¿Qué datos personales trata una empresa y cómo identificarlos?

Dato personal es información vinculada a una persona identificada o identificable

La Ley 21.719 define dato personal como cualquier información vinculada o referida a una persona natural identificada o identificable. No se limita al nombre o al RUT: la identificación puede ser directa o indirecta, según los medios razonablemente utilizables en el contexto.

Una dirección de despacho, un correo, un identificador de cliente, registros de navegación asociados a una persona, una voz grabada o la combinación de datos que permite distinguirla pueden requerir análisis. La pregunta útil es si la información puede relacionarse con una persona natural, no si parece confidencial a primera vista.

Marca desde el inicio los datos sensibles y de mayor riesgo

La ley considera sensibles, entre otros, los datos que revelan origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones, creencias religiosas, salud, perfil biológico, biometría, vida sexual, orientación sexual e identidad de género.

Identificarlos no significa que todo tratamiento esté prohibido. Significa que no deben mezclarse con el levantamiento ordinario y que necesitan una revisión más cuidadosa de finalidad, fundamento, acceso, seguridad y conservación.

Cómo construir un inventario inicial sin detener la operación

Comienza por procesos, no por carpetas. Conversa con ventas, personas, finanzas, operaciones, soporte y tecnología para registrar cómo ingresa y circula la información. Después podrás profundizar los procesos que presenten más riesgo o volumen.

• Proceso: por ejemplo, venta en línea, contratación, atención de clientes o postulación laboral.
• Titulares y datos: qué personas intervienen y qué categorías de información se usan.
• Finalidad y origen: para qué se recolectan los datos y desde dónde llegan.
• Sistemas y accesos: dónde se almacenan, quién los usa y con qué permisos.
• Destinatarios y proveedores: con quién se comunican, comparten o tratan por cuenta de la empresa.
• Conservación y riesgo: cuánto tiempo se requieren, qué ocurre al terminar y qué elementos ameritan revisión prioritaria.

Errores que el inventario ayuda a descubrir

Un buen levantamiento suele revelar formularios que piden información innecesaria, exportaciones sin dueño, accesos que no se revocaron, proveedores que no estaban considerados o políticas que ya no coinciden con la práctica.

El inventario tampoco debe quedarse inmóvil. Cada sistema nuevo, cambio de proveedor o nueva campaña puede modificar el tratamiento. Asignar un dueño y una fecha de revisión convierte el documento en una herramienta de gobierno, no en una fotografía vieja.