Abre cualquier sistema de gestión de flotas y busca a las personas. Las vas a encontrar rápido: nombres de conductores, números de licencia, teléfonos, fotos de inspecciones, historiales de viajes, registros de incidentes. Cuando una empresa contrata un software de flota piensa en vehículos, órdenes de trabajo y combustible. Sin embargo, casi nunca piensa en que todo eso está atado a datos de personas. Por eso los datos personales en software de flota se discuten tarde.
La protección de datos personales en software de flota le llega al director de TI por varias puertas a la vez. Legal pregunta por el contrato, auditoría pregunta por los accesos y un cliente corporativo pide evidencia en una licitación. Por eso, en cloudFleet vemos esas preguntas cada vez con más frecuencia. Aquí reunimos el marco legal de los mercados donde más operan las flotas de la región. También una lista de lo que puedes exigirle a tu proveedor.
Un aviso sobre las fechas. Las leyes de datos cambian rápido en Latinoamérica y alguna de las que mencionamos está en transición mientras escribimos. Por eso, tómalo como un mapa de orientación y confirma el texto vigente con tu asesor legal.
¿Qué datos personales maneja un software de gestión de flotas?
Un software de gestión de flotas maneja datos personales de conductores, técnicos y otros usuarios: identificación, licencia de conducir, contacto, historial de viajes e inspecciones, fotografías y registros de incidentes. Esos datos obligan a la empresa a cumplir la ley de cada país donde opera. También la obligan a elegir con cuidado a su proveedor de software.
Para dimensionar el alcance, revisa qué guarda tu sistema hoy. Hay datos de identificación (nombre, documento, fecha de nacimiento) y datos laborales como el puesto, la antigüedad, la licencia y su vigencia. Los de contacto y los de operación también están: viajes asignados, inspecciones, incidentes, multas. Las imágenes van desde fotos de checklist hasta documentos escaneados y firmas. Y sumas los datos de acceso al sistema, con usuarios, contraseñas cifradas y bitácoras de actividad.
Algunos pueden ser sensibles según el país, por ejemplo cuando una licencia o un incidente incluye información de salud. Si tu flota integra un GPS externo, la ubicación de una persona identificable también es un dato personal. cloudFleet no incluye GPS propio y se integra con el que ya tengas, así que esa integración entra en el análisis.
Quién responde ante la ley, tú o tu proveedor
Antes de leer cualquier ley hay que aclarar los papeles, porque la mayoría de los marcos regionales distingue dos figuras. El responsable (o controlador) es la empresa que decide para qué y cómo se usan los datos, es decir, tu empresa, y el encargado (o procesador) es quien trata los datos por cuenta del responsable, es decir, tu proveedor de software.
En cloudFleet llevamos más de 15 años acompañando a flotas de transporte y distribución en Latinoamérica, y el patrón se repite. Los proyectos que incluyen a TI y a legal desde la primera reunión, cuando se trata de datos personales en software de flota, resuelven antes las preguntas de contrato, accesos y retención de datos. Los que llegan a legal después de firmar suelen renegociar cláusulas sobre subencargados, ubicación de los datos y plazos de eliminación.
La consecuencia práctica es incómoda. Por tanto, contratar un software no te libera de la obligación. Sigues respondiendo ante la autoridad y ante las personas, aunque los datos vivan en los servidores de un tercero. Por eso el contrato con el proveedor pesa tanto como su tecnología.
Qué dice la ley en cinco mercados
Estas son las referencias principales, con fechas verificadas al momento de escribir este artículo (octubre de 2026).
| País | Norma principal | Autoridad | Observación |
|---|---|---|---|
| México | Ley Federal de Protección de Datos Personales en Posesión de los Particulares (nueva ley publicada en el DOF el 20 de marzo de 2025) | Secretaría Anticorrupción y Buen Gobierno | La ley de 2010 quedó abrogada. Revisa el reglamento aplicable. |
| Colombia | Ley 1581 de 2012 | Superintendencia de Industria y Comercio (SIC) | Existe el Registro Nacional de Bases de Datos, regulado en el Decreto 1074 de 2015. |
| Perú | Ley 29733 y su reglamento (Decreto Supremo 016-2024-JUS) | Autoridad Nacional de Protección de Datos Personales | El reglamento sustituyó al de 2013. |
| Chile | Ley 21.719, publicada el 13 de diciembre de 2024 | Agencia de Protección de Datos Personales | Vigencia legal prevista para el 1 de diciembre de 2026. |
| Argentina y Brasil | Ley 25.326 y LGPD (Ley 13.709) | AAIP y ANPD, respectivamente | Marcos consolidados con aplicación activa. |
México
México renovó en 2025 su ley de datos en manos de particulares. Se publicó en el DOF el 20 de marzo de 2025 y entró en vigor al día siguiente, según el análisis de EY México. Las facultades que tenía el INAI en esta materia pasaron a la Secretaría Anticorrupción y Buen Gobierno. Hasta donde pudimos verificar, no hay un reglamento nuevo publicado para esta ley. Confirma con tu asesor qué normas secundarias siguen aplicando y actualiza tu aviso de privacidad.
Colombia
La Ley 1581 de 2012 y su normativa complementaria siguen siendo la base, y la SIC vigila su cumplimiento. Las bases sujetas a la ley deben inscribirse en el Registro Nacional de Bases de Datos, salvo excepciones. Esa regulación está en el Decreto 1074 de 2015. Pregunta a tu área legal si la base de conductores ya está inscrita.
Perú
Perú tiene la Ley 29733 y un reglamento nuevo, aprobado por el Decreto Supremo 016-2024-JUS, que reemplazó al de 2013. Si manejas datos de conductores o técnicos en ese país, revisa que tus avisos y contratos reflejen el reglamento actual. Garrigues publicó una revisión de cómo avanza su implementación.
Chile
Chile aprobó la Ley 21.719, que reemplaza en lo esencial a la Ley 19.628 y crea una agencia de protección de datos con facultades sancionatorias. La ley prevé entrar en vigencia el 1 de diciembre de 2026, según el resumen de la Academia Judicial de Chile. A inicios de septiembre de 2026 se presentó en el Congreso un proyecto para postergarla un año, y a la fecha de esta revisión sigue en trámite. Mientras no se publique una modificación, la fecha vigente es la original, así que lo prudente es prepararse. Revisa el estado del proyecto antes de fijar plazos.
Argentina, Brasil y los principios comunes
Argentina tiene la Ley 25.326 y Brasil la LGPD, ambas con autoridades activas. Si tu flota opera ahí, repite el ejercicio de inventario y contrato que describimos más abajo. Para ver cómo cambian las normativas y los indicadores entre países, consulta la guía de gestión de flotas vehiculares en LATAM.
Con todas sus diferencias, estas leyes comparten un núcleo que te permite armar una política regional sin hacer cinco proyectos distintos: usa los datos solo para la finalidad que informaste, ten clara la base legal o el consentimiento de cada tratamiento y recoge lo necesario y no todo lo posible. Protege los datos con medidas técnicas y organizativas, reconoce los derechos de acceso, rectificación, supresión y oposición, e informa con avisos claros. Con ese núcleo, el trabajo en cada país queda en un ajuste fino y no en un desarrollo desde cero.
Qué exigir a tu proveedor sobre protección de datos personales en software de flota
Esta parte te sirve de cuestionario de evaluación y de base para una cláusula contractual. Por eso, pide las respuestas por escrito. Un proveedor serio no se incomoda con las preguntas, y si las evade o contesta con generalidades ya tienes información para decidir.
Contrato y responsabilidades
Empieza por un contrato de encargo de tratamiento, o un acuerdo equivalente, que defina finalidades, duración y obligaciones. Es el piso mínimo. Exige el compromiso de usar los datos solo bajo tus instrucciones. Luego, pide la lista de subencargados que participan en el servicio y un aviso previo si cambian. Y deja escrito qué pasa con los datos al terminar el contrato: devolución o eliminación.
Seguridad técnica
Empieza por el cifrado de datos, en tránsito y en reposo. Sigue con el control de acceso por roles, para que cada usuario vea solo lo que necesita. Exige una bitácora que diga quién cambió qué y cuándo. Sin bitácora no hay auditoría posible. Por último, revisa que haya respaldos con un plan de recuperación documentado, y pruebas de seguridad periódicas con gestión de vulnerabilidades.
Ubicación, transferencias e incidentes
Averigua dónde se alojan físicamente los datos. Pregunta si hay transferencias internacionales y bajo qué garantías, y qué pasa con la información si cambias de país de operación. Pide el procedimiento y el plazo para que te avisen de un incidente de seguridad. Después, pregunta qué apoyo recibirás para atender solicitudes de acceso, rectificación o supresión de conductores. Y confirma que se puedan exportar y eliminar los datos de una persona concreta.
Controles que puedes comprobar en una prueba piloto
Las promesas del contrato sobre datos personales en software de flota se verifican mejor con el sistema abierto. En una demostración o en una prueba piloto puedes comprobar cuatro cosas.
Matriz de roles y mínimo privilegio
El principio de mínimo privilegio dice que cada usuario accede solo a lo que necesita para su trabajo. Una matriz de ejemplo para una flota:
| Rol | Datos de conductores | Documentos y licencias | Incidentes | Exportar datos |
|---|---|---|---|---|
| Conductor | Solo los propios | Solo los propios | Registrar y ver los propios | No |
| Técnico de taller | Nombre y unidad asignada | No | Ver los de su taller | No |
| Jefe de taller | Nombre y contacto | No | Ver y gestionar | Limitado |
| Gerente de flota | Completos | Completos | Completos | Sí, con registro |
| Administrador de TI | Configuración, no contenido | Configuración | Configuración | Sí, con registro |
Por último, pide al proveedor que te muestre cómo se configura una matriz así y si el sistema permite crear roles personalizados.
Integraciones y credenciales
Cada integración con un GPS externo, un ERP o una herramienta de nómina abre un canal de datos. Revisa que se autentique con tokens que vencen y no con credenciales fijas compartidas, que tenga permisos limitados a los datos que necesita y que cada llamada quede en una bitácora consultable. Y tú debes poder cortar una integración sin afectar al resto del sistema.
Retención y eliminación
Por eso, define plazos de conservación por tipo de dato y pide que el sistema los aplique. Este es un ejemplo orientativo que debes validar con tu área legal.
| Tipo de dato | Criterio de conservación | Acción al vencer |
|---|---|---|
| Datos de conductores activos | Mientras dure la relación laboral | Mantener actualizados |
| Datos de exconductores | Plazo exigido por obligaciones laborales y fiscales | Eliminar o anonimizar |
| Fotografías de inspecciones | Plazo del ciclo de revisión de incidentes y seguros | Eliminar |
| Bitácoras de acceso | Plazo definido por seguridad y auditoría | Archivar y luego eliminar |
Puntaje para comparar proveedores
Con dos o tres candidatos, califica cada criterio de 0 a 3. Pondera según tu riesgo. Un esquema sencillo asigna 20% al contrato y los subencargados y 30% a la seguridad técnica. El control de accesos pesa 20%, la ubicación y las transferencias 15%, y la atención de derechos e incidentes otro 15%. La suma ponderada da una cifra comparable y deja constancia de cómo se decidió.
Lo que le toca a tu empresa
El cumplimiento no se subcontrata por completo. Hay tareas que ningún software resuelve, y la primera es el inventario de los datos personales en software de flota: qué guarda tu sistema, de quién y para qué. Después vienen los avisos y consentimientos, porque los conductores deben saber qué datos se tratan y con qué fin. Luego los accesos internos, con una revisión de quién puede ver licencias, incidentes y datos de contacto. Y los plazos de conservación, para no guardar a los exconductores indefinidamente sin razón. Prepara también un procedimiento de incidentes que diga quién avisa a quién, en qué orden y en cuánto tiempo. Y capacita a los usuarios, porque muchos incidentes empiezan con una contraseña compartida o una exportación descuidada.
Los casos que generan dudas
Las consultas de TI y de legal giran casi siempre alrededor de las mismas situaciones. Define una postura para cada una antes de que alguien las plantee en una auditoría.
Las fotos de inspección pueden captar el rostro del conductor o de un compañero. Por eso, decide si se permite y cómo se conservan. Las licencias y documentos escaneados sirven para controlar vencimientos, pero contienen datos de identificación, así que restringe quién puede abrirlos. El registro de un incidente puede incluir lesiones o responsabilidades, y merece acceso limitado. Cuando un conductor se va, define qué se conserva por obligación legal y qué se elimina. Por último, cada archivo exportado a una hoja de cálculo sale del control del sistema. Define quién puede exportar y dónde se guarda.
Sin embargo, ninguna de estas situaciones es difícil de resolver. Lo difícil es descubrirlas por primera vez durante una revisión externa. Para ampliar el tema desde el lado del mantenimiento, lee cómo sostener el cumplimiento normativo de flotas con un software de mantenimiento.
Preguntas para llevar a legal
Antes de cerrar un proveedor, reúne a TI y a legal y respondan cinco preguntas:
- ¿En qué países tratamos datos de conductores y qué ley aplica en cada uno?
- ¿Los avisos de privacidad están vigentes y son claros?
- ¿Qué base legal justifica cada tratamiento?
- ¿El contrato cubre lo que exige cada país?
- ¿Quién atiende las solicitudes de acceso o supresión de una persona?
Si tres o más respuestas son “no sé”, el proyecto necesita una fase previa de orden interno.
Errores que vemos en los proyectos
El más repetido es dejar el tema para después de la firma, cuando negociar cláusulas de datos ya es difícil. Le sigue compartir credenciales: un usuario genérico para todo el taller anula cualquier bitácora. También se importan datos de más, por ejemplo toda la base histórica con exempleados incluidos, y eso amplía el riesgo sin aportar valor. Se ignoran las integraciones, aunque cada GPS externo o ERP conectado es una vía por donde circulan datos. Y casi nadie revisa los permisos cuando alguien cambia de rol, así que quien pasa del taller a administración conserva accesos que ya no necesita. Por eso, una revisión de accesos cada seis meses evita la mayoría de estos problemas.
Cómo llevar el tema a tu comité
Si necesitas justificar tiempo o presupuesto, presenta tres cosas. Un inventario resumido de los datos personales que maneja la flota. Una comparación de lo que prometen tus proveedores contra la lista de exigencias de este artículo. Y un plan de acciones internas con responsable y fecha. Así, esa estructura convierte un tema legal difuso en tareas concretas. También deja constancia de que la empresa actuó con diligencia, algo que pesa si llega una consulta de la autoridad o de un cliente. Si estás comparando plataformas, la guía de software para flotillas vehiculares ayuda a ordenar los criterios de selección.
La protección de datos personales en software de flota empieza por saber qué datos tienes y termina en un contrato que te respalde. En medio hay decisiones de seguridad, de acceso y de procedimiento que le tocan a TI junto con legal. Hemos visto que las empresas que preguntan por seguridad de datos antes de contratar llegan a implementaciones más ordenadas. Para revisar cómo se maneja la información de tu flota, agenda una reunión con uno de nuestros especialistas cloudFleet. Conoce cómo te ayudamos a ordenar la información de tu operación.
