Toda transportadora cree que no maneja datos personales sensibles, hasta que mira su propio panel de rastreo. Cada punto en el mapa es la ubicación de una persona física en tiempo real. Cada conductor tiene licencia de conducir, documento de identidad, jornada, biometría de telemetría y, muchas veces, datos de salud en el examen toxicológico. Cada cliente embarcador entrega contactos, direcciones y, en el last mile, el nombre y el teléfono del destinatario final. La LGPD no hizo excepción para el sector: se aplica de punta a punta en toda tu cadena.
Este es un checklist accionable, no un resumen de la ley. Cubre los seis puntos que un director de operaciones necesita resolver: mapear dónde viven los datos personales, justificar cada tratamiento con una base legal, evaluar el riesgo donde el riesgo es alto (el rastreo entra aquí), definir la retención, cerrar la seguridad técnica y contar con un plan de respuesta para cuando algo se filtre. Privacidad por diseño, no por parche.
Por qué una transportadora es un caso sensible de LGPD
El sector concentra justamente las categorías que la ANPD mira con más atención. Vale la pena entender lo que ya tratas, aunque no lo percibas:
- Geolocalización de personas físicas. El rastreo vehicular (SASCAR, Autotrac, Omnilink, Onixsat, Cobli, Geotab) no rastrea un camión: rastrea al conductor que maneja el camión. La ubicación continua de una persona identificada es un dato personal, y el historial de desplazamiento revela patrones de vida.
- Datos de los conductores. Documento de identidad, licencia de conducir, foto, jornada, telemetría de comportamiento (frenado, velocidad, fatiga) y, en el examen toxicológico y en el ASO, datos personales sensibles de salud, que tienen una regla propia, más estricta.
- Datos de clientes y destinatarios. En el B2B tienes los contactos del embarcador; en el last mile, el nombre, la dirección y el teléfono de personas que nunca te contrataron directamente.
- Imagen y voz. Cámaras de cabina (DMS/ADAS), portería y grabación de la central de atención.
Suma a esto el hecho de que esos datos no se quedan quietos: transitan entre el equipo de telemetría, el TMS (RODOPAR), el ERP (SAP, TOTVS, Sankhya, Omie) y hojas de cálculo por el camino. Cada salto es un punto donde el cumplimiento puede romperse.
1. Mapea dónde viven los datos personales
No proteges lo que no ves. El primer ítem, y el que más empresas se saltan, es el inventario de datos personales (el ROPA, registro de las operaciones de tratamiento). Para cada flujo, responde:
- ¿Qué dato? Documento de identidad, licencia de conducir, ubicación, telemetría, contacto del destinatario.
- ¿De quién? Conductor, cliente, destinatario, candidato.
- ¿Dónde queda? Plataforma de rastreo, TMS, ERP, BI y, sé honesto, en qué hojas de cálculo y correos electrónicos.
- ¿Por cuánto tiempo? ¿Y quién tiene acceso de lectura?
- ¿Hacia dónde va? Compartición con la aseguradora, el embarcador, la ANTT, la gestora de riesgo, los integradores.
En la práctica, el punto ciego casi siempre es la integración: el dato que sale de SASCAR y llega a RODOPAR mediante un script que nadie documentó, o el reporte de BI que alguien exporta a WhatsApp. Mapear es también el momento de eliminar lo que no necesita existir: la hoja de cálculo por el camino es, al mismo tiempo, un riesgo operacional y un riesgo de LGPD.
2. Define la base legal de cada tratamiento
Todo tratamiento necesita una base legal entre las diez del Art. 7º. El error común es apoyarlo todo en el consentimiento, que es frágil, revocable y, en el contexto de una relación de empleo, jurídicamente cuestionable. Para una transportadora, las bases que realmente sostienen la operación suelen ser:
- Ejecución de contrato: rastrear la carga y tratar datos del destinatario para concluir la entrega.
- Obligación legal/regulatoria: exigencias de la ANTT, fiscales y laborales.
- Interés legítimo: seguridad patrimonial, prevención del robo de carga, gestión de flota. Aquí la regla es clara: el interés legítimo exige un test de balanceo (LIA) documentado, que demuestre que la finalidad no atropella los derechos del conductor.
- Protección de la vida: en situaciones de emergencia (accidente, secuestro del vehículo).
El dato sensible de salud (toxicológico, ASO) tiene una lista propia y, por regla general, no se apoya en el interés legítimo. Mapear la base correcta para cada flujo es lo que separa una defensa sólida de una multa.
3. Haz un DPIA donde el riesgo es alto
El Informe de Impacto a la Protección de Datos (DPIA / RIPD) es tu evaluación de riesgo por escrito. No se exige para todo: se exige (y se recomienda enfáticamente) cuando el tratamiento es de alto riesgo. En una transportadora, esto se enciende para:
- Monitoreo sistemático y continuo de la ubicación de los conductores.
- Telemetría de comportamiento y cámaras de fatiga que infieren el estado de la persona.
- Tratamiento de datos sensibles de salud a escala.
Un buen DPIA describe el tratamiento, evalúa la necesidad y la proporcionalidad, enumera los riesgos para el titular y, lo que más importa, registra las medidas de mitigación. Es el documento que la ANPD pide primero en una fiscalización. Tenerlo listo antes del incidente vale más que cualquier política bonita en el pie de página del sitio.
4. Establece una política de retención y descarte
Un dato personal no es un archivo muerto: guardarlo más allá de su finalidad es, por sí solo, una irregularidad. El principio es el de la necesidad: mantenerlo por el tiempo necesario y luego eliminarlo o anonimizarlo. Define, por categoría, un plazo claro:
- Historial de rastreo: ¿cuánto tiempo necesita existir la ubicación punto a punto? Pasado el plazo operacional/legal, agrega o anonimiza.
- Datos de candidatos no contratados: descarta después del proceso, salvo consentimiento para un banco de talentos.
- Datos de conductores desvinculados: retén solo lo exigido por la legislación laboral; el resto, elimínalo.
Lo ideal es que el descarte sea automático, ejecutado por el propio sistema, de la recolección al descarte, sin depender de que alguien recuerde borrar una hoja de cálculo. Retener "por las dudas" es exactamente lo opuesto a la privacidad por diseño.
5. Cierra la seguridad técnica
La LGPD exige medidas técnicas y administrativas "aptas para proteger" los datos. Traducido a la operación:
- Control de acceso por rol. Quien opera el patio no necesita ver el historial de ubicación de todos los conductores. Privilegio mínimo, siempre.
- Cifrado en tránsito y en reposo, incluso en las integraciones entre el rastreador, el TMS y el ERP.
- Logs y traza de auditoría. Saber quién accedió a qué y cuándo no es un lujo: es lo que prueba la diligencia en una fiscalización.
- Anonimización y seudonimización en entornos de BI y de prueba: el panel de indicadores rara vez necesita el documento de identidad.
- Gestión de proveedores (operadores). La plataforma de rastreo y el integrador son operadores; el contrato necesita prever las obligaciones de protección. La responsabilidad no termina en tu puerta.
Es aquí donde la seguridad y la gobernanza de datos se encuentran, y donde un pentest revela lo que la política en el papel no ve.
6. Ten un plan de respuesta a incidentes
Una filtración no es una hipótesis remota; es cuestión de cuándo. La LGPD obliga a comunicar a la ANPD y a los titulares en un plazo razonable cuando el incidente pueda generar un riesgo relevante. Sin plan, la empresa improvisa en el peor momento. Lo mínimo:
- Quién activa a quién: flujo claro entre TI, jurídico, el encargado y la dirección.
- Encargado (DPO) designado y publicado: canal de contacto visible para que el titular ejerza sus derechos.
- Modelo de notificación listo, para no redactar bajo presión.
- Capacidad de identificar el alcance: qué titulares y qué datos fueron afectados. Sin el inventario del ítem 1, esto es imposible.
Los seis ítems se sostienen mutuamente: el mapeo alimenta el DPIA, la seguridad protege lo que fue mapeado, y el plan de respuesta solo funciona si sabes qué tienes. Es un sistema, no una lista de tareas sueltas.
Cómo Meta Dados lo conduce en la práctica
El cumplimiento de una transportadora se traba casi siempre en el mismo punto: los datos personales están dispersos entre el rastreador, el TMS, el ERP y las hojas de cálculo, y nadie tiene el mapa completo. Es exactamente el terreno donde unimos dos frentes: ingeniería de integración y ciberseguridad.
Nuestro método de seguridad nace de la formación científica (Doctorado USP, Ingeniería ITA) y de la escuela israelí de ciberseguridad ofensiva (Ben-Gurion): probamos la operación como la probaría un atacante, antes de que la prueben por ti. En el frente de datos, hacemos el mapeo (ROPA), la definición de la base legal, el DPIA de los flujos de alto riesgo, la política de retención con descarte automatizado y el endurecimiento técnico de las integraciones, incluido el fin de las hojas de cálculo por el camino. Privacidad por diseño, no por parche.
Comienza con un diagnóstico gratuito en 48 horas: miramos tus flujos reales de datos personales y señalamos dónde está el riesgo concreto, sin promesas vagas, con evidencia que la dirección entiende.
Preguntas frecuentes
¿Una transportadora realmente necesita adecuarse a la LGPD?
Sí, y está entre los sectores más expuestos. El rastreo es geolocalización de personas físicas, y los datos de los conductores incluyen información sensible de salud (examen toxicológico, ASO). La LGPD se aplica del embarcador al destinatario final, sin excepción sectorial.
¿El rastreo del conductor se considera un dato personal según la LGPD?
Sí. La ubicación continua de una persona identificada es un dato personal, y el historial de desplazamiento revela patrones de vida. Al ser un monitoreo sistemático, suele exigir una base legal de interés legítimo con un test de balanceo documentado y, en muchos casos, un DPIA.
¿Puedo usar el interés legítimo para rastrear mi flota?
En general sí, para la seguridad patrimonial y la prevención del robo de carga. Pero el interés legítimo no es automático: exige un test de balanceo (LIA) por escrito que demuestre que la finalidad no atropella los derechos del conductor, además de transparencia sobre el monitoreo.
¿Cuánto tiempo puedo guardar el historial de rastreo?
Solo por el tiempo necesario para la finalidad y para eventuales obligaciones legales. No existe un plazo único en la ley: tú lo defines por categoría y lo documentas. Pasado el plazo, la recomendación es anonimizar o agregar el historial de ubicación, en lugar de mantenerlo identificado por las dudas.
¿Qué es el DPIA y está la transportadora obligada a hacerlo?
El DPIA (o RIPD) es el informe de impacto que evalúa el riesgo de un tratamiento y registra las medidas de mitigación. Se recomienda enfáticamente y con frecuencia se exige en tratamientos de alto riesgo, como el monitoreo continuo de conductores y el tratamiento de datos de salud. Es el primer documento que la ANPD pide en una fiscalización.
¿Cuánto tiempo lleva adecuar una transportadora a la LGPD?
Depende de la madurez y del número de sistemas integrados, pero el diagnóstico inicial sale en 48 horas y muestra dónde están los riesgos concretos. La adecuación suele ser por fases, empezando por el mapeo y por los flujos de mayor riesgo, sin detener la operación.