Privacidad desde el diseño y por defecto

El primer gesto del diseño es la minimización: recoger solo los datos adecuados, pertinentes y limitados a lo que la finalidad necesita. La Superintendencia de Industria y Comercio vincula la privacidad desde el diseño y por defecto con la responsabilidad demostrada en sus guías, como una medida proactiva. En la práctica es una pregunta que se hace campo por campo: ¿para qué finalidad del inventario sirve este dato?

Esa pregunta se contesta con el cruce entre la especificación del formulario y el inventario de tratamientos. Una columna del formulario traza a qué fichas sirve cada campo; los campos con «ninguna» en esa columna son hallazgos de minimización.

La privacidad por defecto significa que, sin que el titular haga nada, solo se tratan los datos necesarios para el servicio y nada se comparte de más. El valor con el que nace una cuenta es una decisión de diseño con consecuencias: casi nadie cambia un valor por defecto, así que lo que queda encendido es lo que de verdad pasa. El equipo de Cardiolar lo escribió como principio: lo que no sea necesario para el servicio arranca apagado.

«Anonimizado» es una afirmación fuerte: significa que ya no es posible llegar a la persona. «Seudonimizado» es otra cosa: se reemplaza el identificador por otro, pero quien guarde la clave de correspondencia o pueda combinar los demás datos puede volver a la persona. Un conjunto con huella estable del documento, fecha de nacimiento, código postal y sexo, más una tabla interna que guarda la correspondencia, sigue siendo información de personas identificables.

La última pata del diseño es el tiempo. Una política de retención escrita no protege a nadie si la tarea que borra los datos está configurada con otro valor. La lectura de GRC es contrastar el papel con la configuración: política interna contra valor real, y calcular la diferencia.