Inventario de datos personales: qué guardas y quién responde

Los reglamentos de protección de datos parten de una definición amplia. El RGPD (art. 4.1) llama dato personal a toda información sobre una persona física identificada o identificable; la LGPD de Brasil (art. 5) y la ley 1581 de 2012 de Colombia parten de la misma idea. Lo decisivo es la palabra «identificable»: no hace falta un nombre, basta con que, con los medios razonables a mano, se pueda llegar a una persona concreta.

Por eso un inventario no busca solo columnas llamadas «nombre»: busca cualquier cosa que, sola o combinada con otra, señale a alguien.

Un código postal, una fecha de nacimiento y el sexo no son un nombre. Pero en una población pequeña, la combinación de los tres puede coincidir con una sola persona. Se llaman cuasi-identificadores: cada uno es inofensivo por separado y juntos reidentifican. Un buen inventario anota estas combinaciones, no solo los identificadores directos como el nombre, el correo o el documento.

Abre el laboratorio y mira las columnas de la tabla de clientes.

El registro de actividades de tratamiento (el RGPD lo pide en el art. 30) dice qué datos se tratan, para qué y dónde. Un inventario técnico y ese registro tienen que decir lo mismo. Cuando un almacén guarda datos personales y ninguna actividad lo nombra, nadie decidió su finalidad, nadie fijó su plazo y nadie sabrá que existe cuando llegue una solicitud de un titular.

Compara almacenes.txt con registro-de-actividades.txt.

El texto libre es donde los datos personales se cuelan: una columna de observaciones, comentarios o notas internas acaba con teléfonos, nombres de terceros o datos de salud que nadie previó. El inventario debe mirar el contenido de una muestra, no solo el nombre de la columna.

Revisa la muestra de la tabla de clientes.

Cada almacén con datos personales necesita un responsable: quien decide quién accede, cuánto se conserva y qué se contesta a un titular. «Sin asignar» significa que nadie responde. Para dimensionar el hallazgo, cuenta los almacenes que tienen datos personales y no tienen responsable.