con terceros, tienes que saberlo.
3. ¿Qué controles tiene y quién los audita? Una certificación ISO/IEC 27001 vigente, con un alcance que cubra el servicio, es una buena respuesta.
4. ¿Cómo y en cuánto tiempo te avisa de una vulneración? Tú tienes que reportar; tu proveedor tiene que avisarte primero.
5. ¿Qué subprocesadores usa? Pide la lista y para qué usa cada uno.
6. ¿Qué pasa con los datos al terminar el contrato? Cómo se devuelven o se eliminan, y cómo atiende los derechos de las personas mientras tanto.

Cómo lo hace Fapro

• SGSI certificado. Fapro está certificada en ISO/IEC 27001:2022 por DNV, con vigencia hasta el 16 de marzo de 2027. El alcance es la plataforma Fapro: extracción, procesamiento y entrega de información a sus clientes.
• La clave del SII bajo mandato. La empresa entrega su clave para que Fapro lea información en fuentes oficiales. Se guarda cifrada y ninguna persona de Fapro puede verla: solo la usa el sistema para leer en fuentes oficiales. Te lo explicamos en la guía para empresas.
• Acceso solo para quien la empresa autorizó. La información de una empresa la ve el factoring al que dio acceso y los usuarios que ese factoring habilitó.
• Proveedores a la vista. Los principales subprocesadores están publicados en Seguridad.
• Infraestructura en AWS. Su arquitectura es un caso publicado por Morris & Opazo, partner de AWS.

Si tu área de riesgo o cumplimiento tiene un cuestionario de seguridad, envíalo a seguridad@fapro.app. Lo respondemos bajo acuerdo de confidencialidad.

Preguntas frecuentes

¿Desde cuándo rige la Ley 21.719?

Entra en vigencia plena el 1 de diciembre de 2026.

¿La ISO 27001 me hace cumplir la ley?

No por sí sola. Cubre la seguridad de la información, que es una de las obligaciones. La base legal, los derechos de las personas y los contratos con proveedores se trabajan aparte.

¿La ley protege los datos de las empresas?

No. Protege los datos de personas naturales. Pero un factoring trata datos de socios, representantes, avales y deudores personas naturales, así que le aplica igual.

¿Qué hago si mi proveedor no tiene SGSI?

Pídele evidencia de sus controles y un compromiso por contrato sobre seguridad y aviso de vulneraciones. Si no puede darlos, el riesgo queda en tu empresa.