Qué hacer con lo que respondiste

Si respondiste que no

Levanta una planilla simple: qué datos tratas, en qué sistema viven, quién accede y para qué. No necesitas una herramienta, necesitas que exista.

Todo lo demás se apoya en esto. Sin inventario, cada una de las once preguntas que siguen se responde de memoria.

Si respondiste que no

Márcalos como tales en tu inventario y sepáralos del resto, empezando por remuneraciones, licencias médicas y cualquier evaluación de crédito o cobranza.

Son los que más resguardo exigen. Si no están identificados, terminan con el mismo cuidado que una lista de correos.

Si respondiste que no

Para cada uso de datos, escribe en una línea por qué estás autorizado a hacerlo.

Es lo primero que te van a preguntar cuando alguien reclame, y por escrito se responde mucho mejor que improvisando.

Si respondiste que no

Define una casilla para estas solicitudes, publícala donde se vea y nombra a alguien responsable de contestarlas.

Sin canal la solicitud llega igual —por un correo cualquiera o por redes sociales— y se pierde adentro hasta que se convierte en un reclamo.

Si respondiste que no

Lleva un registro de cada solicitud: cuándo llegó, quién la atendió, qué se respondió y cuándo. Una planilla basta.

Responder bien y no poder demostrarlo vale casi lo mismo que no haber respondido.

Si respondiste que no

Actualiza el texto publicado y déjale fecha de versión visible.

Es público y es lo primero que mira cualquiera que quiera evaluarte. No hace falta una fiscalización para que quede a la vista.

Si respondiste que no

Arma la lista con lo que ya tienes a mano: los proveedores de TI y de servicios con facturación recurrente.

Los datos siguen siendo responsabilidad tuya cuando los trata otro. El contrato cambia quién opera, no quién responde.

Si respondiste que no

Prioriza los proveedores que tratan más datos y súmales un anexo de protección de datos en la próxima renovación.

Renegociar todo de una vez no es realista; dejar sin cubrir a los más grandes, tampoco.

Si respondiste que no

Pregúntale a cada proveedor de nube en qué región se almacenan los datos y anótalo junto al contrato.

Que los datos salgan del país no es un problema en sí. No poder responder dónde están, sí.

Si respondiste que no

Escribe media página con nombres y teléfonos: quién se entera primero, quién decide, quién notifica y a quién se llama fuera de horario.

Durante un incidente nadie lee un manual. Lo que se usa es una hoja con nombres.

Si respondiste que no

Asegúrate de tener registros de acceso a los sistemas con datos personales, y de conservarlos el tiempo suficiente para reconstruir lo que pasó.

Sin registros no se puede precisar el alcance, y una notificación que no puede decir a cuántos afectó deja a la empresa peor parada que el incidente mismo.

Si respondiste que no

Empieza a dejar constancia fechada de lo que ya haces: capacitaciones, respaldos, cambios de acceso, revisiones.

Visto desde afuera, la diferencia entre una empresa diligente y una descuidada es que una puede mostrar cuándo hizo las cosas.