Quién responde cuando se filtra un dato personal por el registro maestro

Cuando un dato personal se escapa por un registro maestro —una hoja de cálculo compartida con un proveedor, un campo de observaciones con información de salud, una base exportada por alguien que ya se fue—, la primera pregunta siempre es "de quién es la culpa". Es la pregunta equivocada. La correcta es: quién responde, por qué parte, y qué debería haber hecho cada uno antes.

El controlador es la empresa, no una persona

Controlador es quien decide sobre la finalidad y los medios del tratamiento. En la práctica casi siempre es la propia empresa, como persona jurídica. No es el gerente del área ni el equipo de TI.

Esto tiene una consecuencia directa: la responsabilidad no se traslada al empleado que operó. Puede generar consecuencias laborales internas, pero ante el titular y ante la autoridad responde el controlador.

El operador ejecuta por cuenta del controlador

Operador es quien trata datos personales en nombre del controlador: el proveedor de nómina, el servicio de email marketing, la consultoría que recibió un extracto para analizar.

El operador tiene obligaciones propias y responde solidariamente cuando incumple la instrucción recibida o la ley. Pero fíjate en la inversión que suele sorprender a las empresas: si el controlador no dio una instrucción escrita, es difícil sostener que el operador la incumplió.

De ahí la importancia del contrato con cláusula de tratamiento, finalidad limitada, prohibición de subcontratar sin aviso y obligación de comunicar incidentes en un plazo corto. Sin eso, la filtración en el proveedor se vuelve problema íntegramente tuyo.

El DPO no es el culpable de guardia

El encargado de protección de datos (DPO) es el canal de comunicación con los titulares y con la autoridad, y orienta a la empresa. No es él quien responde por el incidente, y no debería ser él quien decida sobre la finalidad: quien decide es el negocio.

Un DPO sin acceso a la decisión y sin presupuesto es una figura decorativa. Y un DPO que acumula la operación de lo que debería fiscalizar tiene un conflicto de intereses evidente.

Qué cambia en el registro maestro

Tres controles resuelven la mayor parte de los incidentes que nacen ahí.

El campo libre es por donde entra el dato sensible no previsto. "Observaciones" recibe información de salud, de origen racial, de procesos judiciales. Restringir, orientar y revisar periódicamente vale más que cualquier política.

La exportación sin rastro es el segundo. Quién puede descargar la base completa, con qué justificación, y dónde queda eso registrado.

El acceso que sobrevive a la salida de la persona es el tercero. Revisión de accesos por evento de RR. HH., no por calendario.

Cuando ocurre el incidente

Contén primero, documenta durante. Registra la hora, lo que se sabía en cada momento y quién decidió qué: esa línea de tiempo es lo que sustenta la comunicación a la autoridad y al titular.

Evaluar si hay riesgo relevante para el titular es una decisión jurídica y de negocio, y el criterio no es las ganas de evitar la exposición. Comunicar tarde, habiéndolo sabido temprano, agrava la situación.

Qué hacer antes

Contrato con el operador. Inventario que diga dónde hay datos sensibles. Plazo de retención con una rutina de eliminación que funcione. Registro de la decisión sobre la base legal.

Ninguno de estos cuatro es técnico, y por eso suelen faltar.