Inventario de datos personales: el documento que nadie quiere hacer
Un paso a paso para mapear el tratamiento, la base legal y la retención sin paralizar la operación durante semanas.
El inventario de tratamiento de datos personales (el ROPA, en el vocabulario del GDPR) tiene mala fama bien merecida. En la mayoría de las empresas nace como una planilla gigante, se llena a punta de esfuerzo concentrado y envejece en tres meses.
El problema no es el documento. Es el orden en que suele hacerse.
Empieza por el proceso, no por el sistema
La tentación es listar sistemas y catalogar campos. Eso produce un inventario técnicamente correcto e inútil para decidir: nadie puede decir, mirando una lista de tablas, si ese tratamiento tiene base legal.
Empieza por los procesos de negocio que tratan datos de personas: contratar, vender, atender, despedir, cobrar. Son pocos, tienen un dueño claro y cada uno responde por qué trata el dato.
Las siete preguntas por proceso
Para cada proceso, responde en una línea:
- Qué finalidad justifica el tratamiento
- Qué categorías de datos se tratan, y si hay datos sensibles
- De quién son esos datos: cliente, colaborador, candidato, tercero
- Qué base legal sustenta la finalidad
- Con quién se comparte el dato, dentro y fuera de la empresa
- Por cuánto tiempo se conserva, y qué pasa después
- Dónde reside, incluida la transferencia internacional
Siete respuestas cortas valen más que setenta campos llenados a medias.
La base legal es una decisión, no un casillero que se llena
El error más frecuente es marcar "consentimiento" para todo. El consentimiento es la base más frágil: puede revocarse, exige prueba de que fue libre e informado, y no sirve para lo que la empresa haría de todos modos.
La nómina no depende del consentimiento: depende de una obligación legal. La entrega de un pedido se sustenta en la ejecución del contrato. La prevención del fraude suele caer en el interés legítimo, y ahí la prueba de proporcionalidad tiene que estar escrita, no presumida.
Elegir la base equivocada no es un detalle formal: cambia el derecho que el titular puede ejercer y la defensa que tendrá la empresa.
La retención es donde el inventario se vuelve útil
Casi toda empresa guarda más de lo que necesita y por más tiempo del que puede justificar. Definir el plazo por finalidad es el punto del inventario que genera más valor inmediato: reduce la superficie de riesgo, el costo de almacenamiento y el alcance de un incidente.
Cuidado con el plazo heredado de otra área. "Guardamos cinco años porque lo exige el área fiscal" puede valer para la factura, no para el historial de navegación adjunto a ella.
Y un plazo sin rutina de eliminación es una intención. Si nadie borra, el plazo escrito solo documenta el incumplimiento.
Mantenlo vivo con un disparador, no con un calendario
La revisión anual es el camino más corto hacia el documento obsoleto. Lo que mantiene actualizado un inventario es un disparador de proceso: un sistema nuevo, un proveedor nuevo, una finalidad nueva o un cambio de alcance obligan a actualizarlo antes de pasar a producción.
Atarlo al flujo que ya existe (aprobación de contrato, apertura de proyecto) cuesta menos que crear un ritual propio.
El tamaño justo
Un buen inventario cabe en pocas páginas por área y lo lee quien decide. Si el tuyo tiene trescientas líneas y solo lo entiende el encargado de protección de datos (DPO), no va a sobrevivir al primer cambio de gestor.
Empieza por los tres procesos que tratan más datos sensibles. Publícalo. Después amplía. Un inventario parcial y vivo protege más que un inventario completo y muerto.
¿Quieres convertirte en especialista en gobernanza de datos? Habla ahora con nuestros especialistas y conoce MDM Academy
Quiero ser alumno