La seguridad de los datos personales no es un proyecto que termina cuando se instala una herramienta. La Ley 21.719 la conecta con la gestión de riesgos, la privacidad desde el diseño, la capacidad de responder ante incidentes y la obligación de demostrar que los controles funcionan.
Una empresa preparada no promete que nunca ocurrirá un incidente. Puede explicar qué riesgos identificó, qué medidas adoptó y cómo actuará si algo falla.
Seguridad no es sólo ciberseguridad
El material de la Academia Judicial explica que las vulneraciones pueden originarse en fallas técnicas, errores humanos, configuraciones débiles, contratos incompletos, accesos excesivos o ausencia de cultura de cumplimiento.
Por eso la revisión debe incluir:
- cuentas y permisos;
- cifrado y seudonimización cuando corresponda;
- respaldos y restauración;
- disponibilidad y continuidad;
- monitoreo y registros;
- proveedores y subencargados;
- capacitación y confidencialidad;
- gestión de vulnerabilidades;
- respuesta, comunicación y mejora.
La medida adecuada depende del tratamiento, la naturaleza del dato, el contexto, la tecnología, los costos y la probabilidad y gravedad de los riesgos.
Privacidad desde el diseño y por defecto
La prevención comienza cuando se crea un formulario, se implementa un CRM o se lanza una automatización. Incorporar privacidad desde el diseño significa decidir desde el inicio qué datos son necesarios, quién puede verlos, cuánto tiempo se conservarán y cómo se documentarán las acciones.
Por defecto, la configuración debería reducir la exposición: accesos limitados, campos mínimos, segmentación por roles, eliminación de cuentas inactivas y conservación acotada. Corregir al final suele ser más caro y deja más superficies de riesgo.
El ciclo de respuesta ante incidentes
Un procedimiento práctico debería contemplar al menos seis etapas:
- Detección: recibir y registrar la alerta.
- Evaluación: identificar datos, sistemas, personas y riesgos involucrados.
- Contención: detener el acceso o la propagación sin destruir evidencia.
- Decisión: definir escalamiento, responsables y comunicaciones.
- Reporte: cumplir las obligaciones aplicables ante la Agencia y, cuando corresponda, informar a los titulares.
- Aprendizaje: corregir causas, actualizar controles y documentar mejoras.
La rapidez importa, pero también la calidad del registro. Una bitácora incompleta dificulta demostrar qué ocurrió y qué medidas se tomaron.
Cuándo la comunicación es crítica
El material explica que existen obligaciones especiales de comunicación cuando un incidente afecta ciertos datos, entre ellos datos sensibles, datos de niños y niñas menores de catorce años o información económica, financiera, bancaria o comercial. La comunicación debe ser comprensible e informar los datos afectados, posibles efectos y medidas adoptadas.
La determinación concreta depende del caso y debe ser evaluada con asesoría especializada. El punto operacional es claro: la empresa debe saber quién decide, qué información necesita y qué canal utilizará.
Evidencia que conviene preparar antes
Antes de un incidente, conviene tener disponible:
- inventario de sistemas y datos;
- matriz de accesos y responsables;
- contactos de proveedores críticos;
- procedimiento de escalamiento;
- plantillas de comunicación;
- respaldos probados;
- registro de capacitaciones;
- pruebas de controles y restauración;
- historial de incidentes y acciones correctivas.
La existencia y funcionamiento de las medidas pueden ser relevantes en sede administrativa o judicial. La evidencia no se construye después de la filtración: se mantiene durante la operación.
Conclusión
La seguridad de datos personales es una capacidad transversal. Involucra tecnología, procesos, personas, proveedores y dirección. Prepararse antes de la entrada en vigencia de la ley permite detectar controles débiles cuando todavía es posible corregirlos con orden.
Para evaluar el estado actual de tu empresa, solicita un diagnóstico de preparación.
Nota editorial
Contenido general e informativo. La aplicación concreta de la Ley 21.719 debe validarse con asesoría jurídica especializada.
