CUMPLIMIENTO — LEY 21.719 Y BIOMETRÍA
Control de acceso biométrico y Ley 21.719
La Ley 21.719 rige desde el 1 de diciembre de 2026 y trata los datos biométricos como datos sensibles. Una huella o un rostro en la puerta de tu sala de control no es solo un método de autenticación: es un tratamiento de dato sensible, con consentimiento, finalidad declarada, proporcionalidad, plazo de conservación y una alternativa no biométrica en el mismo punto. El registro de accesos tampoco es neutro: es un dato personal de cada persona que entró.
Lo que la ley exige de tu sistema de acceso.
| Obligación | Control en Octoberus | Evidencia generada | Frecuencia |
|---|---|---|---|
| Ley 21.719 — los datos biométricos que permiten identificar a una persona son datos personales sensibles1 | Consentimiento expreso, específico e informado por titular, con finalidad declarada y revocable. | Registro de consentimientos con fecha, versión del texto y constancia de revocación. | Por titular |
| Res. Ex. N°38/2024 de la Dirección del Trabajo — toda solución de control de asistencia biométrica debe ofrecer una alternativa no biométrica2 | Tarjeta, QR o teléfono habilitados en el mismo punto de acceso, además de la huella o el rostro. | Configuración por punto de acceso y registro de quién usa cada medio. | Permanente |
| Ley 21.719 — el registro de visitas y de accesos es dato personal: exige finalidad, plazo de conservación y eliminación1 | Retención configurable por cliente y eliminación automática al vencer el plazo declarado. | Registro de actividades de tratamiento del sistema de acceso y log de eliminaciones. | Permanente |
| Ley 21.719 — videovigilancia en los puntos de acceso: información previa al titular y finalidad determinada1 | Señalética y aviso de tratamiento por punto; la foto del evento queda ligada al permiso que la justifica. | Inventario de cámaras con finalidad, señalética instalada y plazo de conservación. | Permanente |
| Ley 21.719 — derechos ARCOP sobre los logs de acceso: acceso, rectificación, cancelación, oposición y portabilidad1 | Búsqueda por titular y export de todos sus eventos; bloqueo y supresión con registro del cambio. | Expediente de la solicitud con fecha de recepción, respuesta y acciones aplicadas. | Por solicitud |
| Ley 21.719 — evaluación de impacto en protección de datos (EIPD) para tratamientos de alto riesgo, como la biometría a escala1 | Plantilla de EIPD para el sistema de control de acceso: riesgos, medidas, alternativas y decisión. | EIPD fechada y firmada, revisable ante cada cambio de alcance. | Al implementar y ante cambios |
La biometría no es el problema. La improvisación sí.
El log de acceso es dato personal
El mismo registro que le sirve al Encargado CIP para probar quién entró le sirve al DPO para responder una solicitud ARCOP. Es un solo expediente con dos lecturas: evidencia de seguridad y tratamiento de datos personales.
La guía de la Ley 21.719
En la unidad de Protección de Datos publicamos una guía completa de la ley: qué cambia, qué documentos exige y cómo se construye el registro de actividades de tratamiento. Es la base sobre la que se apoya esta página.
El checklist de cumplimiento
Un checklist descargable para revisar, punto por punto, si tu organización tiene lo que la ley pide: consentimientos, plazos, contratos de encargo, brechas y derechos. Aplica igual al sistema de acceso.
El autodiagnóstico de la ley
Un autodiagnóstico en línea de la unidad de Protección de Datos estima tu exposición bajo la Ley 21.719 en minutos. El autodiagnóstico de accesos es su equivalente para puertas y sistemas.
Preguntas frecuentes
¿Puedo seguir usando huella en la puerta? +
Sí, si el tratamiento es proporcional a la finalidad, hay consentimiento expreso e informado y existe una alternativa no biométrica en el mismo punto. Para una sala de control con activos críticos la proporcionalidad es fácil de argumentar; para el torniquete del casino, mucho menos.
¿Cuánto tiempo puedo guardar los logs de acceso? +
El plazo lo fija la finalidad, y hay dos presiones opuestas: el estándar del Coordinador exige retener los logs de acceso físico al menos 90 días —y la evidencia del reporte anual, 3 años—, mientras la Ley 21.719 exige eliminarlos cuando dejan de ser necesarios. Se resuelve declarando el plazo, documentándolo y automatizando la eliminación.
¿Necesito una EIPD para mi sistema de acceso? +
Si tratas datos biométricos a escala o haces videovigilancia sistemática de una zona, el tratamiento es de alto riesgo y corresponde evaluar su impacto antes de implementarlo. Entregamos la plantilla y los datos técnicos del sistema; la decisión y la firma son de tu DPO.