Protección de Datos Personales

La ley se aplica por el hecho de tratar datos personales, no por el tamaño de la empresa. Una compañía con pocos empleados que administra una base de clientes, una nómina y un formulario de contacto ya está tratando datos y le corresponden las obligaciones de política, autorización y atención al titular. Lo que sí cambia con el tamaño y con otros criterios es la obligación de inscribirse en el Registro Nacional de Bases de Datos, que verificamos caso por caso.

Un inventario de las bases de datos y de los flujos de información, la política de tratamiento, el aviso de privacidad, los textos de autorización adaptados a cada punto de recolección, los acuerdos de tratamiento con los encargados que lo requieran, el protocolo de atención de consultas y reclamos y el protocolo de incidentes. Todo se entrega en formato editable, para que la empresa pueda mantenerlo cuando cambie la operación.

Sirve para tener un documento, no para cumplir. La política debe describir las finalidades reales del tratamiento y los canales que la empresa efectivamente atiende. Una política copiada suele anunciar finalidades que no existen y omitir las que sí, y esa diferencia es lo primero que se nota cuando un titular reclama o cuando la autoridad pide explicaciones. Además, la política sola no basta: hay que bajarla a los formularios, contratos y guiones donde se recogen los datos.

En la transmisión un tercero trata los datos por cuenta del responsable y siguiendo sus instrucciones, como ocurre con un proveedor de nube o una nómina tercerizada. En la transferencia el receptor recibe los datos para tratarlos por cuenta propia. La distinción determina qué obligaciones asume cada parte, qué debe decir el contrato y qué requisitos adicionales aplican cuando el destinatario está en el exterior.

No siempre. El derecho de supresión tiene límites: hay información que la empresa debe conservar por un deber legal o contractual, por ejemplo soportes contables o documentos de una relación laboral terminada. Lo que sí es obligatorio es responder dentro de los plazos legales, explicar la decisión y dejar constancia. Por eso el protocolo define de antemano qué se suprime, qué se conserva y con qué fundamento, para que el equipo de servicio no improvise.

Contener y documentar, en ese orden, antes de comunicar nada hacia afuera. Necesitamos saber qué datos se vieron afectados, de cuántas personas, por qué vía salieron y si el acceso sigue abierto. Con eso se define si procede el reporte a la Superintendencia de Industria y Comercio y la comunicación a los titulares, y se redactan esos textos. Los borradores improvisados en las primeras horas suelen ser el mayor problema del caso, así que conviene llamarnos antes de enviarlos.

Es urgente. Desde la notificación empieza a correr un término y lo que se radique condiciona toda la discusión posterior, incluida una eventual formulación de cargos. Lo primero que hacemos es verificar la fecha de notificación y el término aplicable, revisar qué documentación existe realmente y definir la posición de la empresa antes de responder. Una respuesta apresurada puede reconocer hechos que después no se pueden matizar.

Depende de las finalidades que se hayan informado al titular y del tipo de datos involucrados. Si la autorización se obtuvo para otra cosa, usar esa base para entrenar un modelo puede exceder la finalidad autorizada. Revisamos qué se autorizó, qué alternativas existen (anonimización, nueva autorización, limitación del conjunto de datos) y qué debe quedar documentado antes de empezar. Ese análisis lo hacemos junto con nuestra práctica de auditoría e implementación de IA.