El responsable no es necesariamente quien opera el sistema

La Ley N.º 21.719 distingue entre quien decide los fines y medios del tratamiento y quien procesa datos por cuenta de otro. Una empresa puede contratar un sistema de remuneraciones, una plataforma de reclutamiento o un CRM, pero eso no significa que la dirección deje de responder por las decisiones tomadas. El proveedor opera una herramienta; la empresa define qué recopila, para qué lo usa, cuánto tiempo lo conserva y con quién lo comparte. Confundir operación técnica con responsabilidad empresarial produce contratos débiles y controles incompletos.

El gerente financiero suele estar en el centro del problema

Finanzas conoce remuneraciones, cuentas bancarias, datos tributarios, antecedentes de clientes y proveedores, además de accesos al ERP y plataformas de pago. No significa que el gerente financiero deba transformarse en abogado y especialista de ciberseguridad. Significa que debe participar en el diseño de controles, porque presupuesto, segregación de funciones, proveedores y continuidad operativa tienen impacto directo en la protección de la información.

La dirección debe ordenar cuatro responsabilidades

Una estructura razonable separa cuatro preguntas: quién aprueba los fines, quién administra el proceso, quién implementa controles y quién verifica que funcionen. En una empresa pequeña varias funciones pueden recaer en pocas personas, siempre que exista claridad y no haya conflictos evidentes. Una matriz simple puede ser más útil que una política extensa: proceso, datos, responsable ejecutivo, encargado operativo, proveedor y evidencia.

Qué ocurre cuando nadie tiene la visión completa

Un trabajador puede pedir acceso a sus datos y RR. HH. no saber qué conserva el proveedor. Un cliente puede solicitar dejar de recibir comunicaciones y marketing no conocer la base utilizada por ventas. Un incidente puede afectar una carpeta financiera sin existir un canal de escalamiento. El costo aparece en horas de investigación, interrupciones, reprocesos y decisiones tardías.

Cómo se ve en una empresa

Un escenario frecuente es que una empresa comparte una base de clientes con varias áreas y cada equipo agrega campos sin revisar el propósito original. La situación puede parecer menor porque nació como una excepción, una urgencia comercial o una decisión tomada por una sola persona. Sin embargo, cuando el proceso se repite, se conecta con otros sistemas o afecta a más titulares, deja de ser una anécdota y se convierte en una práctica organizacional. La gerencia debe mirar el flujo completo: qué entra, quién decide, qué se comparte, qué se conserva y qué ocurre cuando algo sale mal.

El riesgo que suele pasar inadvertido

Una señal importante es que si nadie puede explicar quién aprobó la finalidad, la empresa tiene una brecha de gobierno aunque el sistema funcione. El problema no siempre produce una infracción acreditada de inmediato, pero sí reduce la capacidad de la empresa para prevenir, responder y demostrar diligencia. También puede generar efectos no jurídicos: tiempos de respuesta mayores, reprocesos, pérdida de confianza, dependencia de una persona o dificultad para cerrar una venta. Evaluar el riesgo exige considerar probabilidad, impacto, sensibilidad, volumen y capacidad real de control.

La decisión que no conviene postergar

La decisión práctica es definir un dueño ejecutivo y una matriz simple que conecte decisiones, operación, control y evidencia. No significa aplicar el control más costoso ni copiar el modelo de una empresa grande. Significa elegir una medida que pueda ejecutarse, asignar un responsable y establecer una fecha de revisión. Una acción simple, documentada y comprobable suele reducir más riesgo que una declaración ambiciosa sin implementación. Si el análisis revela una materia técnica o jurídica especializada, debe escalarse oportunamente.

Una advertencia para la implementación

El error que conviene evitar es confundir responsabilidad con jerarquía: quien administra un archivo no siempre decide su finalidad. Las organizaciones suelen caer en él porque buscan velocidad, reutilizan documentos o confían en que el problema se resolverá con una compra. La corrección requiere coordinar personas, proceso, contrato y tecnología. Por eso, el seguimiento debe considerar no solo si la medida fue aprobada, sino si fue adoptada, si funciona bajo presión y si sigue siendo adecuada cuando cambia el negocio.

Qué debería revisar la Gerencia General

  • Nombrar un responsable ejecutivo de la agenda de datos, aunque no sea un cargo exclusivo.
  • Identificar procesos donde finanzas, RR. HH., ventas y tecnología comparten información.
  • Exigir a proveedores instrucciones, límites de uso, seguridad y reglas de devolución o eliminación.
  • Revisar periódicamente incidentes, solicitudes, accesos privilegiados y brechas pendientes.

Una decisión de gestión, no solo de cumplimiento

La pregunta correcta no es quién tiene el archivo, sino quién decidió recopilarlo y qué gobierno permite demostrar que se trata de manera lícita, necesaria y segura. La dirección que define responsabilidades antes del incidente tiene más capacidad de responder, corregir y priorizar inversiones.

Conversemos sobre la realidad de tu empresa

En VEORA Advisory ayudamos a ordenar la responsabilidad ejecutiva, los procesos y los controles que sostienen el tratamiento de datos. Un diagnóstico inicial permite identificar quién decide, dónde están las brechas y qué debe resolverse primero.

Conocer el diagnóstico inicial de VEORA Advisory