¿Aplicar al pie de la letra el texto de la ley de protección de datos basta para estar en regla?

Si escribes políticas en papel pero dejas los escaneos de pasaportes en carpetas sin cifrar en el servidor, la multa es segura. Cifrado por columnas en BD, control de acceso en servidores de archivos y logs que registren la actividad de los administradores son el mínimo técnico.

Lo primero que deben hacer es armar una plantilla de inventario de datos. ¿Qué departamento recoge qué dato, dónde lo guarda, con quién lo comparte y a los cuántos meses lo borra? Cuando llega un inspector a la empresa no pide la política, va directo a ver esa tabla.

En nuestra auditoría interna del mes pasado lo primero que nos cazaron fue q los de RRHH se pasaban fotos de visados y DNI por grupos de WhatsApp. Por mas formularios q hagas firmar, si la info viaja insegura en el campo es infracción de la ley.

Revise detenidamente los anexos del reglamento y las normas de transferencia internacional de datos publicados por la SDAIA. Si los servidores del software de RR. HH. basado en la nube que utiliza en su empresa están fuera del país, esto requiere un proceso legal independiente con autorización especial y evaluación de riesgos.

edit: escrito desde el móvil, perdonad las erratas.

juntar formularios de consentimiento es lo de menos. en fin el tema es cuando mañana venga un empleado subcontratado q se fue y pida q borren sus datos ¿técnicamente qué vas a borrar de qué sistema y cómo? eso es lo q hay q definir.

Tres requisitos operativos críticos que se evalúan en las auditorías: 1) Designación de un delegado o responsable de protección de datos dentro de la empresa, 2) Capacitaciones periódicas de concientización sobre seguridad de datos a todo el personal, 3) Compromisos de seguridad del encargado del tratamiento en los contratos con empresas subcontratistas.

Leer el PDF de la normativa y pasarlo a Excel es como leer un libro de cirugía y ponerse a operar a un paciente. Sin un consultor profesional no van a poder traducir los términos legales a la infraestructura técnica de TI no se confíen creyendo que están protegidos.

¿Comparten directamente los datos de identidad y certificación de cientos de empleados subcontratados con las instalaciones petroleras que actúan como empleador principal? Si es así, ¿existe un acuerdo de corresponsabilidad en el tratamiento de datos firmado entre ustedes?

En este punto no estoy de acuerdo con ustedes. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Lo dejo como nota, por si sirve.

hace dos años viví exactamente lo mismo y si no lo pones por escrito desde el princcipio luego surgen discusiones.

por supuesto, cambia si tu sitación es diferente.

Estoy totalmente de acuerdo. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Por supuesto, cambia si tu situación es diferente.

Yo también estaba pensando en lo mismo. Que todo el mundo haga algo no significa que sea lo correcto.

Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola.

Estoy de acuerdo.

Después de vivir eso, mi perspectiva cambió. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Resumen breve para nuevos usuarios: Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Espero que le sea útil.

Hay un error muy común al hacer esto. o sea todos los que se apresuran con ley de protección de datos personales se atascan en el mismo punto.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Todos los que se apresuran con ley de protección de datos personales se atascan en el mismo punto.

Lo dejo como nota, por si sirve.

Después de vivir eso, mi perspectiva cambió. Intentar hacerlo solo es la vía más cara.

Por supuesto, cambia si tu situación es diferente.