Datos personales: la seguridad también es una obligación organizativa

La Ley 25.326 y la AAIP exigen mirar finalidad, acceso, confidencialidad, seguridad y respuesta ante incidentes como un mismo sistema.

La protección de datos no se agota en una política de privacidad. Quien administra una base debe poder explicar qué datos obtiene, para qué los usa, quién accede, durante cuánto tiempo los conserva y qué medidas aplica para evitar pérdida o acceso no autorizado.

La AAIP señala obligaciones de seguridad y confidencialidad, además de reglas sobre cesiones y transferencias internacionales. En la práctica, esto exige coordinación entre contratos, permisos técnicos, inventario de proveedores y procedimientos internos.

Un formulario de contacto también trata datos personales. Debe pedir sólo lo necesario, informar la finalidad y evitar prometer usos que el sistema no puede sostener. Si intervienen proveedores de correo, alojamiento o analítica, sus funciones deben quedar identificadas.

Ante un incidente, documentar decisiones y medidas correctivas permite reconstruir qué ocurrió y reducir el daño. La respuesta no empieza con el incidente: empieza con un mapa de datos y responsables actualizado.