TI protege sistemas, pero no define el propósito del negocio

TI puede configurar autenticación, respaldos, registros y controles de acceso. No puede decidir por sí sola si la empresa necesita pedir la fecha de nacimiento de un cliente, si una campaña reutiliza una base antigua o si un proveedor debe conservar información después del contrato. Esas son decisiones de negocio. Una herramienta segura puede ejecutar un tratamiento innecesario, excesivo o mal informado. La seguridad es indispensable, pero no agota la protección de datos.

Las decisiones críticas ocurren fuera de los servidores

Marketing decide formularios y audiencias. RR. HH. define antecedentes de postulantes. Operaciones determina cámaras y periodos de conservación. Compras firma con plataformas que pueden alojar información fuera de Chile. Si esas áreas no participan, TI recibe requerimientos ya definidos e intenta corregirlos cuando el proceso está conectado a campañas, contratos y rutinas.

El rol de la Gerencia General es establecer el sistema

La dirección debe definir qué riesgos requieren aprobación, qué tratamientos se evalúan antes de comenzar, qué se reporta y con qué frecuencia se revisan controles. No necesita centralizar cada decisión; necesita construir un marco para delegar con límites claros, responsables identificables y escalamiento.

Un proyecto transversal se mide por cambios reales

La adecuación no debería medirse por cantidad de documentos o por comprar un software. Una señal más útil es que el equipo sepa qué datos utiliza, por qué los necesita, quién accede, qué hacer ante una solicitud y cómo actuar frente a un incidente. También debe existir evidencia de capacitación, revisión de accesos, contratos y pruebas.

Cómo se ve en una empresa

Un escenario frecuente es que el área comercial implementa una campaña mientras TI cree que solo se trata de una modificación de marketing. La situación puede parecer menor porque nació como una excepción, una urgencia comercial o una decisión tomada por una sola persona. Sin embargo, cuando el proceso se repite, se conecta con otros sistemas o afecta a más titulares, deja de ser una anécdota y se convierte en una práctica organizacional. La gerencia debe mirar el flujo completo: qué entra, quién decide, qué se comparte, qué se conserva y qué ocurre cuando algo sale mal.

El riesgo que suele pasar inadvertido

Una señal importante es que si la solución se presenta como asunto exclusivo de TI, probablemente faltan decisiones de negocio y responsables de proceso. El problema no siempre produce una infracción acreditada de inmediato, pero sí reduce la capacidad de la empresa para prevenir, responder y demostrar diligencia. También puede generar efectos no jurídicos: tiempos de respuesta mayores, reprocesos, pérdida de confianza, dependencia de una persona o dificultad para cerrar una venta. Evaluar el riesgo exige considerar probabilidad, impacto, sensibilidad, volumen y capacidad real de control.

La decisión que no conviene postergar

La decisión práctica es incorporar protección de datos en la aprobación de procesos y compras, no solo en revisiones técnicas. No significa aplicar el control más costoso ni copiar el modelo de una empresa grande. Significa elegir una medida que pueda ejecutarse, asignar un responsable y establecer una fecha de revisión. Una acción simple, documentada y comprobable suele reducir más riesgo que una declaración ambiciosa sin implementación. Si el análisis revela una materia técnica o jurídica especializada, debe escalarse oportunamente.

Una advertencia para la implementación

El error que conviene evitar es usar una certificación del proveedor como sustituto de la revisión de la cuenta y el proceso propio. Las organizaciones suelen caer en él porque buscan velocidad, reutilizan documentos o confían en que el problema se resolverá con una compra. La corrección requiere coordinar personas, proceso, contrato y tecnología. Por eso, el seguimiento debe considerar no solo si la medida fue aprobada, sino si fue adoptada, si funciona bajo presión y si sigue siendo adecuada cuando cambia el negocio.

Tres decisiones que debería tomar la Gerencia

  • Definir patrocinador ejecutivo y equipo transversal con negocio, jurídico, personas y tecnología.
  • Priorizar tratamientos por volumen, sensibilidad, consecuencias y capacidad de control.
  • Vincular cada medida con un proceso y un responsable.
  • Establecer un tablero de seguimiento con avances, excepciones e incidentes.

Una decisión de gestión, no solo de cumplimiento

La Gerencia General no necesita dominar cada detalle técnico. Sí necesita entender qué decisiones exponen a la empresa, quién las toma y cómo se comprueba que los controles funcionan. Cuando la dirección trata la protección de datos como gobierno del negocio, TI se convierte en habilitador y no en único responsable.

Conversemos sobre la realidad de tu empresa

VEORA puede acompañar a la Gerencia General en una hoja de ruta transversal que conecte estrategia, procesos, contratos, personas y tecnología.

Conocer el diagnóstico inicial de VEORA Advisory