El programa de privacidad y las normas de referencia

La Superintendencia de Industria y Comercio describe la responsabilidad demostrada como la capacidad de probar que se tomaron medidas apropiadas y efectivas para cumplir la ley, en proporción al tamaño, el tipo de datos y los riesgos de la organización; en la práctica, diseñar y activar un programa integral de gestión de datos, con un plan de revisión, supervisión, evaluación y control. La palabra importante es demostrar: una política firmada es un papel; el programa es lo que se hace con ella cada trimestre y lo que queda como rastro.

El plan anual de Cardiolar lista las actividades con su evidencia, su estado y su fecha. Un estado «hecho» sin evidencia es la peor combinación para un auditor: afirma algo que nadie puede enseñar. GRC lo trata como hallazgo, no como un descuido de captura.

El programa se sostiene en roles: quien responde por él ante la gerencia, quien vigila el cumplimiento (el oficial de protección de datos), y los dueños de cada tratamiento, que son quienes conocen para qué se usan los datos. Un rol sin persona designada es un tratamiento que nadie responde por él: cuando llegue una pregunta, no habrá a quién llamar.

Dos nombres aparecen siempre en las conversaciones de privacidad con vocabulario de normas internacionales. ISO/IEC 29100 es un marco de privacidad: define el vocabulario, los actores y un conjunto de principios de privacidad para quien diseña o gestiona sistemas que tratan datos personales. No es una norma contra la que se audite ni se certifique. ISO/IEC 27701 es la norma de requisitos y guía para un sistema de gestión de la información de privacidad, y sí se puede auditar y certificar; nació como extensión de la ISO/IEC 27001 y sus ediciones han cambiado, de modo que cuál rige y cómo se relaciona con la 27001 se confirma en la fuente oficial de ISO antes de decir nada en un informe.

Lo que importa a nivel de lectura es la diferencia de naturaleza.

Un indicador útil del programa es la cobertura de evaluaciones de impacto: de los tratamientos que según el tamizaje las requieren, cuántas están aprobadas. El estado está en el archivo de evaluaciones, y la regla de «requiere» es la del tamizaje interno de la sala anterior.