Software conforme a la KVKK: empezar por el inventario de datos

Las organizaciones suelen acudir a nosotros diciendo que quieren un software conforme a la KVKK. Para ver dónde empieza esa conformidad en el código, primero hay que mirar el inventario, porque sin saber qué datos se guardan y dónde no se puede definir bien ni una regla de acceso ni un plazo de conservación.

Cuando se acude a una organización para un trabajo de cumplimiento de la KVKK, suele encontrarse lo siguiente. Un aviso de privacidad, un formulario de consentimiento expreso, una política de conservación y destrucción. Los tres están preparados, firmados y archivados.

Después se hace una sola pregunta. ¿De dónde salieron las categorías de datos que figuran en estos textos?

La respuesta suele ser esta. Se tomó un modelo encontrado en internet, se escribió el nombre de la organización, se añadieron algunos puntos. Es decir, la declaración no se derivó de la comprobación de la realidad, sino de una plantilla. Este es el error de orden más frecuente y más costoso que he visto en los trabajos de cumplimiento.

Por qué el orden importa tanto

El aviso de privacidad es una declaración. El artículo 10 de la Ley exige que el responsable del tratamiento comunique las categorías de datos tratados, las finalidades, los destinatarios a los que se transferirán y la base jurídica. Si se hace una declaración, esa declaración tiene que ser exacta.

Un texto escrito sin elaborar el inventario no puede ser exacto. En el mejor de los casos, será incompleto. Cuando en una auditoría se detecta una actividad de tratamiento que no figura en el texto, no se trata solo de una carencia técnica, sino de un incumplimiento del deber de informar de manera adecuada.

Lo contrario también es cierto. Una organización que ya dispone del inventario redacta el aviso de privacidad en un día, porque todo lo que hay que escribir ya está determinado.

Qué se busca realmente en el inventario

La tabla de inventario suele elaborarse con las columnas de categoría de datos, finalidad y plazo de conservación. Estas tres columnas no bastan.

La columna que falta es esta. ¿Dónde está físicamente este dato? ¿En qué base de datos, en qué tabla, en qué campo? ¿Existe también en las copias de seguridad? ¿Existe una copia en el sistema de un proveedor externo?

Cuando esta pregunta no se hace, el inventario refleja la opinión que la organización tiene de sí misma, no la realidad. Cuando se produce una violación de datos, la primera pregunta será "qué datos personales había en ese servidor". Un inventario que no indica la ubicación física resulta inútil en ese momento.

La elección de la base jurídica es una decisión arquitectónica

El artículo 5 de la Ley enumera las condiciones de tratamiento. En la práctica, este artículo suele tratarse como una formalidad, cuando en realidad la base jurídica elegida determina directamente cómo debe construirse el sistema.

En una actividad de tratamiento basada en el consentimiento expreso, el consentimiento puede retirarse en cualquier momento. En el instante en que se retira, el tratamiento debe cesar. Esto exige tres cosas en el sistema. Un registro de a qué versión del texto se dio el consentimiento, una interfaz que ofrezca al usuario la posibilidad de retirarlo, y un control que detenga el tratamiento correspondiente cuando el consentimiento se retira. Si falta alguna de las tres, basarse en el consentimiento coloca a la organización en una posición indefendible.

En cambio, un tratamiento necesario para la ejecución de un contrato no requiere estos mecanismos. El mismo dato, tratado con una base jurídica distinta, genera una carga técnica completamente diferente. Por eso la elección de la base jurídica no debe hacerla el abogado en solitario, al margen de la arquitectura.

El plazo de conservación y el componente que lo aplica

Fijar un plazo de conservación es la parte más fácil del trabajo de cumplimiento. Conseguir que se aplique es la más difícil.

Un diseño que funciona tiene este aspecto. Cada registro lleva su propio plazo de conservación, por ejemplo un campo fin_conservacion. Un proceso que recorre periódicamente los registros cuyo plazo ha vencido. Ese proceso borra, destruye o anonimiza el registro y anota la operación realizada en una tabla aparte. Lo que se presenta en una auditoría no es el texto de la política, sino esa tabla.

Las organizaciones que no construyen esta estructura suelen hacer lo siguiente. Escriben el plazo en la política, dejan la aplicación para una fecha posterior, y esa fecha nunca llega. Pasados dos años, se encuentran con datos no eliminados y con un documento que dice que deberían haberse eliminado. Que ambas cosas coexistan es peor que no haber escrito ninguna política.

VERBİS y la cuestión del alcance

La obligación de inscribirse en el Registro de Responsables del Tratamiento está sujeta a criterios fijados por el Consejo. El número anual de empleados, el volumen del balance financiero y la naturaleza de los datos tratados son determinantes.

Aquí hace falta una advertencia. El alcance de la exención ha cambiado con el tiempo mediante decisiones del Consejo y puede seguir cambiando. Una organización exenta hoy puede quedar obligada cuando aumente su número de empleados. Por eso la exención no es algo que se determine una sola vez y se olvide, debe comprobarse anualmente. Para los umbrales actuales hay que consultar los comunicados publicados por la Autoridad.

El plan de violación se redacta de antemano

El párrafo quinto del artículo 12 de la Ley exige que la violación se notifique al Consejo lo antes posible. Las decisiones del Consejo han concretado ese plazo en setenta y dos horas.

Setenta y dos horas es el tiempo total asignado, tras detectar el incidente, para determinar su alcance, identificar a las personas afectadas y preparar la notificación. Incluso el primero de estos pasos lleva días en la mayoría de las organizaciones, porque no está por escrito dónde se guarda cada dato.

Es decir, la preparación frente a una violación empieza mucho antes de que ocurra, y desemboca de nuevo en lo mismo. El inventario.

Qué ocurre cuando el cumplimiento termina

No termina. Una nueva funcionalidad genera un nuevo campo de datos. Un nuevo proveedor genera una nueva transferencia. Las decisiones del Consejo estrechan el marco.

Por eso hay que dejar de concebir el cumplimiento como un proyecto y encajarlo dentro del propio proceso de desarrollo del producto. Si actualizar el inventario al añadir un nuevo campo pasa a formar parte de la revisión de código, el proceso se sostiene a sí mismo. De lo contrario, cada año se empieza de cero y se repite el mismo error de orden.