Protección de datos República Dominicana: cumplimiento 2026
La Ley 172-13 de Protección de Datos Personales de la República Dominicana exige que toda persona física o jurídica que recopile, almacene, procese o transfiera datos personales de ciudadanos dominicanos implemente medidas técnicas y organizativas adecuadas para garantizar su confidencialidad, integridad y disponibilidad.
Las sanciones por incumplimiento oscilan entre RD$50,000 y RD$5,000,000 (aproximadamente USD 850 a USD 85,000), y la responsabilidad puede recaer sobre el responsable del tratamiento, el encargado, o ambos. Esta guía explica qué significa eso en la práctica para su empresa.
Contexto: por qué la Ley 172-13 importa más en 2026 que nunca
República Dominicana experimenta una digitalización acelerada en sectores clave: la banca en línea creció exponencialmente tras la pandemia, el sector turístico procesa reservas y pagos de millones de visitantes anuales, y el ecosistema BPO de Santo Domingo (uno de los más grandes del Caribe) maneja datos de clientes de EE.UU. y Europa a diario.
Esta expansión digital amplía la superficie de exposición regulatoria. INDOTEL ha comenzado a recibir y procesar denuncias formales relacionadas con brechas de datos, y los tribunales dominicanos cuentan ya con precedentes de acción civil bajo el marco de habeas data. Las empresas que no han actualizado sus controles técnicos desde la promulgación de la ley en 2013 están operando con un riesgo acumulado considerable.
Además, la presión regulatoria no solo viene de adentro: los socios comerciales internacionales —especialmente empresas estadounidenses y europeas— cada vez más incluyen cláusulas contractuales que exigen demostrar cumplimiento con marcos de protección de datos como condición de negocio.
Estructura y alcance de la Ley 172-13
¿A quién aplica?
La ley aplica a:
- Personas físicas y jurídicas con domicilio en República Dominicana que traten datos personales.
- Entidades extranjeras que traten datos de residentes dominicanos, independientemente de dónde estén ubicados sus servidores.
- Organismos del sector público en lo que respecta a bases de datos que contengan información de ciudadanos.
No aplica a datos tratados exclusivamente para uso personal, datos de personas jurídicas (solo protege a personas físicas), ni archivos con información periodística o académica bajo ciertos supuestos.
Derechos ARCO: el núcleo de la protección individual
La ley reconoce los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) como derechos fundamentales de los titulares de datos:
- Acceso: cualquier persona tiene derecho a saber qué datos suyos tiene una organización, con qué finalidad y si han sido cedidos a terceros.
- Rectificación: el titular puede exigir la corrección de datos inexactos o incompletos.
- Cancelación: el titular puede solicitar la supresión de datos cuando ya no sean necesarios para la finalidad que motivó su recogida.
- Oposición: el titular puede oponerse al tratamiento de sus datos en supuestos específicos, como el marketing directo.
Las organizaciones deben implementar canales claros y accesibles para recibir y responder estas solicitudes en los plazos que establece la ley. La ausencia de un mecanismo formal de gestión de solicitudes ARCO es, por sí sola, una infracción sancionable.
Obligaciones del responsable del tratamiento
El responsable del tratamiento —la entidad que determina los fines y medios del tratamiento— asume las siguientes obligaciones principales:
- Principio de licitud: solo puede tratarse datos con consentimiento expreso del titular, por obligación legal, o por interés legítimo debidamente documentado.
- Principio de finalidad: los datos solo pueden usarse para los fines para los que fueron recogidos. Usar una base de datos de clientes de facturación para campañas de marketing requiere consentimiento adicional.
- Principio de proporcionalidad: no se deben recopilar más datos de los estrictamente necesarios para la finalidad declarada (minimización de datos).
- Medidas de seguridad técnicas y organizativas: la ley exige que se adopten medidas "adecuadas" para proteger los datos. No define un estándar técnico específico, pero los auditores y reguladores esperan controles proporcionales a la sensibilidad de los datos y el riesgo del tratamiento.
- Deber de confidencialidad: las personas que accedan a datos personales en el ejercicio de sus funciones están obligadas por el secreto profesional, incluso después de finalizar su relación laboral.
- Notificación de brechas: aunque la Ley 172-13 no define plazos tan estrictos como el GDPR europeo, existe la obligación implícita de informar a los titulares afectados y a INDOTEL cuando una brecha compromete datos sensibles.
El habeas data como acción constitucional
Además de las sanciones administrativas, la Constitución de la República Dominicana (artículo 70) reconoce el habeas data como acción constitucional que cualquier ciudadano puede ejercer ante los tribunales para exigir acceso, rectificación o eliminación de sus datos en poder de terceros. Esto significa que las empresas no solo enfrentan multas de INDOTEL, sino potenciales acciones legales directas de sus propios clientes o empleados.
El rol de INDOTEL como autoridad de control
El Instituto Dominicano de las Telecomunicaciones (INDOTEL) actúa como la autoridad de protección de datos en República Dominicana, con facultades de:
- Recibir y tramitar denuncias de ciudadanos que consideren vulnerados sus derechos sobre datos personales.
- Realizar inspecciones a organizaciones que traten datos personales, con o sin denuncia previa.
- Imponer sanciones en el rango establecido por la ley (RD$50,000 a RD$5,000,000).
- Emitir recomendaciones y guías de cumplimiento para sectores específicos.
- Coordinar con la SIB, SIPEN y otras superintendencias en lo que respecta a datos tratados por entidades reguladas.
¿Cómo funciona el proceso de denuncia?
Un ciudadano que considera vulnerados sus derechos puede presentar una denuncia formal ante INDOTEL. El proceso típico es:
- Presentación de denuncia con documentación de respaldo.
- INDOTEL notifica a la organización denunciada y solicita sus descargos.
- Período de investigación: INDOTEL puede solicitar evidencia técnica, logs de acceso, políticas de privacidad y contratos.
- Resolución: si se determina infracción, se impone la sanción correspondiente. Las sanciones son públicas.
El riesgo reputacional de aparecer en una resolución sancionatoria de INDOTEL puede ser más dañino que la multa en sí, especialmente para empresas en sectores de servicios donde la confianza del cliente es fundamental.
Ley 200-04 y su relación con la protección de datos
La Ley 200-04 de Libre Acceso a la Información Pública complementa el marco de protección de datos al establecer que los organismos del Estado deben publicar de oficio información sobre sus actividades. Sin embargo, esta apertura tiene un límite expreso: los datos personales de ciudadanos en poder del Estado están protegidos por Ley 172-13 y no pueden divulgarse públicamente.
Para las empresas privadas, esta ley es relevante porque:
- Define qué información es de dominio público, ayudando a distinguir cuándo la publicación de datos de empleados o directivos en registros públicos no constituye una violación de privacidad.
- Establece precedente sobre la expectativa razonable de privacidad de la información en contextos organizacionales.
Estructura de sanciones
La Ley 172-13 establece tres niveles de infracción:
| Tipo de infracción | Ejemplos | Sanción |
|---|---|---|
| Leve | No atender solicitudes ARCO en plazo, ausencia de política de privacidad | RD$50,000 – RD$150,000 (~USD 850 – 2,550) |
| Grave | Tratar datos sin consentimiento, ceder datos a terceros sin autorización | RD$150,001 – RD$500,000 (~USD 2,551 – 8,500) |
| Muy grave | Brecha de datos por negligencia, tratamiento ilícito de datos sensibles, reincidencia | RD$500,001 – RD$5,000,000 (~USD 8,501 – 85,000) |
Las sanciones pueden acumularse si se identifican múltiples infracciones en la misma inspección. Adicionalmente, INDOTEL puede ordenar la suspensión del tratamiento de datos, lo que en la práctica puede paralizar operaciones digitales críticas de la organización.
Datos sensibles: riesgo elevado
La ley otorga protección reforzada a categorías especiales de datos:
- Datos de salud y condición médica.
- Orientación sexual.
- Creencias religiosas o filosóficas.
- Filiación política o sindical.
- Origen étnico o racial.
El tratamiento de estas categorías requiere consentimiento explícito y escrito, y las medidas de seguridad aplicables son más estrictas. Una clínica, un empleador o una plataforma de salud digital que no tenga controles técnicos diferenciados para estos datos enfrenta automáticamente el nivel de sanción más alto.
Sectores con mayor exposición regulatoria
Banca y finanzas
Los bancos y cooperativas regulados por la SIB manejan datos financieros de millones de dominicanos. Un incidente que comprometa números de cuenta, historial de transacciones o datos de identidad verificada es una infracción muy grave bajo Ley 172-13 y simultáneamente activa las circulares de riesgo tecnológico de la SIB. El análisis completo de ese entorno regulatorio sectorial se desarrolla en el artículo sobre regulaciones del sector financiero en República Dominicana.
BPO (Business Process Outsourcing)
Santo Domingo es uno de los principales hubs de BPO del Caribe. Las empresas de este sector manejan datos de clientes internacionales (frecuentemente bajo régimen GDPR o CCPA desde la perspectiva del cliente), pero sus operaciones locales están también sujetas a Ley 172-13. El doble régimen regulatorio exige controles más robustos.
Turismo y hotelería
Los hoteles, plataformas de reservas y operadores turísticos recopilan datos de pasaportes, tarjetas de crédito y preferencias personales de turistas nacionales e internacionales. La integración de sistemas de reserva con plataformas globales (Booking, Expedia) implica transferencias internacionales de datos que requieren garantías contractuales adicionales.
Salud
Clínicas privadas, laboratorios y plataformas de telemedicina tratan datos de salud —la categoría más sensible bajo la ley— sin que siempre dispongan de controles técnicos proporcionales a ese nivel de riesgo. Este sector tiene una brecha de cumplimiento significativa.
Retail y comercio electrónico
Las plataformas de e-commerce dominicanas recopilan datos de tarjetas de crédito, direcciones y preferencias de compra. Sin PCI-DSS y sin controles básicos de seguridad, son objetivos atractivos para actores de amenaza y candidatas a sanciones por Ley 172-13.
El rol del pentesting en el cumplimiento de Ley 172-13
La ley exige "medidas técnicas adecuadas" pero no define un catálogo cerrado. En la práctica, los reguladores y auditores evalúan la proporcionalidad entre el riesgo de los datos tratados y los controles implementados. El pentesting —una prueba de penetración profesional— contribuye al cumplimiento de varias formas concretas:
1. Evidencia de diligencia debida técnica
Ante una inspección de INDOTEL o una acción de habeas data, presentar los reportes de un pentest reciente demuestra que la organización tomó medidas activas para identificar y remediar vulnerabilidades. Esta evidencia puede ser la diferencia entre una sanción grave y una leve, o entre una sanción y una advertencia.
2. Identificación de vectores de exposición de datos
Un pentest de aplicación web puede descubrir vulnerabilidades de tipo SQLi, IDOR, SSRF o exposición de APIs que permitirían a un atacante extraer bases de datos de clientes. Remediar estos hallazgos antes de que sean explotados es exactamente lo que la Ley 172-13 espera de un responsable del tratamiento diligente.
3. Validación de controles de acceso
Los controles de acceso deficientes son la causa más frecuente de exposición de datos en organizaciones dominicanas. Un pentest puede verificar que los empleados solo acceden a los datos que necesitan para su función (principio de mínimo privilegio), que las cuentas inactivas están deshabilitadas y que los sistemas de autenticación son resistentes a ataques comunes.
4. Preparación para brechas
Los planes de respuesta a incidentes son más efectivos cuando han sido probados. Un pentest puede simular escenarios de brecha para evaluar la capacidad de detección y respuesta de la organización, lo que reduce el tiempo de contención en caso de un incidente real.
Hoja de ruta: cumplimiento en 6 pasos para una empresa dominicana
Este proceso aplica a una empresa mediana con 50-500 empleados que trata datos de clientes o empleados en sistemas digitales.
Paso 1: Inventario de datos (semanas 1-3)
Mapee qué datos personales trata su organización, con qué finalidad, dónde se almacenan, quién tiene acceso y si son cedidos a terceros. Este inventario —llamado "registro de actividades de tratamiento" en el marco GDPR— no es un requisito formal explícito de Ley 172-13, pero es la base indispensable de cualquier programa de cumplimiento.
Preguntas clave:
- ¿Qué bases de datos contienen nombres, cédulas, teléfonos o correos de clientes?
- ¿Hay datos sensibles (salud, biometría, origen étnico)?
- ¿Quién puede exportar o descargar esos datos?
Paso 2: Política de privacidad y aviso de consentimiento (semanas 2-4)
Redacte o actualice la política de privacidad de su organización para que refleje con precisión qué datos recopila, por qué y cómo los protege. El aviso de consentimiento en formularios digitales debe ser granular: consentimiento para facturación no equivale a consentimiento para marketing.
Paso 3: Procedimientos ARCO (semanas 3-5)
Establezca un canal formal para recibir solicitudes de acceso, rectificación, cancelación y oposición. Puede ser un correo dedicado o un formulario en el sitio web. Defina plazos de respuesta internos (la ley establece un plazo máximo) y asigne responsabilidades claras.
Paso 4: Evaluación técnica de seguridad (mes 2)
Contrate un pentest profesional de sus aplicaciones y sistemas críticos. Los hallazgos del pentest alimentarán el plan de remediación y servirán como evidencia de diligencia técnica ante reguladores. Para elegir al proveedor correcto, el artículo sobre evaluación de proveedores de pentesting en República Dominicana compara las principales opciones disponibles en el mercado local.
Los sistemas prioritarios para evaluar:
- Portal web / plataforma de e-commerce.
- Aplicaciones móviles.
- APIs internas y externas.
- Sistemas de gestión de clientes (CRM, ERP).
- Infraestructura de correo electrónico.
Paso 5: Plan de remediación y retests (meses 2-4)
Priorice los hallazgos por severidad (CVSS) y alcance del impacto sobre datos personales. Los hallazgos críticos y altos deben remediarse primero. Después de cada remediación, el proveedor de pentest debe verificar que la corrección fue efectiva —esto es lo que hace que los retests ilimitados sean un criterio de selección tan importante.
Paso 6: Gobernanza continua (trimestral/anual)
El cumplimiento no es un proyecto puntual. Establezca:
- Revisión anual del inventario de datos.
- Pentest de aplicaciones con cada release mayor.
- Actualización de la política de privacidad cuando cambia el tratamiento de datos.
- Entrenamiento al personal en manejo seguro de datos personales.
- Simulacro de respuesta a brechas (tabletop exercise) anual.
Preguntas frecuentes sobre Ley 172-13
¿La Ley 172-13 aplica a empresas con servidores fuera de República Dominicana?
Sí. La ley aplica según el criterio del establecimiento: si la organización tiene presencia física o actividad comercial en República Dominicana, la ley aplica independientemente de dónde estén sus servidores. Además, aplica cuando los datos tratados pertenecen a residentes dominicanos, aunque la empresa sea extranjera.
¿Qué ocurre si sufro una brecha de datos? ¿Estoy obligado a notificarla?
La Ley 172-13 establece la obligación de informar a los titulares afectados cuando una brecha compromete sus datos. Aunque los plazos no están tan formalizados como en el GDPR europeo (72 horas), INDOTEL puede considerar la falta de notificación como un agravante en una investigación posterior. Lo más prudente es notificar a los afectados y a INDOTEL en un plazo razonable (idealmente dentro de las 72 horas de detectar la brecha).
¿Las pequeñas empresas están exentas de Ley 172-13?
No. La ley no distingue por tamaño de empresa. Una pequeña clínica, un restaurante con reservas en línea o una startup de tecnología están igualmente obligados si tratan datos personales. Sin embargo, la proporcionalidad de las medidas técnicas sí se evalúa en función del volumen y sensibilidad de los datos tratados.
¿Cómo demuestra una empresa dominicana que cumple con Ley 172-13 ante un cliente extranjero?
Los clientes internacionales (especialmente europeos bajo GDPR o estadounidenses bajo CCPA) suelen solicitar evidencia de cumplimiento a través de cuestionarios de seguridad, cláusulas contractuales de protección de datos (DPA) y reportes de auditorías o pentests recientes. Contar con reportes de pentest actualizados, políticas de privacidad claras y controles técnicos documentados permite responder estos requisitos sin fricciones y acelerar el cierre de contratos.
El siguiente paso
El cumplimiento con Ley 172-13 no es un trámite burocrático: es la diferencia entre una organización que puede demostrar que protege los datos de sus clientes y una que no puede. En un mercado donde los clientes y socios internacionales hacen due diligence de seguridad antes de firmar contratos, esa diferencia se traduce directamente en oportunidades de negocio.
Proveedores especializados como WhiteJaguars acompañan este proceso con evaluaciones técnicas de seguridad, identificación de brechas y generación de la evidencia que respalda el programa de cumplimiento ante la INDOTEL y socios internacionales.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables