Datos de ciudadanos durante la prueba

La Ley 1581 de 2012 distingue al responsable del tratamiento, que decide sobre la base de datos y su uso, del encargado, que trata datos personales por cuenta del responsable. Entre sus principios están el de seguridad (medidas técnicas, humanas y administrativas contra pérdida o acceso indebido) y el de acceso y circulación restringida. La misma ley pide al responsable informar a la autoridad de protección de datos, la Superintendencia de Industria y Comercio, cuando se violan los códigos de seguridad y hay riesgo para la información de los titulares.

Lee la cláusula 9 del contrato para ubicar a Pruebas Saucito en esa distinción.

Demostrar un hallazgo que expone datos exige un registro, enmascarado. Guardar miles «para medir el alcance» no añade prueba: añade una segunda base de datos sensible, ahora en manos del evaluador. El alcance se describe con la cifra que da la propia entidad o con una estimación, no copiando los datos.

La Ley 1581 llama sensibles a los datos cuyo uso indebido afecta la intimidad o puede causar discriminación: entre otros, el origen racial o étnico, la orientación política, las convicciones religiosas, la pertenencia a sindicatos, los datos de salud, la vida sexual y los biométricos. Un nombre con su dirección es dato personal; un diagnóstico es dato sensible, y su tratamiento tiene reglas más estrictas.

La destrucción de la evidencia no queda a criterio del evaluador: la fija el contrato, se cuenta desde un hecho concreto y se documenta con un acta. Calcularla bien es parte del cierre del encargo.

La bitácora del 12 de marzo registra que una PQRSD de prueba devolvió el adjunto de otra PQRSD real. Esa situación tiene un orden: detener la línea de prueba, guardar lo mínimo que demuestra el hecho y avisar a la entidad por el canal acordado. La decisión de notificar a la autoridad de protección de datos es del responsable, no del evaluador, y el evaluador no la adelanta por su cuenta.