Ley de datos personales: primeras tareas prácticas
Tareas prácticas para que una empresa chilena ordene sus datos personales: inventario, derechos de las personas y terceros. Pida orientación a IT Lab.
Chile cuenta con la Ley 19.628 y con la Ley 21.719, normas que abordan la protección y el tratamiento de datos personales. Más allá del texto legal, cuyo alcance determina el asesor legal, hay tareas técnicas y de orden interno que cualquier organización puede iniciar.
- Saber qué datos personales se tratan, dónde y quién los usa es el primer paso.
- Conviene organizar la atención de solicitudes de las personas y la relación con terceros.
- Orientación general; no reemplaza asesoría legal.
Primera tarea: inventario
No se puede proteger lo que no se conoce. Un inventario simple registra qué datos de personas maneja la organización (clientes, trabajadores, proveedores, postulantes), en qué sistemas están, con qué finalidad se usan, quién accede a ellos y por cuánto tiempo se conservan. Con una planilla ordenada se logra una primera versión útil. Esta información se conoce a menudo como registro de actividades de tratamiento.
Segunda tarea: atención de solicitudes de las personas
Las personas pueden consultar o pedir cambios sobre sus datos. Aunque el detalle de los derechos y los procedimientos corresponde al asesor legal, la organización puede definir internamente quién recibe una solicitud, cómo se registra y cómo se ubican los datos de una persona en los distintos sistemas. Un inventario ordenado hace posible esto.
Tercera tarea: terceros y proveedores
Muchos datos personales están en manos de proveedores: correo, hosting, sistemas de gestión, servicios en la nube. Conviene listar a esos terceros, identificar cuáles acceden a datos personales y revisar qué compromisos de seguridad y confidencialidad existen. Ese listado ayuda también a responder evaluaciones de clientes.
Cuarta tarea: medidas técnicas básicas
Controles como el segundo factor de autenticación, el cifrado, los respaldos y la limitación de accesos reducen la exposición. También lo hace usar datos sintéticos en pruebas, como se explica en Datos de prueba sintéticos.
Qué hacer
- Armar el inventario de datos personales con responsable asignado.
- Definir un canal y un responsable para recibir solicitudes de las personas.
- Listar proveedores con acceso a datos personales.
- Revisar accesos y respaldos de los sistemas que contienen esa información.
- Consultar al asesor legal sobre el alcance aplicable a su organización.
Preguntas frecuentes
¿Mi pyme debe preocuparse por esta ley? Cualquier organización que trate datos de personas tiene motivos para ordenar el tema; el alcance específico lo determina el asesor legal.
¿Basta con tener un sitio web con política de privacidad? Es una parte; el orden interno de los datos es la base.
¿Quién debe liderar el proceso? Un responsable designado, con apoyo de la gerencia, de TI y del asesor legal.
Una evaluación de proveedores bien preparada complementa esta labor; vea Evaluaciones de seguridad de proveedores.
En nuestro trabajo con organizaciones chilenas, vemos que partir por el inventario de datos y de terceros ordena el resto. Organizaciones que hemos acompañado han superado evaluaciones de seguridad de proveedores exigidas por sus clientes institucionales.
IT Lab acompaña a organizaciones chilenas en esto. Contáctenos.
¿Necesitas a alguien que se haga cargo de tu tecnología?
Cuéntanos qué necesitas ordenar, proteger o resolver. La primera conversación no tiene costo: evaluamos si nuestro modelo te sirve y cuáles serían los siguientes pasos.
Conversemos sobre tu empresa