Plan 30/60/90: cómo llegar al 1 de diciembre en regla partiendo hoy

Si estás leyendo esto a mediados de 2026 y tu empresa aún no parte, la buena noticia es que todavía alcanza. La mala: alcanza si partes ahora. Esta es la secuencia que usamos con nuestros clientes, condensada en tres bloques de 30 días.

Días 1–30: saber dónde estás

• Diagnóstico de brechas. Contrasta tu realidad contra las obligaciones de la ley: bases de licitud, registro, derechos, seguridad, terceros, transferencias. Sin esto, todo lo demás es adivinar.
• Mapa de tratamientos. Levanta qué datos trata cada área, para qué y con quién. Es el insumo del RAT y de todo el plan.
• Decisión de gobernanza. Define quién es el responsable de datos: cargo interno, DPO externo o mixto. Alguien tiene que ser dueño del plan.
• Número para el directorio. Convierte tu exposición a multas en pesos. Los presupuestos se aprueban con números, no con artículos de ley.

Días 31–60: cerrar lo que más multa

• Registro de Actividades de Tratamiento formalizado y con dueño.
• Bases de licitud documentadas para los tratamientos principales; regularizar consentimientos donde falten.
• Contratos con encargados (DPA) firmados con tus proveedores críticos: nube, remuneraciones, marketing.
• Política de privacidad que refleje la realidad — no una traducción del RGPD bajada de internet.
• Medidas de seguridad mínimas: control de acceso, cifrado donde corresponde, respaldos probados.

Días 61–90: hacer que funcione solo

• Canal ARCOP operativo: recepción, verificación de identidad, plazos y registro de respuestas.
• Procedimiento de brechas escrito y ensayado con un simulacro. La primera vez que ejecutes el protocolo no puede ser durante la brecha real.
• Capacitación al personal que trata datos, con registro de asistencia.
• Modelo de prevención (art. 49): si el tamaño de tu exposición lo justifica, es la mejor inversión del plan — es la atenuante que la propia ley te ofrece.

La trampa del período de gracia

Si eres pyme, tienes 12 meses adicionales en que la Agencia amonesta en vez de multar. No es una prórroga del plan: es tiempo para corregir lo que la amonestación encuentre. Las obligaciones rigen igual desde diciembre, y tus clientes grandes te van a exigir cumplimiento por contrato mucho antes de que la Agencia te visite.

¿Quieres el plan aterrizado a tu empresa? El Diagnóstico Ley 21.719 entrega exactamente eso: tu hoja de ruta al 1 de diciembre, priorizada por riesgo.