Inventario de datos personales en el código y la base

Para la ley colombiana de protección de datos (Ley 1581 de 2012), dato personal es cualquier información que se pueda asociar a una persona natural concreta o que permita identificarla. No hace falta que sea un nombre: un número de documento, un correo, un celular, una foto o el historial de ingresos a una sede también lo son, porque con ellos se llega a alguien.

Dentro de esa familia, la ley separa los datos sensibles: los que tocan la intimidad o cuyo mal uso puede llevar a discriminar. Su artículo 5 nombra, entre otros, el origen racial o étnico, las opiniones políticas, las creencias, la pertenencia a sindicatos u organizaciones, los datos de salud, la vida sexual y los datos biométricos. Tratarlos está prohibido salvo excepciones, como la autorización explícita del titular.

Para quien revisa una aplicación, la consecuencia es práctica: una columna sensible no se clasifica por su tipo técnico (texto, número, archivo) sino por lo que dice de la persona. El inventario es el documento donde esa clasificación queda escrita, y de él dependen después la retención, el enmascarado y la evaluación de impacto.

Un inventario suele nacer de la memoria del equipo que lo escribe: lo que ese equipo programa y ve todos los días. Lo que añadió otro equipo, o lo que se creó para una necesidad puntual, se queda fuera. Por eso no se revisa leyendo el inventario, sino cruzándolo con la fuente de verdad: el esquema de la base desplegada.

El método es sencillo y repetible: recorre cada tabla del esquema y busca su nombre en el inventario. Una tabla que no aparece ni una vez no tiene finalidad declarada, ni plazo de retención, ni dueño; y una columna de texto libre en ella puede estar guardando cosas que nadie decidió guardar.

Que un dato esté en el inventario no basta: tiene que estar en la categoría correcta. Un error frecuente es llamar «técnico» a algo porque lo genera una máquina. La pregunta correcta no es quién lo produjo, sino si sale del cuerpo o de la conducta de una persona y sirve para reconocerla.

Si un dato sensible queda clasificado como técnico, ninguno de los controles que la empresa reserva para los sensibles se le aplica: ni la autorización explícita, ni el acceso restringido, ni la evaluación de impacto. La clasificación errónea se propaga a todo lo demás.

La columna de destinatarios del inventario dice a quién se entrega cada dato. En la práctica, esa entrega no la decide un documento sino una línea de código que arma la llamada al proveedor. Un desarrollador que añade un campo «para una campaña» cambia los destinatarios sin tocar el inventario.

Por eso la revisión baja al código de integraciones: por cada llamada a un tercero, qué campos del socio viajan, y si el inventario declara ese tercero para cada uno de ellos. La ley exige que el uso respete la finalidad informada al titular; un campo que sale hacia un proveedor sin estar declarado es una finalidad nueva que nadie autorizó.