Filtración de datos en una oficina pequeña: qué reportar, a quién y cuándo

En una oficina pequeña, una «filtración» rara vez es un hacker. Lo normal es un notebook olvidado en un taxi, un PDF con datos de un cliente mandado a otro, o el correo de la oficina con la misma clave de hace cinco años.

Qué dice la ley

• Reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» cuando la vulneración cause la destrucción, filtración, pérdida o alteración de datos, o un acceso no autorizado, y exista un riesgo razonable para los derechos de las personas.
• Avisar también a los afectados cuando se trate de datos sensibles, de niños menores de 14 años o de datos económicos, financieros o comerciales. El aviso va en lenguaje claro: qué datos, qué consecuencias puede haber y qué medidas se tomaron.
• Registrar cada caso: qué pasó, qué efectos tuvo, qué datos y cuántas personas afectó, y qué se hizo.

A diferencia de la norma europea, la ley chilena no fija un número de horas para reportar: dice «sin dilaciones indebidas». En la práctica, apenas sepas qué pasó.

El plan de una página

1. Quién decide: una persona, con nombre.
2. Contener: cambiar claves, cerrar sesiones abiertas, pedir al destinatario equivocado que borre el correo.
3. Evaluar: qué datos y de quién. ¿Hay sensibles?
4. Reportar y avisar, según el diagrama.
5. Anotar todo en el registro.

Lo que más reduce el riesgo

Que los documentos no anden adjuntos en correos ni descargados en cada computador: cada copia suelta es una filtración posible. Lo explicamos en dónde terminan los datos de tus clientes. Y una cuenta propia para cada persona del equipo, con un segundo paso al entrar, en vez de una clave compartida.

Este plan es el punto 8 de la lista para preparar tu oficina. Quien recibe el reporte es la Agencia de Protección de Datos.

Fuente: artículo 14 sexies de la Ley 19.628 modificada por la 21.719, en la Biblioteca del Congreso Nacional.