Datos personales que aparecen durante la prueba

La Ley 1581 de 2012 llama dato personal a cualquier información que se pueda asociar a una persona natural determinada o determinable: un nombre, una cédula, un teléfono, una cuenta bancaria, una placa. Dentro de ellos separa los datos sensibles, los que afectan la intimidad o pueden dar lugar a discriminación si se usan mal: entre otros, los relativos a la salud, a la vida sexual, el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos y los datos biométricos, como una huella o un rostro.

La diferencia importa en el encargo: con un dato personal la regla habitual es guardar la mínima muestra que pruebe el hallazgo, enmascarada; con un dato sensible lo prudente es no copiarlo en absoluto y describir dónde está, qué campo es y cuántos registros hay.

La cláusula del encargo dice cuántos registros se pueden guardar como evidencia y de qué forma. La razón es práctica: cada registro guardado es un registro que la firma evaluadora tiene que custodiar, cifrar y borrar después, y que podría filtrarse desde su lado. Un hallazgo de acceso indebido a una base se prueba con tres filas enmascaradas igual que con mil.

Abre el laboratorio, lee la cláusula y revisa la evidencia pieza por pieza.

Un dato sensible en la evidencia es un problema aunque sean dos registros y aunque estén en una captura de pantalla. La cláusula pide describirlo: qué campo, cuántos registros, en qué ruta. Con eso el cliente entiende el riesgo, puede ir a comprobarlo y nadie tiene una copia de más.

La cláusula fija un plazo de borrado contado desde un hito concreto del encargo, y pide un acta. Esa fecha va al calendario el primer día, no cuando alguien se acuerda.

La ley distingue al responsable del tratamiento, que decide sobre la base de datos y para qué se usa, del encargado del tratamiento, que trata datos por cuenta del responsable. La cláusula del encargo 14 dice que, para los datos que aparezcan, Socha actúa como encargado de Lechera de Guachetá. Eso trae deberes: guardar los datos con seguridad, dejar que los vea solo quien debe y no usarlos para nada distinto del encargo.

El jueves aparece, en el portal de proveedores, un listado de productores con nombre y cuenta bancaria que cualquiera puede descargar desde internet. La ley prevé que la autoridad sea informada cuando hay violaciones de seguridad que ponen en riesgo a los titulares; cómo se coordina ese aviso lo fija el contrato y lo decide el cliente con su asesor jurídico.