Inventario de bases de datos y registro ante la SIC

Primero: si la empresa está obligada

No todos los responsables deben inscribirse. La obligación depende de los criterios que la reglamentación fija sobre la naturaleza y el tamaño del responsable, y verificarla es el primer paso, porque inscribirse sin necesidad genera obligaciones de actualización y reporte que después hay que sostener en el tiempo. Entregamos esa verificación por escrito, con el criterio aplicado, la conclusión y lo que cambia si la empresa crece o cambia de forma jurídica.

El inventario es el trabajo real

El registro no se llena: se construye a partir de un inventario. La pregunta difícil no es qué campos pide el formulario, sino cuántas bases de datos existen de verdad y dónde se traza la línea entre una y otra. Agrupar todo en una sola base es cómodo y no describe nada; partirlo en veinte hace el registro imposible de mantener.

• Delimitación. Clientes, empleados, candidatos, proveedores, visitantes, videovigilancia, usuarios de la aplicación, contactos comerciales, bases heredadas.
• Finalidad de cada base. Redactada de manera que coincida con la política de tratamiento y con lo que efectivamente se autorizó.
• Categorías de datos. Con identificación separada de los datos sensibles y de los de niños, niñas y adolescentes.
• Origen. Canal por el que entró la información y forma en que consta la autorización del titular.
• Encargados. Quién trata cada base por cuenta de la empresa y dónde está alojada la infraestructura.
• Seguridad y conservación. Medidas aplicadas y tiempo durante el cual se mantiene la información.

Ese inventario es útil mucho más allá del trámite: es el mismo insumo que se necesita para responder un reclamo, para contestar un requerimiento de la autoridad y para saber a quién avisar si hay un incidente.

El trámite ante la Superintendencia

1. Revisión de la información societaria y de los datos del responsable que quedarán inscritos.
2. Consolidación del inventario con las áreas que administran cada base, no solo con jurídica o con tecnología.
3. Diligenciamiento y radicación del registro por cada base de datos identificada.
4. Atención de las observaciones o requerimientos que surjan durante el trámite.
5. Entrega de las constancias del registro y explicación de qué quedó inscrito exactamente.

El registro no es un trámite de una sola vez

Cambia cuando cambia la operación, y hay actualizaciones y reportes periódicos asociados a la información inscrita. Por eso el entregable no termina en la constancia. Dejamos por escrito qué hechos obligan a volver sobre el registro y quién debe darse cuenta de que ocurrieron.

• Apertura de una base nueva, un canal nuevo o una línea de negocio.
• Cambio de encargado, de proveedor de nube o de la ubicación de la infraestructura.
• Nuevas finalidades de uso o cambios relevantes en la política de tratamiento.
• Incidentes de seguridad, que se reportan por el mismo canal cuando la empresa está inscrita.
• Reclamos de titulares, que también se reflejan en la información que se reporta.

Qué recibe el cliente

• Un concepto escrito sobre si la empresa está obligada a inscribirse y desde cuándo.
• El inventario de bases de datos completo, en una hoja que el área responsable puede mantener internamente.
• El registro radicado ante la Superintendencia de Industria y Comercio, con sus constancias.
• Un instructivo corto sobre qué hechos obligan a actualizar y cómo se hace, con el responsable interno asignado.
• Los ajustes de la política de tratamiento cuando el inventario deja ver que no coinciden.

Situaciones típicas que atendemos

• Una empresa que creció, cruzó los criterios de la obligación y no lo había notado.
• Un registro hecho hace años que ya no describe la operación actual y nadie ha actualizado.
• Un grupo empresarial que necesita ordenar quién inscribe qué cuando varias sociedades comparten sistemas.
• Una compañía que necesita el registro al día para participar en una licitación o cerrar un contrato con un cliente grande.