La ley de datos ya le aplica. ¿Su empresa puede demostrarlo?

Los expedientes clínicos son datos sensibles con protección reforzada. Una clínica o laboratorio debe demostrar controles de acceso por rol, trazabilidad de quién consulta cada expediente y respaldos que permitan recuperar la información sin pagar rescates. El consentimiento del paciente y la confidencialidad del personal deben estar documentados. Vea qué exige la LPDP a una clínica privada.

Colegios y universidades tratan datos de menores de edad, con exigencias adicionales de consentimiento de padres o tutores. Las plataformas educativas, los registros académicos y las fotografías de estudiantes entran en el alcance de la ley. La pregunta del comité de padres ya no es si hay cámaras: es quién ve los datos. Vea lo que un colegio debe tener en orden.

Despachos, consultoras y centros de servicios tratan datos por encargo de sus clientes. Eso los convierte en responsables frente a la ley y frente al contrato: cada vez más clientes corporativos exigen cuestionarios de seguridad y evidencia de controles antes de firmar o renovar. Su cumplimiento es, literalmente, un requisito comercial.

Bases de clientes, programas de fidelidad, facturación electrónica, datos de conductores y planillas: todo es dato personal. Los exportadores enfrentan además los estándares del comprador internacional, que suele exigir prácticas equivalentes a normas como ISO 27001 en su cadena de suministro. Vea el cuestionario de seguridad que su comprador le va a enviar.

Aquí el marco de datos se suma a la regulación existente: normativas de la SSF y lineamientos del BCR sobre gestión de riesgo tecnológico, continuidad y seguridad de la información. La entidad debe armonizar ambos frentes para no duplicar esfuerzos ni dejar brechas entre uno y otro. Vea cómo salir del ciclo de hallazgos de la SSF.

Sí. La ley aplica al tratamiento de datos personales por parte de entidades privadas sin importar su tamaño. Si su empresa guarda datos de clientes, empleados o proveedores, ya trata datos personales. Lo que varía con el tamaño y el riesgo es la proporcionalidad de las medidas, no la obligación de cumplir.

La ley exige notificar los incidentes que afecten datos personales en los plazos que establece, además de contener el incidente y mitigar el daño a los titulares. Llegar a ese momento sin plan de respuesta, respaldos probados y roles definidos multiplica el costo. La preparación previa es la diferencia entre un incidente y una crisis.

La ley contempla la figura de un responsable de protección de datos según el perfil de la entidad y el tipo de tratamiento. Aun cuando no sea exigible en su caso, designar a un responsable con funciones documentadas es la práctica que un auditor o un cliente corporativo espera encontrar, y ordena todo lo demás.

Ayuda, pero no es automático. Los marcos de seguridad cubren buena parte de las medidas técnicas, pero la ley de datos añade obligaciones propias: finalidades, consentimiento, derechos de los titulares y notificación de brechas. Lo eficiente es armonizar los marcos en un solo sistema de controles con evidencia común, en lugar de cumplir cada uno por separado.