¿Por qué debe una empresa saber dónde están los datos personales?
Casi todas las obligaciones de la normativa de protección de datos presuponen este conocimiento. El registro de actividades de tratamiento (art. 12 LPD, art. 30 RGPD) describe qué datos se tratan y dónde. Una respuesta de acceso (art. 25 LPD, art. 15 RGPD) debe abarcar todos los datos de una persona. Y los datos personales deben borrarse o anonimizarse en cuanto dejan de ser necesarios para la finalidad (art. 6 apdo. 4 LPD, art. 5 apdo. 1 letra e RGPD).
Quien solo considera los sistemas conocidos pasa por alto copias, exportaciones y repositorios antiguos. Precisamente ahí suelen estar los datos más delicados, y los mayores riesgos en caso de una violación de la seguridad de los datos.
¿Dónde suelen estar los datos personales?
En los entornos de TI que han crecido con los años, los datos personales no están solo en las aplicaciones de negocio:
- Aplicaciones de negocio y sus bases de datos, por ejemplo de clientes, contratos, personal o expedientes.
- Repositorios de ficheros con exportaciones, listas, hojas de cálculo y documentos escaneados.
- Buzones de correo por los que circulan documentos como adjuntos.
- SharePoint, OneDrive y Teams, a menudo compartidos más ampliamente de lo previsto.
- Entornos de prueba y de análisis con copias de datos de producción.
- Servicios de IA: prompts, historiales de chat y transcripciones de reuniones.
¿Qué información se considera dato personal?
Los datos personales no son solo nombres. También lo son los identificadores que permiten identificar a una persona. Un resumen:
| Tipo | Ejemplos |
|---|---|
| Identificadores | Número AVS, IBAN, número de documento de identidad, de asegurado, de cliente y de póliza |
| Persona y contacto | Nombre, dirección, fecha de nacimiento, dirección de correo electrónico, número de teléfono, número de empleado |
| Datos sensibles (art. 5 letra c LPD) | Salud, opiniones religiosas, filosóficas o políticas, afiliación sindical, esfera íntima, origen étnico, datos genéticos, datos biométricos que identifican de forma unívoca, procedimientos y sanciones administrativos y penales, medidas de asistencia social |
El RGPD contiene una lista similar bajo el nombre de «categorías especiales de datos personales» (art. 9 RGPD).
¿Cómo se encuentran los datos personales de forma fiable?
La búsqueda solo es fiable si combina varios métodos. Las reglas detectan identificadores con estructura fija, como el número AVS o un IBAN. Una detección para texto libre encuentra nombres y direcciones. El reconocimiento de texto permite buscar en documentos escaneados. Patrones de búsqueda propios completan lo que solo existe en la propia empresa, por ejemplo números de cliente o de contrato.
Igual de importante es el tratamiento de los resultados: los falsos positivos deben poder descartarse de forma permanente, y los análisis repetidos deberían mostrar qué ha aparecido y qué ha desaparecido. Y como la búsqueda lee los contenidos, debe realizarse en el propio entorno: los datos no deberían salir de la organización para ello.
Data Discovery: lo que debe ofrecer un escáner
Existen muchas herramientas de data discovery y clasificación. Para la protección de datos cuentan sobre todo estos puntos:
- Amplitud de fuentes: repositorios, bases de datos y Microsoft 365, no solo un sistema aislado.
- Identificadores suizos y europeos, no solo estadounidenses.
- Solo lectura: no se modifica nada en las fuentes.
- Almacenar los hallazgos, no los contenidos.
- Confirmar hallazgos o descartarlos como falsos positivos, y mantener la decisión en el siguiente análisis.
- Reutilizar los hallazgos: para el registro, para las solicitudes de acceso y para el borrado.