01 |
Inventario y clasificación de datos personales
Identificar qué datos se tratan, con qué propósito, quién los procesa y dónde se almacenan. Sin este mapa, no existe compliance real. Equivale al Registro de Actividades de Tratamiento (RAT) exigido por la Ley 21.719.
ISO 27701 · Cláusula 6.12 — Art. 16 Ley 21.719
|
02 |
Control de acceso basado en roles (RBAC)
Solo el personal que necesita acceder a datos personales debe poder hacerlo, y con el nivel mínimo necesario. El principio de mínimo privilegio reduce drásticamente el riesgo de brechas internas.
ISO 27001 · Anexo A.9 — ISO 27701 · 6.6.2
|
03 |
Gestión del ciclo de vida del dato
Los datos tienen una fecha de vencimiento. Definir períodos de retención y aplicar eliminación segura cuando ya no son necesarios no es solo buena práctica: en Chile es obligación legal.
ISO 27701 · 7.4.7 — Art. 14 Ley 21.719
|
04 |
Cifrado en tránsito y en reposo
TLS para comunicaciones, AES-256 para almacenamiento. El cifrado es la última línea de defensa: si ocurre una brecha, los datos robados resultan inútiles para el atacante.
ISO 27001 · Anexo A.10 — ISO 27701 · 6.11.1
|
05 |
Evaluación de impacto en privacidad (EIPD / DPIA)
Antes de implementar un nuevo sistema o proceso que involucre datos personales, evaluar los riesgos para las personas. El NIST lo llama Privacy Risk Assessment; la Ley 21.719 lo denomina EIPD y lo exige en tratamientos de alto riesgo.
NIST PF · ID.RA — Art. 15 Ley 21.719
|
06 |
Política de privacidad comprensible y accesible
Una política de privacidad no es un documento legal para archivar: es una herramienta de comunicación. Debe explicar en lenguaje claro qué datos se recopilan, por qué y cómo ejercer derechos ARCOP.
NIST PF · CM.PO — Art. 12 Ley 21.719
|
07 |
Respuesta a incidentes con notificación oportuna
Todo programa de privacidad debe incluir un protocolo de respuesta a brechas: qué hacer en las primeras 72 horas, cómo notificar a los afectados y cuándo reportar a la APDP. El tiempo de respuesta define la exposición legal.
NIST PF · RS.CO — Art. 49 Ley 21.719
|
| Principio GDPR | Qué implica en la práctica | Ley 21.719 |
|---|---|---|
| Licitud, lealtad y transparencia | Siempre debe existir una base legal para tratar datos. No hay tratamiento legítimo sin fundamento. | Art. 3 Principio de licitud |
| Limitación de finalidad | Los datos recopilados para un fin no pueden usarse para otro sin nuevo consentimiento. | Art. 3 Principio de finalidad |
| Minimización de datos | Solo recopilar los datos estrictamente necesarios para el fin declarado. | Art. 3 Principio de proporcionalidad |
| Exactitud | Mantener los datos actualizados y permitir su corrección cuando sean inexactos. | Art. 3 + ARCOP (Rectificación) |
| Limitación de conservación | Definir y cumplir períodos de retención. Eliminar lo que ya no es necesario. | Art. 14 Plazo de conservación |
| Integridad y confidencialidad | Implementar medidas técnicas y organizativas para proteger los datos. | Art. 46 Seguridad del tratamiento |
| Responsabilidad proactiva | Demostrar el cumplimiento, no solo declararlo. Privacy by design y by default. | Art. 14 bis Accountability |
✓ | Registro de Actividades de Tratamiento (RAT): documentar todos los tratamientos de datos que realiza la organización, incluyendo finalidades, destinatarios y plazos de conservación. |
✓ | Canal de ejercicio de derechos ARCOP: habilitar un mecanismo gratuito y accesible para que los titulares ejerzan sus derechos de acceso, rectificación, cancelación, oposición y portabilidad. |
✓ | Consentimiento informado y válido: el consentimiento debe ser libre, específico, informado e inequívoco. El silencio o la inacción no constituyen consentimiento bajo la ley chilena. |
✓ | Contratos con encargados de tratamiento: toda empresa que externalice el tratamiento de datos debe firmar un contrato que garantice el cumplimiento de la ley por parte del proveedor. |
✓ | Protocolo de notificación de brechas: ante una vulneración de seguridad, notificar a la APDP y a los afectados dentro del plazo legal. No tener un protocolo es en sí mismo una infracción. |
✓ | EPD (Encargado de Protección de Datos): designar un EPD es obligatorio para organismos públicos y responsables que realicen tratamientos de alto riesgo a gran escala. |
08 |
Privacy by Design en procesos de negocio
Incorporar consideraciones de privacidad desde el diseño de nuevos productos, servicios o procesos, no como un añadido posterior. COBIT lo integra en el objetivo APO13 como parte del ciclo de vida de los sistemas.
COBIT 2019 · APO13 — Art. 14 Ley 21.719
|
09 |
Capacitación continua al personal
El 80% de las brechas de seguridad tienen componente humano. El personal que maneja datos personales debe recibir capacitación regular sobre buenas prácticas, phishing, manejo de contraseñas y procedimientos internos de privacidad.
COBIT 2019 · BAI08 — ISO 27001 · A.7.2.2
|
10 |
Auditorías internas periódicas del programa de privacidad
El compliance no es un proyecto con fecha de término: es un proceso continuo. Auditar anualmente el RAT, los controles técnicos, los contratos con terceros y los canales de derechos garantiza que el programa se mantiene vigente y efectivo.
COBIT 2019 · MEA02 — ISO 27701 · 9.2
|