Datos personales dentro de la evidencia

La Ley 1581 de 2012 regula en Colombia el tratamiento de datos personales: cualquier información que se refiera a una persona identificada o identificable, como un nombre, un correo o un número de identificación. Dentro de ellos la ley destaca los datos sensibles, los que afectan la intimidad o pueden dar lugar a discriminación, y pone entre sus ejemplos los relativos a la salud y los datos biométricos. Su tratamiento está, como regla general, prohibido salvo en los casos que la propia ley admite. La autoridad que vigila su cumplimiento es la Superintendencia de Industria y Comercio.

Para el analista la consecuencia práctica es clara: un dato sensible que aparece en la evidencia se toca lo mínimo, no se copia y no se mueve fuera del lugar restringido donde está.

Abre el laboratorio y ejecuta SELECT * FROM hallazgos. Cada hallazgo trae el tipo de dato y si hace falta para responder lo que el cliente preguntó.

Un dato de personas que sí hace falta, como la lista de cuentas que hay que rotar, se usa para eso y se guarda con acceso limitado. Uno que no hace falta y además es sensible se deja donde está: se anota que existe, sin reproducirlo.

El informe viaja más lejos que el volcado: lo leen directivos, lo archivan, lo reenvían. Lo que aparezca en él deja de estar en el laboratorio. Un buen informe describe que hubo datos de pacientes en memoria, cuántos y de qué clase, sin nombrar a nadie; y si una lista es necesaria, va en un anexo restringido para quien deba actuar con ella.

Ejecuta SELECT * FROM borrador_informe.

Entre los principios de la Ley 1581 están el de finalidad (el dato se usa para el propósito para el que se obtuvo) y el de acceso y circulación restringida (solo lo ven quienes lo necesitan para ese propósito). En el laboratorio se traduce en un registro de accesos donde cada apertura tiene un motivo ligado al caso.

Ejecuta SELECT * FROM accesos_al_volcado.

Si el cliente tiene que valorar si notifica a la autoridad o a los afectados, necesita una cifra: cuántas personas distintas tienen datos personales en la evidencia. Esa decisión no es del analista, pero la cifra sí la da el análisis, y se da sin nombres.