Congreso discute reforma a la Ley 172-13 que obligaría a casi toda empresa a proteger datos personales

Una ley de 2013 pensada para los burós de crédito

Desde noviembre de 2013, la Ley 172-13 es la norma que regula el tratamiento de datos personales en República Dominicana. Fue impulsada en el Congreso Nacional por el entonces senador Félix Bautista y el diputado Demóstenes Martínez, y creó la Agencia Dominicana de Protección de Datos como entidad autónoma adscrita al Ministerio de la Presidencia. Pero su diseño original respondía sobre todo a un problema puntual: cómo regulaban los burós de información crediticia el uso del historial financiero de las personas. Más de una década después, con redes sociales, aplicaciones móviles, inteligencia artificial y comercio electrónico como parte cotidiana de la vida de millones de dominicanos, especialistas en derecho digital coinciden en que esa ley quedó corta.

Por eso, el Congreso Nacional discute actualmente un proyecto que modificaría de fondo la Ley 172-13. Según detalla un análisis de la firma internacional ECIJA sobre su oficina en República Dominicana, publicado en mayo de 2026, la propuesta ampliaría el alcance de la norma a "cualquier tratamiento de datos personales, público o privado, sin importar el soporte o la tecnología" utilizada. Es decir, dejaría de ser una ley centrada en el sector crediticio para convertirse en una obligación transversal que afectaría a bancos, aseguradoras, plataformas digitales, call centers, clínicas, universidades, empresas de zonas francas y comercios que manejan listas de clientes o datos de empleados.

Hay que decir con claridad que este no es el primer intento. Expedientes legislativos del Senado muestran que proyectos anteriores para modificar la Ley 172-13 —identificados con los números 00577-2018, 00952-2019 y 01282-2020, este último a cargo del propio Félix Bautista— quedaron "perimidos", es decir, caducaron sin ser aprobados al no completarse su trámite dentro del período legislativo correspondiente. El proyecto que se discute en 2026 es, por tanto, un nuevo intento sobre un tema que el Congreso ha dejado pendiente por años.

Una autoridad nueva, con poder de sancionar

El cambio más significativo sería la creación de la Autoridad Nacional de Protección de Datos, descrita como un ente autónomo y especializado con potestades de regulación, supervisión, investigación y sanción en todos los sectores económicos. Hoy, en la práctica, el control sobre el uso de datos personales en el ámbito financiero recae en la Superintendencia de Bancos, mientras que para el resto de los sectores no existe un regulador dedicado ni mecanismos reales de supervisión. Esa ausencia de un ente con dientes es, según los especialistas consultados por ECIJA, una de las razones por las que la ley actual rara vez se aplica en la práctica, más allá del derecho de las personas a iniciar una acción de hábeas data ante los tribunales.

El proyecto también añadiría derechos que la Ley 172-13 no contempla hoy de forma expresa. A los ya existentes —acceso, rectificación, cancelación y oposición, conocidos como derechos ARCO— se sumarían la portabilidad de los datos entre proveedores de servicios y el derecho a no ser objeto de decisiones basadas exclusivamente en procesamiento automatizado que afecten de forma significativa a una persona, lo que impactaría directamente el uso de algoritmos de scoring crediticio, selección de personal mediante inteligencia artificial y perfiles de consumo.

Multas de hasta RD$50 millones y 72 horas para reportar filtraciones

En materia de sanciones, el proyecto clasificaría las faltas en leves, graves y muy graves, y estas últimas podrían acarrear multas de hasta 50 millones de pesos dominicanos, equivalentes a unos 820,000 dólares al tipo de cambio citado por la propia firma legal. El texto no detalla, al menos en las versiones públicas disponibles hasta ahora, las cuantías previstas para las faltas leves y graves, lo que deja un vacío de información que conviene señalar: no se sabe todavía con precisión cuánto podría costarle a una pequeña empresa una infracción menor.

Entre las obligaciones nuevas para las empresas destacan la notificación de brechas de seguridad a la autoridad en un plazo de 72 horas desde que se detecten, la posible designación de un oficial o delegado de protección de datos según el volumen de información que maneje cada entidad, la realización de evaluaciones de impacto cuando el tratamiento implique un riesgo alto, y la aplicación de los principios de privacidad desde el diseño y por defecto en el desarrollo de cualquier sistema o aplicación. El proyecto incorporaría, además, alcance extraterritorial: podría aplicar a empresas sin presencia física en el país que procesen datos de personas ubicadas en territorio dominicano, un criterio similar al del Reglamento General de Protección de Datos de la Unión Europea, el estándar que los analistas citan de forma constante como referencia.

Lo que todavía no está claro

Varios puntos siguen sin definirse públicamente. El artículo de ECIJA no precisa cuánto duraría el período de transición que el propio proyecto contempla antes de su entrada en vigor, ni ofrece una fecha estimada de votación en el Congreso. Tampoco hay, hasta la fecha de este artículo, cobertura confirmada en los principales medios dominicanos sobre una votación reciente en el pleno de la Cámara de Diputados o el Senado durante 2026, por lo que la iniciativa debe entenderse como un proyecto en discusión y no como una ley vigente. Cualquier dominicano o empresa que busque información oficial sobre el expediente específico puede consultar los registros públicos del Senado de la República.

Qué implica para empresas y ciudadanos

Para las empresas, la recomendación de los especialistas es no esperar a la aprobación final: revisar qué datos personales manejan —de clientes, empleados, proveedores y usuarios— y bajo qué condiciones, preparar procedimientos internos para responder a solicitudes de derechos dentro de plazo y para notificar brechas de seguridad en 72 horas, y evaluar si necesitarán un delegado de protección de datos o un régimen más estricto para transferencias internacionales, por ejemplo cuando usan servicios de almacenamiento en la nube fuera del país. Para los ciudadanos, de aprobarse, la reforma significaría por primera vez contar con una autoridad independiente a la que acudir —más allá de los tribunales— cuando una empresa use su información sin consentimiento claro, la venda a terceros sin autorización o sufra una filtración que no reporte. El texto, mientras tanto, sigue su curso en el Congreso Nacional sin una fecha de aprobación confirmada.