El inventario de tratamientos y sus bases

El inventario de tratamientos es la lista de para qué se usan los datos personales de la organización. La unidad no es la base de datos ni la aplicación: es la finalidad. Un mismo servidor puede sostener tres tratamientos distintos, y un mismo dato (el celular) puede estar en dos con bases diferentes. Por eso cada ficha lleva: la finalidad, los datos, si hay datos sensibles, quiénes son los titulares y cuántos, la base que lo legitima, cuánto tiempo se conserva, qué terceros lo tratan por encargo y si los datos salen del país.

Abre el inventario de Cardiolar y mira cómo están hechas las fichas.

Todo tratamiento necesita una razón jurídica que lo sostenga. En la ley colombiana de protección de datos (Ley 1581 de 2012) la regla de partida es la autorización previa del titular, con excepciones que la propia ley enumera; otros regímenes manejan una lista distinta de bases, y el módulo 11 es el lugar para compararlos. GRC no decide cuál es la correcta: lo que sí hace es detectar la ficha donde nadie la escribió. Una base en blanco en un tratamiento que ya opera es un hallazgo, no un detalle de formato.

Los datos de salud entran en la categoría de datos sensibles: los que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Que un inventario los marque bien importa porque de ahí salen las medidas más exigentes y, como verás en la sala de la evaluación de impacto, el aviso de cuándo hay que evaluar antes de empezar.

El indicador que un comité pide primero es un conteo. Cuenta las fichas del inventario, incluida la propuesta, que declaran datos sensibles.

Cuando un proveedor trata datos por cuenta de la organización es encargado, y lo que puede hacer con ellos lo fija un contrato o un documento equivalente. Sin esa regla escrita, el responsable no tiene cómo exigir qué se hace con los datos, ni cómo probar que lo pidió. En la ficha de cada tratamiento hay una línea de encargados; en el registro de encargados está el estado del contrato.

El inventario también recoge lo que se propone, no solo lo que opera: el proyecto RT-09 comparte con una aseguradora un puntaje de riesgo cardíaco, y su ficha dice que la base está «por definir en la evaluación de impacto». Para GRC un valor pendiente no se rellena para que la tabla quede completa: se deja pendiente y se ata a lo que lo resuelve.