Informe
Deuda regulatoria
Todo se para en la revisión porque la privacidad se dejó para después.
El patrón es siempre el mismo: se construye algo, se enseña a legal, se reconstruye. Nadie hizo nada mal. La trazabilidad, el modelo de accesos y la minimización de datos simplemente no estaban en la especificación, y no se pueden añadir al final sin tocarlo todo.
Parece que legal va lento. No es eso. Un revisor que no puede ver quién tocó qué, cuándo y bajo qué autoridad no tiene forma de decir que sí, y decir que no es la única respuesta responsable que le queda.
Esta es la condición donde leer sobre la solución y tener la solución están más lejos, porque la solución es una arquitectura y no una lista de comprobación.
Se mide en meses de una función esperando, no en multas.
Cómo se ve por dentro
- Una fecha de lanzamiento se desplaza porque la revisión tiene preguntas para las que nadie se preparó.
- Los datos de cliente se pegan en una ventana de chat para conseguir una respuesta rápida.
- Nadie sabe decir en qué país guarda los datos un proveedor concreto.
- El acuerdo de tratamiento se firmó y nunca se leyó.
- No existe una lista única de quién ve qué.
Cómo ponerle un número
Lista todos los sitios donde los datos de cliente salen de tus sistemas: cada proveedor, cada integración, cada modelo detrás de una API. Para cada uno, escribe la jurisdicción, si existe acuerdo de tratamiento, cuánto se conservan los datos, y cómo se ejecuta de verdad una solicitud de borrado. Las filas que no puedes completar son la exposición.
Luego mira los dos últimos lanzamientos y cuenta las semanas que pasaron esperando en revisión. Ese número es el coste actual, y se paga con independencia de que alguien reciba una multa.
Qué hacer esta semana
Coge los cuatro proveedores que tocan datos personales y escribe una línea para cada uno: jurisdicción, acuerdo, retención, vía de borrado. Cuatro líneas son una tarde, y es el documento que la revisión pide primero.
Después decide, por escrito, qué no puede pegarse nunca en una ventana de chat. La regla vale más que la herramienta, porque la fuga que ocurre casi nunca es aquella alrededor de la cual alguien diseñó un sistema.
El siguiente paso
Una llamada, siempre. La respuesta depende del régimen bajo el que estés y de qué ha rechazado ya el revisor, y nada de eso está en un artículo.
Averiguar cómo se llama esto →