¿Cómo se elabora un inventario de datos? Guía práctica para el cumplimiento de la KVKK

El inventario de datos es un mapa de trabajo que hace visible dónde, en qué procesos, con qué finalidad y con quién trata una organización los datos personales. Para cumplir con la KVKK, no basta con preparar una tabla: es necesario comprender el flujo de datos entre los procesos de negocio y los sistemas utilizados.

Un inventario bien elaborado ayuda a que los textos de información y los procedimientos internos se ajusten a la práctica real. También permite identificar qué actividades deben revisarse con prioridad, ya que la organización empieza a visualizar de forma concreta los datos que posee y los puntos por los que circulan.

¿A qué preguntas responde un inventario de datos?

El objetivo principal del inventario es describir las actividades de tratamiento de datos personales por proceso. Para cada registro, como mínimo, deben responderse las siguientes preguntas: ¿Qué datos personales se tratan?, ¿quién es el titular de los datos?, ¿cuál es la finalidad del tratamiento?, ¿de qué fuente proceden los datos?, ¿dónde se almacenan?, ¿quién tiene acceso a ellos? y ¿con qué terceros se comparten?

No debe confundirse la categoría de datos con la finalidad del tratamiento. Por ejemplo, en un proceso de ventas pueden tratarse el nombre, los datos de contacto y la información de facturación; sin embargo, estos datos pueden utilizarse para distintas finalidades, como preparar una oferta, formalizar un contrato y realizar operaciones contables.

Veamos un ejemplo cotidiano: un cliente rellena un formulario, la información aparece en la pantalla del equipo comercial, se prepara una oferta y, posteriormente, los datos se transfieren al sistema contable para emitir la factura. El inventario no considera este proceso como un único registro de datos de clientes, sino como una actividad de tratamiento en la que quedan visibles la fuente, la finalidad, los sistemas y las transferencias.

Empiece por los procesos, no por los departamentos

Al elaborar un inventario de datos, limitarse a enumerar los departamentos de recursos humanos, marketing o tecnologías de la información puede dar lugar a resultados incompletos. Los mismos datos personales pueden tratarse con distintas finalidades dentro de un único proceso en el que participan varios departamentos. Por ello, el punto de partida no debe ser el nombre del departamento, sino las actividades que realiza la organización.

Como primer paso, pueden enumerarse procesos principales como la captación de clientes, las ventas, la atención al cliente, la contratación de personal, las compras, la gestión de visitantes y las finanzas. Después, deben identificarse los formularios, las aplicaciones, los buzones de correo electrónico, las carpetas de archivos y los proveedores de servicios utilizados en cada proceso. Las entrevistas con los responsables de los procesos son importantes para detectar prácticas que no aparecen en la documentación existente.

Por ejemplo, si se considera que en el proceso de recursos humanos solo se recopilan currículos, el inventario quedará incompleto. Las notas de las entrevistas, las comprobaciones de referencias, la documentación de incorporación y la creación de tarjetas de acceso también pueden ser distintos puntos de tratamiento de datos dentro del mismo proceso.

Documente cada actividad de tratamiento con la misma estructura de registro

Para que el inventario sea útil, debe utilizarse una estructura de registro similar en todos los procesos. Una plantilla práctica puede incluir los siguientes campos:

• Nombre de la actividad de tratamiento y del proceso al que pertenece
• Grupo de titulares de los datos
• Categorías de datos personales y, cuando proceda, de datos personales especialmente protegidos
• Finalidad del tratamiento
• Evaluación de la organización sobre la base jurídica del tratamiento
• Fuente de obtención de los datos
• Aplicación, dispositivo o entorno físico utilizado
• Unidades internas y proveedores de servicios con acceso
• Partes a las que se transfieren los datos y finalidad de la transferencia
• Norma interna sobre conservación y eliminación
• Responsable del proceso y fecha de actualización

Estos campos no tienen que aplicarse con el mismo nivel de detalle en todas las organizaciones. Lo importante es que cualquier persona que lea un registro pueda comprender el ciclo de vida de los datos. Si la finalidad del tratamiento no está clara o solo se indica el departamento sin especificar el sistema, el registro se convertirá más adelante en una nota difícil de auditar.

Por ejemplo, las solicitudes de soporte pueden incluir el nombre del cliente, sus datos de contacto, información sobre el dispositivo y el contenido de las comunicaciones. Debe indicarse claramente que estos datos se utilizan para resolver la solicitud de soporte, se almacenan en la plataforma de soporte y, cuando sea necesario, se comparten con un proveedor de servicios técnicos.

Verifique el flujo de datos con los sistemas y los proveedores de servicios

Las entrevistas sobre los procesos pueden no ser suficientes, ya que los empleados no siempre conocen con el mismo nivel de detalle los sistemas por los que pasan los datos o los servicios que intervienen en segundo plano. Por ello, también deben revisarse el inventario de aplicaciones, los permisos de los usuarios, los contratos, los formularios, los grupos de correo electrónico y los espacios de almacenamiento de archivos.

La lista de sistemas proporcionada por el equipo técnico puede compararse con la información sobre los procesos recopilada de las unidades de negocio. Si se observa que los datos de clientes se almacenan en un sistema que no aparece en el inventario del área correspondiente, existe una discrepancia que debe explicarse. Del mismo modo, si se transfieren datos a un proveedor de servicios, pero dicha transferencia no figura en el contrato o en la documentación del proceso, el asunto debe evaluarse por separado.

Por ejemplo, al utilizar un formulario de campaña, el equipo de marketing puede pensar que los datos solo se envían a una lista de correo electrónico. Sin embargo, una revisión técnica puede demostrar que los datos del formulario se transfieren primero a un sistema de gestión de relaciones con clientes y después a otra herramienta de comunicación. Si el mapa no muestra esta cadena, los textos preparados y los controles de acceso no reflejarán el flujo real.

Mantenga actualizado el inventario y hágalo coherente con VERBİS

El inventario de datos no debe tratarse como un proyecto puntual. La adopción de un nuevo software, la modificación de un formulario, la contratación de un servicio externo o el inicio de un nuevo proceso de negocio requieren revisar el inventario. Si no se asigna la responsabilidad de actualizarlo, el archivo pronto se convertirá en un registro que ya no refleja la situación actual.

El inventario también puede servir de base, cuando sea necesario, para preparar el Registro de Información del Sistema de Registro de Responsables del Tratamiento (VERBİS). No obstante, las obligaciones relativas a VERBİS y sus excepciones deben evaluarse por separado conforme a los criterios vigentes; los registros o notificaciones que se realicen deben ser coherentes con la información del inventario.

Uno de los errores más habituales consiste en revisar únicamente los formularios del sitio web y dejar fuera los documentos físicos, las conversaciones telefónicas y los flujos de datos de los proveedores. Otro error es agrupar todas las actividades bajo una única finalidad general. Un enfoque más sólido consiste en establecer un sistema de trabajo aprobado por los responsables de los procesos, contrastado con los registros técnicos y actualizado cada vez que se produzca un cambio.

Como primer paso de bajo riesgo, seleccione un único proceso y documenten conjuntamente su flujo completo, desde la fuente de los datos hasta el punto de eliminación o archivo.

Preguntas frecuentes

¿El inventario de datos lo prepara exclusivamente el equipo de tecnologías de la información?

No. El equipo de tecnologías de la información verifica los sistemas y los accesos; las unidades de negocio explican en qué proceso y con qué finalidad se utilizan los datos. El inventario adquiere fiabilidad cuando ambas partes evalúan esta información conjuntamente.

¿Debe mostrarse cada dato personal en una fila independiente del inventario?

No siempre es necesario utilizar una fila independiente. Las categorías de datos que se traten en el mismo proceso, con la misma finalidad y mediante flujos similares pueden mostrarse conjuntamente. Sin embargo, si existen diferencias en la finalidad, el sistema o la transferencia, es más claro separarlas.

¿Son lo mismo el inventario de datos y el registro de VERBİS?

No. El inventario de datos es un mapa de trabajo interno que muestra detalladamente las actividades de tratamiento de la organización. VERBİS es el registro que se realiza conforme al procedimiento establecido cuando existe la obligación correspondiente; el inventario es una de sus principales fuentes de preparación.