Cómo respaldarse: la carpeta de evidencia
Cumplir la ley es una cosa; poder demostrarlo es otra. Los ocho documentos que tu institución debe poder mostrar ante una fiscalización, y en qué orden producirlos.
Hay una diferencia enorme entre cumplir la ley y poder demostrar que la cumples. Ante una fiscalización de la Agencia, o ante un apoderado que reclama, nadie pregunta qué haces: preguntan qué puedes acreditar.
Esta página es la contracara práctica de la guía: no explica la ley, explica qué papeles tienes que tener en la carpeta.
La diligencia se demuestra con documentos fechados, no con buenas intenciones. Esa es, en la práctica, la diferencia entre una multa de tramo alto y una atenuada.
Los ocho documentos de la carpeta
1. Inventario de datos
Una planilla con qué datos tratas, en qué sistema viven, quién accede y de dónde salieron. Es el documento del que dependen todos los demás: no se puede proteger ni describir lo que no se ha inventariado.
Cómo se ve bien hecho: una fila por cada conjunto de datos, con responsable nombrado y fecha de última revisión.
2. Registro de actividades de tratamiento
Para cada tratamiento: la finalidad, la base de licitud que lo habilita, las categorías de personas afectadas, los destinatarios y el plazo de conservación.
Cómo se ve bien hecho: cada fila del registro puede responder «¿por qué tienes derecho a hacer esto?» sin que nadie tenga que improvisar.
3. Evidencia de los consentimientos
No basta con haber pedido permiso: hay que poder mostrar cuándo se pidió, por qué canal y qué texto exacto vio la persona al aceptar.
Cómo se ve bien hecho: una bitácora con marca de tiempo, versión del texto mostrado y forma de revocación ofrecida.
4. Política de privacidad publicada
Accesible a un clic y, sobre todo, verdadera: debe describir lo que realmente haces. Una política copiada que promete cosas que no cumples es peor que no tenerla, porque es una declaración falsa ante la Agencia.
Cómo se ve bien hecho: alguien de tu equipo puede leerla y reconocer la operación real de la institución.
5. Contratos de encargo con proveedores
Uno por cada tercero que accede a tus datos: nube, correo, CRM, plataforma académica, ficha clínica, pasarela de pagos, empresa de cámaras.
Cómo se ve bien hecho: el contrato limita el uso a tus instrucciones, impone confidencialidad, fija medidas de seguridad y obliga al proveedor a avisarte si sufre una brecha.
6. Procedimiento de atención de derechos
Escrito: por dónde entra una solicitud, cómo se verifica la identidad, quién la resuelve, en qué plazo y con qué formato de respuesta.
Cómo se ve bien hecho: una persona que entró a trabajar ayer puede seguirlo sin preguntar nada.
7. Protocolo de brechas de seguridad
Qué se considera brecha, quién decide, a quién se avisa, en qué orden y con qué mensaje. Redactado antes de necesitarlo, porque durante un incidente nadie escribe bien.
Cómo se ve bien hecho: incluye borradores del aviso a la Agencia y del mensaje a las personas afectadas.
8. Bitácora de capacitación
Quién se formó, en qué y cuándo. Es de los documentos más baratos de producir y de los que más pesan al graduar una sanción, porque acredita diligencia.
Cómo se ve bien hecho: lista de asistencia firmada o registro de la plataforma, con el material entregado adjunto.
Cómo se usa esta carpeta en una fiscalización
- La Agencia pide antecedentes sobre un tratamiento concreto.
- Tú entregas la fila del registro que lo describe y el documento que lo respalda.
- Si hubo un incidente, muestras el protocolo y la evidencia de haberlo aplicado.
- Si el problema vino de un proveedor, muestras el contrato de encargo y la diligencia con que lo seleccionaste.
En cada uno de esos pasos, lo que se evalúa no es si eres perfecto, sino si actuaste con diligencia. Eso es exactamente lo que la carpeta documenta.
El orden en que conviene construirla
| Momento | Qué produces | Por qué en ese orden |
|---|---|---|
| Semanas 1-2 | Inventario de datos | Sin él, todo lo demás es adivinanza. |
| Semanas 3-4 | Registro de tratamientos | Sale del inventario y obliga a nombrar la base legal de cada uso. |
| Semanas 5-6 | Política y consentimientos | Ya sabes qué describir, así que describes la verdad. |
| Semanas 7-8 | Contratos de encargo | Con el inventario a la vista sabes a quién llamar. |
| Semanas 9-10 | Procedimientos y protocolo | Se escriben sobre procesos que ya entendiste. |
| Continuo | Capacitación y revisión | Es lo que mantiene viva la carpeta. |
¿Qué te falta en la carpeta?
El autodiagnóstico revisa los siete frentes y te dice cuáles tienes abiertos. Con eso sabes exactamente qué documento producir primero.
Este contenido tiene carácter divulgativo y no constituye asesoría jurídica para un caso concreto.