Cuando una empresa no deja de llamar: lo que deben saber tanto las empresas como los titulares de datos
Hace unos días vi una consulta que resume una realidad cada vez más común: una persona quería saber qué podía hacer frente a una empresa que continuaba llamándola constantemente, incluso después de haber solicitado que dejaran de contactarla y eliminaran sus datos de su base de datos.
En República Dominicana, tradicionalmente no ha existido una cultura sólida de reclamar o de ejercer formalmente los derechos relacionados con la protección de datos personales. Durante años, muchas personas simplemente optaban por ignorar las llamadas, bloquear números o resignarse a recibir ofertas no solicitadas. La Ley 172-13, vigente desde 2013, establece derechos y obligaciones en materia de datos personales, pero durante años apenas ha sido invocada en la práctica. Esa realidad está cambiando, impulsada tanto por una mayor conciencia ciudadana como por algunas reformas legales recientes que elevan sustancialmente las consecuencias del incumplimiento.
Cada vez más personas quieren saber qué opciones tienen, cuáles son sus derechos y cómo pueden ejercerlos. Esto se hace particularmente evidente en sectores como la banca y los servicios financieros, donde las llamadas comerciales frecuentes forman parte del día a día de muchos consumidores. Y no se trata solo de una tendencia local, pues los estándares internacionales de privacidad que exigen socios comerciales, clientes corporativos y contrapartes extranjeras están presionando a las empresas a elevar sus prácticas, al margen de lo que exija exclusivamente la regulación doméstica.
Para los titulares de datos, la ley reconoce derechos concretos y exigibles: acceso a sus datos, rectificación de información inexacta, cancelación o supresión cuando el tratamiento ya no tiene base legal, y -especialmente relevante en el contexto del mercadeo directo- el derecho de oposición. Una persona puede oponerse al uso de sus datos con fines de mercadeo y solicitar que una empresa deje de contactarla. Cuando esa solicitud se realiza, la organización tiene la obligación de atenderla de manera efectiva y dentro de los plazos que establece la ley. No basta con prometer que "se procesará la solicitud"; el cambio debe reflejarse en todos los sistemas, canales y proveedores involucrados, y la empresa debe poder acreditar que así lo hizo. En la práctica, lo ideal es hacerlo por escrito, mediante un correo electrónico dirigido al área de servicio al cliente, cumplimiento o protección de datos de la organización, solicitando expresamente el cese del tratamiento con fines comerciales y la exclusión de futuras campañas. Si las llamadas persisten, también puede reiterarse la solicitud mediante una intimación formal, incluso a través de acto de alguacil. Como medida extrema, existen acciones judiciales que pueden ser presentadas conforme a la Ley 172-13.
Para las empresas, este fenómeno debe verse como una señal importante. Lo que antes pocas personas cuestionaban, hoy comienza a generar mayor escrutinio. Y lo que hoy son consultas informales, mañana pueden convertirse en reclamaciones formales, investigaciones regulatorias o litigios.
En la mayoría de los casos, estos problemas no surgen por mala fe. Surgen por procesos internos deficientes. Un área actualiza la información, pero otra continúa utilizando una versión antigua de la base de datos. Un proveedor externo sigue ejecutando campañas. El call center no recibe la actualización a tiempo. Y una simple solicitud termina convirtiendo en una fuente innecesaria de riesgo. A esto se suma que muchas organizaciones no cuentan con contratos de encargo de tratamiento vigentes con sus proveedores de datos, lo que significa que esos terceros operan con información personal sin una base contractual adecuada.
La aprobación de la Ley 74-25, el nuevo Código Penal de la República Dominicana, marca un punto de inflexión. Sus artículos 198 y 199 tipifican como delito la recopilación, almacenamiento, comercialización o divulgación de datos personales sin consentimiento del titular: las personas físicas pueden enfrentar penas de uno a dos años de prisión, mientras que las personas jurídicas quedan expuestas a multas de hasta RD$ 15,000,000. El incumplimiento ya no puede analizarse exclusivamente desde una perspectiva administrativa: la exposición abarca hoy el ámbito civil y, dependiendo de la conducta, el ámbito penal.
Por eso, las empresas que manejan grandes volúmenes de datos personales, especialmente en sectores altamente regulados como banca, seguros, salud y telecomunicaciones, deben revisar sus procesos antes de que lo haga un regulador o un cliente inconforme.
Reducir esa exposición requiere un enfoque estructurado. Las empresas deben mapear qué datos personales recopilan, con qué base legal los tratan y por cuánto tiempo los conservan; establecer procedimientos internos para atender solicitudes de titulares dentro de los plazos legales; formalizar sus relaciones con proveedores mediante contratos de encargo de tratamiento; y documentar su cumplimiento de manera que pueda demostrarse ante un regulador o un tribunal. No se trata de documentación cosmética: se trata de que la organización efectivamente pueda hacer lo que dice que hace.
Sin duda, la protección de datos en República Dominicana está entrando en una nueva etapa. Los titulares están más informados, más conscientes y cada vez menos dispuestos a tolerar prácticas invasivas.
