Privacidad de los registros de un modelo

Un registro de monitoreo tiene dos tipos de contenido con riesgos distintos. Los metadatos (conteos, tokens, costos, versiones, decisiones del filtro) casi no identifican a nadie y sirven durante meses para ver tendencias. El texto de las conversaciones identifica con facilidad y sirve sobre todo para investigar un incidente reciente. Por eso conviene guardarlos aparte, con retenciones y accesos distintos: metadatos por mucho tiempo, texto por poco, con los datos personales enmascarados antes de guardar y con acceso solo de quien lo necesita y deja un motivo.

En Colombia, la Ley 1581 de 2012 regula el tratamiento de datos personales; esta sala no cita plazos legales, trabaja con la política interna del escenario. El criterio de fondo es el de siempre: guardar lo justo, el tiempo justo y con el acceso justo.

Una política dice qué debería pasar; el inventario de almacenes dice qué pasa. Cada copia de un registro con texto es otro sitio donde puede filtrarse, y las copias hechas para «analizar el producto» o «probar un modelo» son las que se olvidan, porque nadie las recuerda como registros. El indicador clásico es la combinación de tres cosas: texto completo, sin límite de retención y mucha gente con acceso.

Lee el inventario de almacenes y localiza el que guarda texto completo, no tiene límite de retención y lo puede abrir todo el equipo de producto.

Enmascarar es sustituir el dato personal por un marcador antes de guardar el registro, de modo que lo que se almacena ya no identifica. Funciona tipo de dato por tipo de dato, y un solo tipo sin cubrir basta para que el registro siga siendo sensible, porque quien lo escribió lo seguirá escribiendo. La cobertura se revisa contra la política, no contra lo que el equipo recuerda haber instalado.

Compara la política con la cobertura del enmascarado y anota el tipo de dato que la política enumera y que no se enmascara.

El plazo de retención solo protege si se aplica en cada almacén. Una copia sin límite crece: cada día que pasa hay más conversaciones más viejas de lo que la política permite. Para medir el exceso se compara la fecha del registro más antiguo con la fecha de la revisión y se resta el plazo de la política.

El almacén de pruebas guarda una copia de 500 conversaciones. Calcula cuántos días de más lleva guardado su registro más antiguo respecto del plazo que fija la política para los textos completos.

Quien encuentra estos fallos tiene que corregir sin dejar al equipo ciego: borrar todo lo que tiene texto también borra la capacidad de investigar. La corrección que reduce más riesgo con menos pérdida es la que hace que la práctica coincida con la política, y deja intactas las métricas, que no llevan texto.