¿Está tu empresa lista para la Ley de Datos Personales?

¿Tienen escrito en algún lado qué datos personales manejan, para qué y dónde están guardados?

Es el Registro de Actividades de Tratamiento. Es el primer documento que se pide en una fiscalización.

¿Saben con qué justificación legal usan cada dato — consentimiento, un contrato, una obligación legal?

La ley exige una base de licitud por cada tratamiento. "Siempre lo hemos hecho así" no es una.

¿Le avisan a las personas qué hacen con sus datos, en un lenguaje que se entienda?

Política de privacidad y avisos al momento de recolectar. Debe ser claro, no un texto legal impenetrable.

Si un cliente les pide mañana una copia de sus datos, o que se los borren, ¿saben quién responde y en cuánto tiempo?

Derechos de acceso, rectificación, supresión, oposición y portabilidad, con plazos definidos.

¿Manejan datos de salud, biométricos, socioeconómicos, de niños, o de afiliación sindical o religiosa?

Si la respuesta es sí, el estándar exigido sube bastante. Responder "sí" acá no baja el puntaje: lo que baja es no tratarlos distinto.

¿Tienen contratos con los proveedores que tocan sus datos — contabilidad externa, sistemas, nube, marketing?

Son "encargados de tratamiento". La responsabilidad no se traspasa con el dato.

Si mañana se filtran datos de clientes, ¿saben a quién avisar, en qué plazo y con qué información?

La notificación de brechas tiene plazo. Improvisar bajo presión sale caro.

¿Tienen control de quién accede a qué — contraseñas propias, segundo factor, permisos por persona?

La ley pide medidas de seguridad proporcionales al riesgo.

¿Hay alguien con nombre y apellido a cargo de la protección de datos en la empresa?

No siempre tiene que ser un cargo dedicado, pero tiene que ser alguien identificable.

¿Borran los datos cuando ya no los necesitan, o queda todo guardado para siempre?

Guardar de más es riesgo puro: solo se puede filtrar lo que todavía existe.

¿Saben si sus sistemas guardan datos fuera de Chile?

Casi toda nube lo hace. No está prohibido, pero hay que saberlo y documentarlo.

¿Su equipo sabe reconocer un correo falso o una llamada que suplanta a un jefe?

La mayoría de las filtraciones parte por una persona, no por un servidor.