El RAT en la Práctica: Deja el Excel y cumple con la Nueva Ley de Datos Personales 🚀

Name: El RAT en la Práctica: Deja el Excel y cumple con la Nueva Ley de Datos Personales 🚀
Uploaded: 2026-05-08 12:42:27.688267
Description: Análisis y extracción de conocimiento del video 'El RAT en la Práctica: Deja el Excel y cumple con la Nueva Ley de Datos Personales 🚀'

Hoy día vamos a hablar del RAT. Vamos a hablar del RAT en la práctica, si es que sirve o solo existe. Y tenemos a dos grandes invitadas, Paulina Ceevedo, que es gerente legal en Transunion y Constanza Pasarín, que es manager compliance en Chile. La información de siempre o indicaciones, pueden dejar sus consultas en el chat. Haremos una ronda al final de la del de la sesión para poder responder la mayor cantidad de consultas. Obviamente como esta y nuestras otras sesiones estará nuestro canal de YouTube como grabación. Los invitamos, obviamente, si no lo hacen, a seguirnos en el LinkedIn de Ley de datos. Pueden agendar su demo del SAS en leadedatos.com y agendar sus capacitaciones de leyatos.com/capacitaciones. Antes que todo queríamos hablar de nuestra solución. Nosotros tenemos somos un software o un SAS para eh cumplirle de manera automática la ley de protección de datos personales y tenemos seis módulos que uno es el registro de actividad de tratamiento que permite documentar y gestionar el RAT que es lo que vamos a conversar hoy día. Tenemos un módulo de inventario y clasificación de datos de manera automática, gestión de derechos arco arco máopa los derechos de los titulares de manera automática en un flujo. Gestión de consentimientos y cookies, que es un control centralizado de las permisos y preferencias de los titulares de datos, evaluaciones regulatorias o assessment que son realizadas con inteligencia artificial y un módulo de capacitaciones asincrónicas para trabajar con todos los colaboradores de la organización. Dicho eso, ¿cuál es la agenda de hoy? Primero, el levantamiento del RAT, cómo se construye un RAT útil y accionable. Este trabajo transversal, porque obviamente el RAT involucra más de un área. Gestión y actualización, ¿cómo mantenemos el RAT vivo? O sea, el RAT no esperamos que se llene una vez y lo olvidemos y los riesgos y herramientas de, por ejemplo, usar Excel al momento de llenar el R. Pero antes de presentar a las invitadas, queríamos aprovechar esta instancia para hablar de nuestra nueva alianza con Transunion. En este espacio que queremos invitar a Trans Union a ser parte de lo que estamos armando. Transunion es una organización global en presencia de más de 30 países que ayuda a las empresas a identificar mejores clientes, administrar riesgo y tomar decisiones más informados. Y vemos que acá hay un nuevo camino de alianza en el que ellos van a aportar una mirada global sobre los datos, eh la confianza que ya tienen con sus consumidores y sus clientes y este cumplimiento al que están siempre orientados. Nosotros estamos aportando la vertical de protección de datos personales y juntos vamos a habilitar una nueva eh preparación o presentación operativa para cumplir la ley, siempre con el estándar de transunion. Entonces, creemos que pedir el consentimiento es o o fue el primer paso, pero ahora vamos a gestionar la confianza como nuevo estándar. Dicho eso, las invitadas. Paulina Cedo es gerente legal en Transunión, abogada en el derecho de los negocios y diplomada en compliance corporativo. Amplia experiencia en empresas tecnológicas y multinacionales. Especialista en compliance, gobierno corporativo, contratos y datos personales y nos va a aportar una mirada práctica para conectar el cumplimiento con la operación del negocio. Y por otro lado, Constanza Pasari, eh manager manager compliance ciberseguridad y protección de datos enja Chile, que es directora de la AGPD y la REDIAC con experiencia académica en ética de datos, compliance y protección de datos. Abogada especializada en protección de datos personales de derecho tecnológico compleañas y ella ha liderado múltiples proyectos de adecuación regulatoria bajo la ley 19628 y la ley 21719. Dicho eso, los dejo con Ignacio Gallardo para que podamos partir el webinar y que nos vaya super el Hola, Rodrigo. Eh, muchas gracias por la presentación. Eh, quiero agradecerle también a Coni, a Paulina por aceptar nuestra invitación y por estar aquí presente. E quiero confirmar solamente que estoy con un problema con internet. Eh, Coni y Paulina, ¿me escuchan bien? Sí, yo te escuché. Ya, perfecto, que tuve justo un problemita aquí, pero vamos con las preguntas. El el tema de de hoy, como bien decía Rodrigo, es el levantamiento del RAT y la gestión de un registro de actividades de tratamiento. Ese es el tema de hoy. Quiero partir con Constanza y vamos a partir primero con lo que es el levantamiento del RAT. Ese es nuestro el foco de esta primera sección del webinar. Eh, Constanza, te quiero preguntar eh en tu experiencia en la en la práctica desde el mundo de la consultoría, eh, cuéntanos primero eh para qué sirve levantar un registro de actividades y cuál es el foco de un registro de actividades para una organización. ¿Por qué queremos un registro de actividades? Perfecto. Primero que nada, les quiero agradecer por la invitación. Muy contenta de estar aquí junto a Paulina, nuestra primera vez haciendo un webinar juntas. Eh, bueno, Ignacio, efectivamente el RAT o el registro de actividad del tratamiento es este inventario. Eh, nosotros siempre ponemos el ejemplo acá de la oficina como revisar la bodega que tienes y a inventariar lo que tienes. Al final es una herramienta que te permite conocer cuáles son los datos que tratas, para qué los tratas, cuáles son las finalidades, qué datos tienes. Es decir, es tu hoja de ruta para poder partir e trabajando en la adecuación y en la implementación de la ley de protección de datos. Sin esta herramienta es básicamente trabajar a ciegas y es muy difícil hacerlo eh con la realidad de la compañía. O sea, eh en el fondo es la hoja de ruta de todas las empresas que todas las empresas deberían tener para poder saber de dónde provienen sus datos, para qué los usan, eh cuánto tiempo los almacenan, si los mandan afuera del país o no, etcétera, etcétera, etcétera. Esto también nos permite, obviamente, el día de mañana poder eh delimitar riesgo y saber cuáles son nuestras actividades del tratamiento más riesgosas y así, obviamente, pone poner más foco y ojo en controlar aquellas. Y también nos sirve como un un mapa de para reconocer cuáles son las actividades del tratamiento que son necesarias, por ejemplo, de evaluaciones de impacto, que es una obligación fundamental de cumplimiento de la ley. Sin esa obligación en verdad, si no cumplimos con la evaluación de impacto cuando la ley lo requiere, estamos en falta y también para evaluar nuestro interés legítimo cuando lo invoquemos como base de licitud. En el fondo es el inventario y saber cómo vamos a operar de quién más. Gracias, Coni, efectivamente, el RAT es un inventario y es una herramienta para lo que tú bien dijiste, para la gestión de riesgo, para evaluar los riesgos más adelante, las actividades de tratamiento, para tomar decisiones. Al final del día es como nuestra hoja de ruta, por decirlo. Paulina y bueno, agradecerte también por estar acá y desde el punto de vista de, en tu caso, dentro de una organización, una organización que ya lleva un camino avanzado con este el tema de los registros de actividades, también te ha tocado eh trabajarlo para tu organización y me imagino que con los dolores de cabeza que esto significa. Eh, te quiero preguntar desde tu experiencia, ¿qué ha sido lo más difícil en este proceso de levantar un registro de actividades, de tener claridad de todas estas actividades y procesos dentro de una organización? Eh, y cómo al final lo lograron resolver, cómo lo abordaron. Dale, buena pregunta. Esta es una respuesta desde el sufrimiento, básicamente la experiencia que tiene uno eh desde adentro de la organización y también muchas gracias por la invitación y y me encanta poder participar con usted y estar obviamente participando con con Coni, es espectacular. Así que muchísimas gracias por por el espacio. Eh, como bien decía Coni, esto al final es un inventario y es un inventario operacional que une áreas, es transversal, no solamente legal, va a unir a legal, a compañas, ATI, infraestructura, negocio. Entonces, me encanta el ejemplo que dio Coni donde dice, "Hay que irse a la bodega y hacer un inventario." Y literalmente es eso, tenés que irte a la bodega, sacar cajas, limpiar, ordenar, porque esta es un este es un nuevo roadmap que tenemos con la nueva con la nueva ley, donde subimos los estándares a GDPR, donde tenemos ahora vamos a tener un regulador, vamos a tener fiscalizaciones, es un nuevo mundo, ¿no es cierto? Y algunas veces nosotros hemos conversado contigo, Ignacio, que es como y con la Coni también y con otras actores hemos dicho, "Nos están entregando un Ferrari y las calles están todavía con tierra, o sea, ¿cómo lo vamos a manejar esta tremenda ley que se nos viene?" Y [carraspeo] una cosa importante es comenzar a preparar ese camino, ¿no? Y el rat es eso. Al final del día, el RAT [carraspeo] es una herramienta que tiene que ser viva, tiene que estar actualizada, tiene que ser transversal a toda tu organización. Eh, si no te sirve el RAT a tomar decisiones más rápidas y más precisas, es que es de papel. Ya. Entonces, nosotros, ¿qué cuáles fueron las dificultades que vimos? Primero, meternos a la bodega y limpiar, que fue tema obviamente porque tú comprenderás que un buró de crédito es harto el el tratamiento que tiene, pero somos una empresa con unos estándares super altos de compliance. Entonces, ya veníamos con todos los estándares internacionales aplicados, pero tuvimos que aplicarlos localmente. Yo te diría que lo principal ha sido definir primero el scope de dónde partíamos, porque tienes una uno tiene la tendencia a partir como de lo más pequeñito y en realidad tienes que partir de lo más amplio, ¿no es cierto? Ver cuál es el scope, partir de lo más amplio, definir los tratamientos. En el caso de nosotros fue ya estos somos nosotros, estos son los datos y después subdividimos y fuimos como por negocios, por verticales, ya tenemos esta vertical, esta vertical, esta vertical, esta vertical. De ahí también nos dimos cuenta porque te vas dando cuenta en el proceso, es algo tan nuevo para todos nosotros que también había lenguaje que no compartíamos. Por ejemplo, nosotros decíamos un un, no sé, base licitud y ti me hablaba de otros temas de cosas, infraestructura me hablaba de otra cosa, de flujos de sistemas. Entonces también llegamos al punto de un glosario común para que todos entendieran qué significaba baselicitud, qué significaba la finalidad, qué significa el tratamiento, porque como este mapa operacional que es el RAT, ¿no es cierto? desde dónde entra, hasta dónde sale el dato y este este flujo completo y este mapa completo. Entonces, resumo, fue partir de lo grande y no irnos a lo chico. Fuimos dividiendo por áreas, por verticales. Nos dimos cuenta que había que entendernos y hablar el mismo idioma, porque algo super básico, de verdad, nos dimos cuenta que teníamos un tema con el idioma. Eh, y también lo que hicimos fue colocar owners, owners por por vertical, owner por pedazos de información, porque también te das cuenta que si no haces eso, la información te llega parcial, te llega más o menos, no se entendió el significado. Entonces, cuando hay un owner, tú vas y las la contability, oye, necesito esta información en este plazo, en esta forma, en este formato. Entonces, el tema de la propiedad, que probablemente no vamos a conversar, el tema de la propiedad del RAT es importante porque muchos creen, ah, es legal, ¿no? La realidad que si solamente es deslegal se muere, es de todos. Entonces fue eso, fue partir de lo grande a lo pequeño, ir dividiendo como por ir dividiendo por sectores, por temáticas, por verticales, hacer un tema de de quiénes son, cuál es el glosario para que nos entendiéramos, que fue super básico, yo pensé que nos iba a pasar y nos pasó. Y luego los owners, tener owner por cada uno de de las verticales o de o de los espacios dentro de la empresa que que estábamos haciendo. Entonces, eh dolor, pero la verdad aprendizaje y y sí, básicamente eso fue, no sé si responden, pero eso fue básicamente la la como comenzamos. Gracias, Paulina. Efectivamente, un aprendizaje no exento de dolor. No, no, [risas] pero distinc en algo, o sea, al final el RAT es un eh este inventario que estamos hablando es una herramienta que une a las distintas áreas de una empresa y como bien dijiste, no hay un solo dueño, no es algo legal, no es algo tecnológico y es tan rico que eh al final tuvieron que e compartir sus visiones y entender su propio lenguaje. Tú desde el punto de vista legal. las áreas técnicas desde el punto de vista eh técnico hacia ti, viceversa. Así que al final yo creo que el levantamiento del RAT es una experiencia enriquecedora también para la empresa, para la organización y para que quienes finalmente van a trabajar con datos, que son los principales llamados a gestionar el RAT. Pero ahí me surge una pregunta con eh que tenemos este levantamiento del RAT. Efectivamente, queremos hacerlo lo mejor posible, queremos que todas las áreas se involucren, eh queremos hacer un RAT profundo que contenga toda la información de la empresa y ojal y como bien decía Paulina, viva. Pero, ¿qué tan profundo te puede ser? Porque pasa que desde el mundo de la consultoría, cuando apoyan a la a la empresa en el levantamiento de un RAT, no se puede hacer todo probablemente. Y también hay una hay una sobrecarga o un nivel de detalle de información que quizás no es óptimo, eh, o quizás sí es necesario porque la ley lo exige. Ahí cuéntanos, Coni, por favor, cómo es tu visión al respecto y cómo lo han resuelto también con sus clientes, con las personas que han tenido que asesorar en el levantamiento un rato. Eh, comparto los dolores de Paulina de que es difícil para todos internamente, me imagino, y externamente también, porque el problema del lenguaje es es transversal. O sea, a mí me pasa mucho que los clientes no entienden lo que lo que lo que lo que compraron, no entienden la asesoría que estamos prestando. Y muchas veces ellos creen que con una entrevista donde te dicen, "Sí, tratamos nombre rot, tratamos perfil X y ya están y nosotros vamos a entregar la solución así un día y listo, aquí está tu rap, nunca más lo viste." Eh, eso es un dolor de cabeza también para nosotros como asesor externo. Y justamente cuando nosotros nosotros tenemos super estandarizado nuestro rato, ¿ya? es una lo tenemos bien detallado y viene un poco de la metodología que nosotros tenemos como oficina de España. Entonces está muy parametrizado, los riesgos están parametrizado, etcétera. hicimos una bajada local, evidentemente, pero lo tenemos super eh definido, digámoslo así, con hemos ido haciendo mejoras como definir el tratamiento, eh describirlo para ver un poco el flujo del dato, pero en verdad eh desde la oficina de España se ha simplificado bastante y de hecho vi ahí una pregunta que decía como es necesario poner el root específico por favor no, pero sí pueden poner como de hecho ellos en España, por ejemplo, ponían en vez de poner root, nombre, apellido que Nosotros lo hacemos acá para para efectos de tener más trazabilidad y visibilidad de lo que se está tratando. En España se acordó y se dejó como datos identificativos, todo muy genérico, eh datos de contacto, etcétera, etcétera. O sea, ellos lo tienen de otra manera. Pero si me preguntan a mí, a mí me gusta un poco más el detalle para saber realmente qué es lo que estamos tratando y cuáles son los resguardos en específicos que tenemos que tener respecto a cierta información. Porque efectivamente, por ejemplo, si somos una universidad, nosotros tratamos datos eh de estudiantes que cuando ingresan a la universidad son menores de edad. Entonces, igual hay que hacer ciertas distinciones para poder eh saber dónde están nuestros riesgos. Entonces, el detalle ahí quizás aporta aporta en esta en esta visibilidad de dónde tengo que poner el foco, pero efectivamente la idea del RAT es que nos permita tomar decisiones, ¿cierto? Entonces, la idea es que tenga la información suficiente para poder yo eventualmente como empresa tomar decisiones correctas y que no sobreabunde tampoco porque cuando tenemos un RAT mutante con mucha información ya se vuelve insostenible y no se ejecuta de la manera correcta. Entonces, hay cosas básicas que debe tener, como dijimos, ¿cuál es el nombre del tratamiento? ¿Cuál es el departamento responsable de ese tratamiento? eh por d la fuente del dato, por dónde entró, eh los tipos de dato, eh cuál es mi base de licitud, por supuesto, si hay categorías especiales, niño, niña, adolescente, etcétera, cuál es mi mi base de ilicitud para ese tratamiento si hay datos sensibles, eh cuánto tiempo los almaceno y los conservos, cómo informo al titular, cuál del del tratamiento, cuál cómo cumple el principio de transparencia e transferencias internacionales y también los terceros, que son muy importantes, tener mapeados los terceros, es decir, decir, ¿a quién le paso datos como encargado de tratamiento o como o como sesionarios? Al final, la idea es poder tener todo eso que es lo básico dentro de esta gran herramienta llamada RAT y bueno, por supuesto, las medidas de seguridad que son claves para saber cómo estamos protegiendo la información y con eso ya es más o menos gestionable para una empresa, obviamente con una empresa pequeña es más fácil, pero como estamos hablando de una entidad grande eh igual es es complejo y y requiere apoyo de todos. O sea, si bien va quizás va a haber un encargado que va a ser el delegado de protección de datos, como decía Pauli, al final hay que tener estos eh, no sé cómo le dijiste tú, pero yo le digo líderes, owners. Yo digo líderes, empresa gringa, empresa gringa. Tú eres el embajador de recursos humanos. O sea, es que si no, ¿cómo? O sea, me fuera la DPO de una empresa y lo fui en un momento y me acuerdo que yo en España les decía a la gente como, "¿Ya me puedes comentar qué estás haciendo?" Es que nadie, si no nadie me pescaba, o sea, en el fondo tenía que dirigirme una persona en particular y decirle, "¿Qué estamos haciendo con los datos?" y ahí me respondían y uno se hacía cargo, pero si no tenemos a ese owner que que no que entienda bien lo que estamos haciendo, es ingestionable al final. Y la idea es que nosotros podamos usar esta herramienta antes del tratamiento, no cuando ya está ocurriendo y tenemos ahí todos los riesgos ahí visibles, sino que antes de que ocurra, antes de mapearlo, decir, "Ya, evaluemos lo que vamos a hacer, cómo lo vamos a hacer, etcétera, etcétera, etcétera." Bueno, es eso último es clave también porque es lo típico que es primero el huevo de la gallina, o sea, primero primero el registro de actividades o o el tratamiento. Sí, claro. Por eso también ahí pasamos el mensaje de que este es el minuto idóneo para hacer levantamiento registro de actividades porque después a partir del de el del primero de diciembre ya cambia un poco el panorama. Eh, quiero tomar un poco lo que lo que señalabas como para empezar como y también a nuestro público que probablemente está en este en este proceso de levantamiento un RAT de del mensaje general que tú señalas que ir un poco de lo general, ir un poco de los requisitos de estos campos que sí o sí tiene que contener un RAT. Sí. Eh, también desde la de los datos personales que se tratan, las categorías, categorizarlo es una un buen ejercicio, o sea, categoricemos primero qué datos personales estamos tratando y después vamos a ver en nivel de detalle. En nivel de detalle también involucra riesgo. Disten esclavo, por ejemplo, en el dato de los menores de edad, que que la que la nueva ley lo trata de forma específica. Eh, pero pero claro, quizás y de lo general a lo particular llenando los campos que son necesarios para para una gestión mínima de un registro de actividades y quizás para alimentar el camino para lo que viene después, porque hay cosas que no se pueden escapar, la medida de seguridad, no pueden quedar fuera. Pero también dijiste que esto es fácil en una empresa más pequeña o no fácil, pero quizás más gestionable y en una empresa grande esto se complica y sabemos que mientras el tamaño de la empresa es más grande quiere decir que tiene más gente, más personas a cargo de distintos procesos y esos distintos procesos se traducen en una o más actividades. hablaban de los owner, hablaban de estos líderes de los procesos, los líderes que que van a ser finalmente los que van a gestionar sus propias actividades. Eh, ahí, Paulina nos comentaste un poco antes esta relación entre las distintas áreas. Eh, Coni también nos habló de del rol de un DPO, que cuando a veces no lo pescan mucho. Em, desde tu perspectiva, ¿cómo logramos involucrar a la gente para a las distintas áreas? ¿Cómo logramos que ellos se comprometan con este registro de actividades? El sombrerito de owner que le pusimos realmente lo lleve puesto, eh, y que quizás estos líderes también pasen el mensaje a sus equipos, que al final son los que van a trabajar con esos datos. ¿Cómo cómo hacemos este trabajo internamente? ¿Cómo hacemos la evangelización? Básicamente, eh, mira, nosotros lo que nos dimos cuenta de nuevo, esta es una empresa obviamente super grande, tan millones de países y todo, pero una una experiencia que yo saqué de otros procesos que hemos tenido es eso de los owners, o sea, literalmente. Y tomo una pregunta que hicieron, les pido disculpas si no me expresé bien. Cuando hablo de verticales me refería como a las áreas dentro de la empresa. Entonces, si es producto, si es soluciones, si es ti, si es infraestructura, si es recursos humanos, si es negocio, en fin, ¿no? Entonces, tú tomas todas las áreas que tienes dentro de tu empresa, por muy grande que sea o muy pequeña que sea, si tiene tres áreas, dos áreas, cuatro áreas. Y a cada área se define un owner. Entonces, en el minuto que tú pones a un dueño de recursos humanos para este tema, ¿no es cierto? O a un dueño frente a ti o un dueño en inrainfraestructura o un dueño en data, eh, esa persona ya tiene esa responsabilidad. Entonces, nosotros lo que hicimos fue uno nos dimos cuenta, como te decía antes, les decía antes, que el idioma es increíble como el glosario, el idioma y que habláramos lo mismo fue super importante porque en realidad algo super básico, yo me di cuenta que estábamos topándonos porque no estábamos hablando lo mismo o se entendían cosas distintas con la misma palabra, en fin. Entonces, la explicación básica de un glosario y de unas sesiones supercortas, super rápidas, precisas, donde se explicaba esto y mostrarles lo que uno gana con esta herramienta, en el tema de la trazabilidad, el tema del control, el tema de tomar decisiones más rápidas, ¿no es cierto? la eficiencia, eh cómo se controlan los riesgos, la operación misma. Una vez que entienden tus equipos internos y las distintas verticales o áreas, la importancia que tiene para el negocio y para la operación, eh se mueve mucho más rápido. Entonces, para mí fue un tema del idioma, cómo hablábamos, que entendiéramos lo mismo y luego hacerlos entender la importancia de esta herramienta desde el punto de vista operacional, eh, y mostrarles como quick wins también, ¿no? Si mira, esto ya estaba listo, entonces este flujo no está duplicado, eh este tercero tenía X y entonces se requería un DPA o no. O sea, esos quick wins también sirvió mucho, pero yo creo que principalmente fue tener los owners, los dueños por cada por cada área y hacerlos entender eh la importancia operacional para el negocio y la eficiencia que significaba en la toma de decisiones tener esta herramienta. Yo creo que esa fue la bajada para nosotros que que hizo como el el cambio. Muchas gracias, Paulina. Efectivamente, estos pequeños wins son los que al final estas pequeñas tareas son las que al final van dejando y después uno va viendo como cómo la organización se va ordenando, eh se va comprometiendo también con lo que es el tratamiento de los datos personales y y lo hace parte de su de su proceso, de su día a día. Eh, ya no hay que entender la ley, si no implementamos la ley y sabemos por qué lo estamos haciendo de esta manera. Eh, quiero hacer una pregunta ahora para ambas. Eh, no sé quién va a tomar el la batuta acá, [risas] pero estamos estábamos hablando del levantamiento, un registro de actividades. Efectivamente, el proceso más más complejo desde un inicio e el punto partida, por decirlo, la primera piedra, pero llega un punto en que tenemos que decir, tenemos nuestro registro de actividades, o sea, dijimos que no puede tener un nivel de detalle, probablemente no puede abarcar todo, probablemente van a quedar cosas en el camino. Pero, ¿qué tiene que pasar entonces para que una empresa diga que tiene su primera versión o su primer documento consolidado de registro de actividades? ¿Qué es lo que tiene que pasar para que ustedes digan, "Este es nuestro rato." No sé quién quiere partir. Vamos a bajar a la consultora, a la señora hija que parta [risas] con la respuesta. Oy, está difícil esa pregunta porque claro, encuentro que es tricky tu pregunta porque una cosa es tener mi documento ya ponerle un Excel, Word o herramienta porque se puede tener en los tres formatos, digamos. Eh, y otra cosa es que ese RAT realmente esté vivo, que funcione, que alguien lo revise, que alguien lo actualice, etcétera, porque cuando queda en el papel, pucha, para mí no diría, yo no diría que tenemos un RAT, si es que la cuestión está por ahí. De repente le decía al consultor, "Oye, esto lo podemos actualizar después de 10 meses cuando hicieron 80,000 nuevos tratamientos." Entonces, eh para que realmente podamos decir, sí tenemos un rap que alguien tiene que hacerse cargo de actualizarlo. Alguien tiene que estar constantemente revisándolo, eh actualizándolo, gestionándolo y en el fondo haciendo que viva. Si no, para mí es simplemente papel y no sirve mucho. O sea, haciendo el símil e que tienen esto quizás más fresco, que es el tema del modelo de aprensión del delito. cuando hablamos del modelo prevensión del delito y es mi modelo, aquí lo saco de repente aquí, no tengo idea qué dice, pero aquí está ya no no tenemos que trabajar la herramienta. Todo eso está para que uno lo trabaje, lo gestione, lo utilice, sea parte del ADN de el negocio y en el fondo que se sepa que, por ejemplo, vamos a hacer una campaña eh X con menores de edad, ya, oye, son menores de edad, ojo, ya, ¿qué vamos a hacer? ¿Cómo vamos a proteger esta información? ¿Cuáles son los contratos que firmamos? ¿Cuáles tenemos en el caso de datos sensibles la autorización de los papás para x cosas? Estos son estos son más grandes. ¿Pueden autorizar? No sé. En el fondo hay que gestionar esta herramienta llamada RAT para que podamos decir, "¿Sabes que tenemos un RAT?" Si no, para mí es papel. Así que no pasa la prueba. Genial. Paulina, ¿qué nos puedes decir al respecto? Eh, estaba pensando en la experiencia e y de hecho en algún momento me han preguntado qué es mejor tener un y me encantó la comparación que hiciste porque el tema de los modelos de prevención del delito se ha dado mucho y bueno, y se ha dado a nivel ya de tribunales y de juicios que tener un modelo de prevención de papel no sirve absolutamente de nada y es lo mismo con el RAT. El sí que hiciste está espectacular. Eh, el RAT tiene que ser una herramienta viva, como les decía yo, es una herramienta, es un mapa eh de la operación misma que abarca todas las áreas, todos los todas las verticales, todas las áreas, todos los negocios que uno tiene en la empresa. Y al final, ¿qué? A ver, lo estoy pensando en voz alta, hay que pensar entre un R inicio a uno maduro, ¿no es cierto? el inicio, el desde te va a decir qué haces con los datos. Básicamente, qué datos tengo y qué hago con los datos. B, creo yo que esas son las respuestas que uno básicamente tiene que responder. ¿Qué datos tengo y qué hago con los datos? Uno maduro, ya bien trabajado, te va a a probablemente llevar a tomar mejores decisiones, que es lo que yo hablaba al inicio, ¿no? Pero yo creo que el inicio, lo básico y el desde es qué datos tengo, eh, y qué hago con esos datos, ¿no es cierto? ¿Dónde están los datos? ¿Quién los usa? ¿Hay terceros involucrados? Ese es como el mínimo minimóum. Y luego a lo que uno quiere llegar, obviamente, es que esta herramienta eh te lleve a tomar decisiones más rápidas, decisiones más eficientes. Pero lo que decía Coni, me encantó el similit con el modelo de operación del delito, superreal. Pasó en Chile que todo el mundo sacaba los modelos y era un copy paste y te das cuenta que no tiene que ser una camisa a la medida para cada uno, porque incluso tú hablab de empresas muy grandes, pero puede ser una empresa super chica, pero que tenga mucho tratamiento de datos, puede ser una fintech que tenga mucho tratamiento de datos. Entonces, la verdad que el RAT tiene que ser a la operación. Por eso que yo les digo que es un mapa, pero eh a nivel operacional que abarca todas las áreas, ¿no es cierto? porque tiene que ir a la realidad del negocio mismo. Eh, de nuevo, puede ser una empresa que tenga puede ser una un call center que no tenga mucha gente quizás, pero trata muchos datos. Puede ser una fintech que puede ser pequeñita, pero trata muchos datos. Entonces, el desde es qué tengo, para qué lo tengo, cómo lo uso y un un RAT maduro que al que uno debiera apuntar que nosotros como organización estamos caminando de la mano a usted, ¿no es cierto? ley de datos a eso es la eficiencia, la rapidez, la la decisión más rápida, la decisión eh con con mayor trazabilidad, con mayor conocimiento, con mayor información, creo yo. Va por ahí. Muchas gracias, Paulina Coni. Efectivamente, eh, en le aquí nuestra asistente nos declaramos enemigos de los de los rat de papel, ¿sí? de estos Excel que después terminan en un correo electrónico, en una carpeta o se replica por todas partes y nadie sabe cuál es la versión que definitiva, si la 1.1 o la la versión 1000. Claro. E y por eso mismo quiero dar antes de pasar a la siguiente sección, quiero dar el pase a Rodrigo, eh, que nos va a presentar ciertas funcionalidades de nuestra herramienta que tenemos en ley de datos del registro de actividades para que este RAT no termine en un Excel, no termine muerto si no sea una herramienta viva. y tomando el Sil que hizo Coni Coni con el con los modelos de prevención de delito, que sea efectivamente implementado. Así que Rodrigo, te doy el pase. Muchas gracias Ignacio. Y vamos a aprovechar que hay una pregunta de Doris que dice, "Por favor, ¿pueden presentar de manera ejemplo el diseño del RAT?" Vamos a hacer eso mismo en este momento. Entonces, lo que pueden ver acá es un RP propiamente tal de una actividad. En este caso es comunicación con comercial con perfilado externo. Y podemos ver los distintos campos que en nosotros el datatos proponemos. Sí, decirle a nuestros clientes y prospectos que efectivamente el RAT nosotros lo ajustamos a cada uno de ellos, no es que necesitamos como obligarlo a usar nuestro RAT. Y ustedes acá pueden entrar rápidamente a editar los distintos campos que ya fueron levantados, por ejemplo, las bases de institut, todas referenciadas con la ley. Y la gracia es que este RAT es un RAT que eh es estándar internacional, obviamente se pueden hacer ajustes, pero les puede dar una primera mirada a la organización de qué cosas debeñar en el RA cuando no tienen siempre la suerte de contar con un asesor experto y les pueda ayudar. Este RAP, además, lo pueden exportar a PDF, entonces la gracia es que se lo podemos entregar a distintos actores que quizás no necesitan entrar a la plataforma a revisar. Entonces, ya tenemos acá el RAT y por ahí también escuchábamos conversar respecto a los versionados. Efectivamente, nosotros tenemos aprobaciones de RAT, entonces cada uno RAT van a quedar guardados. ¿Qué más podemos ver acá? Alguien preguntaba, "¿Qué desglose puedo poner en la categoría de datos?" Acá nosotros tenemos una tipología propuesta bien granular y también podemos ajustar a otras categorías que tengan nuestros eh clientes. Tenemos una sección de evaluaciones que es el siguiente paso después del RAT. Ver si por ejemplo tenemos que hacer una evaluación de interegítimo siamos usamos esa base deitud. Una prevaluación de impacto haberse y riesgo para los titulares de datos. una IPD. Todo esto obviamente asistido con inteligencia artificial, eh material de otro capítulo. Tenemos la parte de gestión de riesgos y controles. Podemos ir agregando riesgos y controles a al RAT. Y de hecho, en los controles, que también creemos que es muy importante, eh si vamos a gestionar controles, vamos a poder agregar tareas al control. Sí, vale decir que entendemos que nosotros tenemos que gestionar este control con tareas porque si no queda como algo que guardamos en el tintero y no volvemos a revisar hasta que el consultor o nosotros decidimos dar una segunda vuelta. Y para ir cerrando, eh tenemos también un historial que nos permite ver qué cambios se fueron realizando en el RAT, ¿sí? O sea, en un Excel es muy difícil saber quién cambió qué, per acá tenemos trazabilidad en caso de auditoría o en caso de fiscalización. Y también si vamos a a la versión a la parte final tenemos un versionamiento, o sea, podemos ver cómo fue evolucionando el RAT para que no nos pase esto del RAT 1.1, 1.2 final, ahora sí que sí final, versión final, lo podemos ver acá. Y también tenemos la aprobación del RAT, que es para algunas organizaciones que necesiten que estos RAT se vayan aprobando. Y dicho eso, para cerrar también tenemos un DCHF que permite a la organización gestionar el RAT ver cuántas actividades tiene en total, cuáles son de alto riesgo, eh cuántas tiene aprobadas, cuáles son las bases que está usando, qué departamento está respondiendo con mayor detalle las actividades de tratamiento y así poder hacer seguimiento cuando nos pasa esto que decía Coni de que mira, sabes que como de peor, de repente uno va a tocar la puerta, no te pescan con esto un poquito más fácil también poder gestionarlo. Les vuelvo a dar el pase. Muchas gracias, Rodrigo. Eh, ahora queremos pasar a la siguiente sección de este webinar. Ya hablamos de lo que es el levantamiento de un RAT. Dimos algunas pistas también de lo que es la gestión de un RAT y obviamente con lo que pudimos ver de la plataforma. Eh, lo que estamos viendo es el RAT vivo, un RAT cuando ya está ya está levantado y la la organización lo está gestionando derechamente. Eh, Coni, te quiero hacer una consulta al respecto. en tu en tu como cómo te ha pasado a ti, cómo lo has visto tú quizás también como el rol de DPO que que te tocó tener e te tocó verlo más, pero si nos puedes comentar alguna situación, yo creo que alguna situación puede ser fácil para entender para nuestro público, eh, en que tuvieron que gestionar un RAT y al mismo tiempo algún proyecto, alguna actividad de de la organización y que el R fue la herramienta que ustedes tuvieron que consultar y que les sirvió de base para poder realizar eh proyecto, campaña, negocio, lo que sea de que haga una organización. Eh, ¿cómo fue? ¿Cómo opera este RAT en el día a día? ¿Cómo ha sido útil en el rol de un DPO, en el rol de la empresa internamente? ¿Cómo le ha sido útil y si nos pudieses dar quizás algún ejemplo de alguna situación que te haya tocado ver? Es difícil hoy en día desde el rol del consultor y como está la madurez de este tema en las organizaciones como dar ejemplos prácticos de este tema, porque solamente, por ejemplo, nosotros tenemos un cliente que está hace muchos años desde 2022 haciendo este este esta asesoría de datos. Entonces está con una maduración importante en el tema, o sea, de repente levanta, oye, cambiamos el registro, no sé, estoy metando, pero el registro de de los trabajadores para la asistencia en vez de firmar ahora va a ser eh huella, ¿ya? Entonces ahí se revisa lo que estaba en el RAT en su momento y se genera un nuevo tratamiento que sería eh marcar con biometría y ahí se en el fondo se evalúa lo que tenga que evaluarse, se hace todo en el fondo la gestión del riesgo eh para poder en fondo justificar el uso de este dato. Pero lo que si podría, porque digo, ese ejemplo es muy particular porque al final solamente con este cliente ha pasado los demás están sobreviviendo, digamos, a reconocer sus tratamientos. Y lo que a nosotros nos pasa mucho como asesor externo es que, obvio, cuando tú estás en una entrevista y levantas información, levantas, no sé, dos tercios, un tercio de lo que hacen. De repente te dicen como, "Oye, pero nosotros hacemos esto, hacemos esto, hacemos esto." Y tú como asesores, empezo, "Pero nunca lo conversamos, nunca levantamos la mano." Entonces al final ahí como que uno trata de poder abarcar lo que más puede respecto a lo que hacen hoy. Pero volviendo a la otra pregunta de cómo empezar a usarlo como herramienta para poder el fondo gestionar nuevos tratamientos o ver cómo operar. Me acuerdo un caso en España que yo como como encargada es que no era DPO oficial, pero era la DPO no extraoficial. Entonces yo me dedicaba a contactar a mis líderes que básicamente no estaban nombrados. Yo los designaba así como ya todas a ser mi líder y y los molestaba por correo. Ya, ¿qué estamos haciendo? firmamos esto, no sé qué, no sé cuánto. Y me acuerdo que una vez eh la directora de marketing iba a hacer un tratamiento así terrible, terrible, porque era una empresa que trataba mucho dato sensible, entonces ella iba a tratar eh mucha información para una campaña y mucha información sensible de nuestro en ese momento nuestros clientes. Y yo me acuerdo que le pregunté por qué lo iba a hacer, si había otra medida menos intrusiva, etcétera, porque en el fondo estaba ahí el tratamiento red flag por todas partes. Y eh me acuerdo que en ese momento ella me respondió que cuánto era la multa y yo le respondí y me dijo, "Ah, bueno, estoy dispuesta a pagarla." Eso también es una realidad que hay que considerar, que obviamente esta ley no es opcional del cumplimiento porque estamos hablando de derechos fundamentales y obviamente tienen que ser protegidos, etcétera, etcétera, y no es algo que podamos eh como el fondo obviar. Es verdad también que las empresas tienen realidades y a veces quieren asumir riesgos, ¿ya? Y en el fondo, uno como como asesor externo o como DPO interno tiene que levantar esos riesgos y decir, "Bueno, esto puede suceder si hacemos esto. Ya la decisión del negocio es ser es que del negocio y se pueden tomar decisiones más o menos riesgosas, que eso también es importante tenerlo presente. Uno como asesor al final siempre puede decir, esto lo podemos hacer así, asá. Pero pero hay cosas que a veces superan en el fondo el funcionamiento de de la operación, digámoslo así. Es más importante quizás para la empresa la operación y a veces prefieren en el fondo asumir riesgos. Entonces, la herramienta, como tú bien decías, sirve para eh tener eh visibilidad de de agarrar el tratamiento en su caso, evaluarlo, eh gestionarlo, minimizar el impacto, eh poner más medidas para proteger la información o mitigar el riesgo. Pero eso básicamente, sinceramente, en la práctica hoy en día en Chile cuesta mucho que los clientes se hagan cargo porque no hay una Paulina interna en todas las oficinas que hace esta pega y al final le llega a cualquier persona que no sabe lo que está haciendo y y se agobia también y yo lo entiendo porque no tiene por qué ser un experto en el tema. Entonces, como no hay entendimiento para todas las organizaciones de la importancia, y hablo de organizaciones que son bastante grandes y que tienen riesgos importantes, eh, generalmente la por ahora es un sobrevivir, es gestionar el RAT, es poner todo lo que se nos ocurra poner y ya eventualmente el día mañana ojalá poder revisarlo, gestionarlo, ir actualizando, etcétera, etcétera. Pero hoy día te digo la realidad que a mí me toca ver. Efectivamente, eh estoy totalmente de acuerdo contigo, hay un proceso de maduración. Estamos acá en Chile, estamos recién entrando a una etapa que ni siquiera tenemos una la nueva ley vigente. Estamos todos en esto que se llama proceso de adecuación, pero creo que eh diste clavo con la con la importancia del registro de actividades que incluso te sirve para tomar decisiones riesgosas. O sea, en el fondo, eh, el registro de actividades te ayuda a tener todas las cartas sobre la mesa. Eso es tener todas las casas sobre la mesa, entender bien cuáles son tus riesgos, entender bien cuál es tu margen de acción y bueno, cada organización entenderá también cuáles son su cuál es su tolerancia al riesgo respecto a estos temas, pero eso es es tener la información sobre la mesa, es tomar una decisión y después que no nos sorprendamos cuando nos llegue la mult. y tomar decisiones inteligentes al final porque el negocio tiene que seguir y hay cosas que van a hacerse igual, pero como dices tú que después digamos, oye, pero a mí nadie cómo nadie vio este como cómo nadie me dijo la multa o nadie me dijo que esto era un riesgo y ahí después la Bonnie y Paulina van a levantar la mano y yo te lo dije de todas esta forma [risas] y aquí está la información. pasa. Oye, Paulina, siguiendo también con lo que es la gestión del RAT, yo entiendo que hay un proceso de maduración y hay un proceso de que estamos recién pasando a la siguiente etapa, a la etapa de gestión. Ya hubo un levantamiento en el caso de ustedes. Eh, pero ¿cómo ha sido la gestión en para ti eh ahora que ya tienes un registro de actividades? ¿Te ha tocado actualizarlo? ¿Te ha tocado volver a revisar? te ha tocado eh quizás borrar, no sé, te ha tocado eh gestionarlo o o ya empezar a a dividirse las tareas con las distintas áreas, a repartirse un poco lo que es el trabajo del registro de actividades, o el tratamiento propiamente tal. ¿Cómo cuéntanos primero si te ha tocado y y cómo ha sido esa experiencia, cómo lo vivimos? Eh, sí, la verdad que eh y también tomando lo que están diciendo ustedes, eh hay que ponerse las pilas. O sea, nosotros somos somos servicios esenciales, somos operador de importancia vital, somos asesores crediticios por fintech, tenemos alto sombrero, eh, Transunion y como tal nuestros clientes son bancas, telc, seguro, retail financiero, cooperativa, o sea, hay más, ¿no es cierto? Y nos damos cuenta que a la fecha, en todas las reuniones que tengo, les digo, vamos, apurémonos, apurémonos, porque de verdad el primero de diciembre está la vuelta de la esquina y todavía no he revisado bien tu bodega, como bien decía Cony, eh, y este es el minuto, tomando lo que tú dijiste, este es el minuto para que ojalá, porque a mí me encanta la experiencia con ustedes, los busquen a ustedes y si no, pero pero hagan su RAT desde el más básico que tengo ¿Y qué hago con eso? Hasta la madurez, que es lo que tú me estás tocando tocando ahora, ¿no es cierto? Porque la gracia del rar que además puedes tomar decisiones más rápidas, pero con control. ¿Por qué con control? Porque tú ya sabes qué es lo que tienes, ¿no es cierto? Tienes la trazabilidad, incluso lo hemos visto en el tema de de los riesgos, en los temas de los incidentes. Hay un incidente, por eso contaba quiénes son nuestros clientes. Si tenemos un incidente, lo manejamos muchísimo más rápido la gestión porque ya sabemos rápidamente qué datos, qué sistema o qué terceros están involucrados. Eh, creo que la actualización es importante. Alguien había preguntado ahí, si no me equivoco, nosotros lo que estamos haciendo ahora, porque tampoco estamos tan increíbles, eh creo que estamos super bien, pero estamos en camino, ¿no? Es eh meterlos en comité el tema del RAT, que sea parte de tu agenda. Eh, como es una herramienta viva y es un mapa, ya dije, que afecta la operación completa y que tiene que ser transversar a todas las área de la empresa que tiene sus owners, que tiene sus líderes, lo que nosotros estamos viendo ahora es hacerlo como parte de los comités, por ejemplo, los comités, nosotros tenemos comité de datos eh por país eh que son mensuales y lo que yo estoy viendo que ya parte de ese comité de datos en la agenda aparezca rat, ¿no? y que lo podamos conversar, lo podamos discutir. Yo creo que honestamente ahora todavía es una herramienta super viva y está como en constante reformulación o actualización porque nosotros partimos de un desde que era el Excel porque hay que partir de algo y ahora estamos pasando a lo que mostró Rodrigo que es espectacular que es la la plataforma, el módulo que tienen ustedes que obviamente soluciona la vida. Eh, yo creo que sí tiene que ser parte tan integral de la vida diaria del vow, del business as usual de la empresa, que tiene que para mí, que yo lo estoy postulando así, que sea parte de estos comités de datos donde sea un punto, un punto en el que uno para hablar del RAT, eh, porque de nuevo, si nosotros queremos llegar a un RAT maduro que no solamente te dice qué es lo que tienes y qué es lo que haces con la data, sino que te lleva a tomar estas decisiones más rápidas, pero con control, creo que ese este RAT tiene tiene que ser parte de tus comités, tiene que ser parte de tu día a día, eh, para mí, por lo menos así, así lo así lo estoy apuntando yo, así estoy vendiendo la la pescada, como decimos [risas] Bueno, hacerlo parte también de la conversación. Exacto. Eh, muchas gracias, Paulina. Eh, Coni, también en este mismo sentido hablando de lo que es la actualización de un RAT, de esta herramienta viva de que al final vamos a estar siempre volviéndolo a revisar, volviéndolo a mirar, es un proceso, como dicen, de mejora continua, pero también para para comentar a nuestro público y quiénes están en este proceso, que que son los que nos más interesa, que poder ayudarlo. Eh, ¿qué gatilla? ¿Qué puede gatillar la actualización de un rato? ¿Qué que al final qué son los hitos? ¿Qué tiene que pasar para que yo diga, hm, voy a ir a mirar registro de actividades, voy a ver si está contemplado, no está contemplado. Eh, ¿qué qué cosas pasan que uno dice tiene que haber un una actualización? Es una buena pregunta porque pueden ser varias varios factores. Quizás el más sencillo sería un, por ejemplo, una nueva empresa, un nuevo producto, un nuevo servicio que estemos diseñando. Eh, ya desde ahí se debería evaluar desde el comienzo todo el privacy by design, que es el que está este deber principio que tiene se debe cumplir, que también es super poco entendido porque no se entiende muy bien al principio de qué se trata, pero justamente es poner en el centro de la mesa, como dijimos antes, la privacidad desde el diseño de todos nuestros procesos, productos, servicios, lo que sea que estemos haciendo, eh que requiera, obviamente tratamiento de datos personales. Entonces, eso sería como un punto de partida. También podría ser una nueva tecnología, un nuevo sistema que estemos contratando, que obviamente requiera evaluarse, requiera requiere eh mapearse, requiere en el fondo saber qué información estamos poniendo ahí, para qué, cuál es mi tercero, etcétera, etcétera, etcétera. Eh, un cambio en una finalidad, un tratamiento. Recordemos que nosotros recogemos datos para finalidad en específico y podemos tolerar, digámoslo así, hasta finalidades compatibles. Pero cuando son finalidades que se extralimitan a lo que para lo que nosotros en el fondo recogimos el dato o lo o avisamos de ese tratamiento, vamos a tener que gestionarlo como nuevo tratamiento y buscar una base de ilicitud nueva y informar, etcétera, etcétera, etcétera. Todo se debe mapear de nuevo en este inventario, registro de actividades. Eh, incorporación o terceros también o tener eh nuevos eh proveedores o también terceros a los cuales les cedamos datos. Obviamente también son relevantes las transferencias internacionales, que es un temazo también que todavía está medio ahí cogeando, que ahí también para mí visión técnica, si nos vamos a lo estricto, una transferencia internacional, yo creo que todo aplica como transferencia internacional hoy en día si los servidores están en todas partes. Entonces ahí va a ser como super importante que qué defina la autoridad como transferencia internacional, porque para mí hoy hoy es todo básicamente y obviamente el uso de datos que quizás son más sensibles, que requieren eh medidas de seguridad específica o los datos de categoría especial, o sea, al final eh rayos para la suma, cada vez que estemos frente a una nueva actividad de la empresa que requiera tratamiento de datos personales, deberíamos levantar la mano y poder actualizar eh y revisar el RAT. O sea, al final por eso es tan importante los líderes o los o los owners por áreas sin esas personas que estén tocando la puerta a la persona encargada de gestionar esto, que puede ser o no el DPO, dependiendo si la organización tiene uno o no, recordemos que no obligatorio, eh es imposible de gestionar, o sea, no no se puede, o sea, no se puede. Entonces, tienen que estos líderes tienen que comprometerse mucho con eh o bien actualizarlo dependiendo de lo que hagan o levantar la mano a la persona encargada que lo hace, pero es la única forma de mantener la traceabilidad y mantener en el fondo la herramienta viva y funcional, porque si no llegamos tarde, llegamos después, que es lo que generalmente ocurre, que cuando ya está el tratamiento, la herramienta, el producto ya levantado, digámoslo así, eh se levanta la mano y hay casos bien emblemáticos de este tema. Por ejemplo, en una empresa que una vez se se había gestionado como un escáner para ver si los trabajadores se robaban o no cosa. Así, imagínate, te escanean entera el cuerpo, entrada y salida. Obviamente tú pagas por una herramienta de CC jurando que es lo más legal del mundo y después, oye, pero parece que estamos vulnerando derechos fundamentales de los trabajadores, vamos a tener que volver atrás. Entonces igual es un tema, yo siempre digo a los clientes, no lo vean como una carga regulatoria, vean como una forma de ahorrar dinero, ya que todos lo vemos en en plata a veces. Eh, bueno, si uno tiene una herramienta, un RAT bien gestionado, va a haber riesgos que van a evitar desembolsar plata en productos y servicios que después van a ser eh imposible gestionar. Así que eso. Oye, qué qué buen ejemplo ese que diste, porque aquí también quiero pasar un mensaje quizás eh no es que e la protección de datos te prohíba hacer estas cosas, o sea, quizás en esa empresa se justificaba, no no creo, pero se justificaba revisar a a los trabajadores. Bueno, si si probablemente era una bóveda de un banco, ¿no? Pero pongamos un ejemplo, pongamos un ejemplo, pero espérate, pongamos un ejemplo donde sí se justifica, o sea, no eso, pero don, por ejemplo, el tema del somnolencia para las mineras que está ahora muy de moda. Lo que pasa ahora que está de moda, exactamente, la cámara dentro de los camiones. Es necesario por ley eso es necesario por ley, pero hay formas de mitigar el riesgo, o sea, es decir que no apunta la cara a la cámara, que se que no esté todo el rato grabando, que solamente grabe cuando la persona pestañea y así un montón de cosas. O sea, en el fondo no es ilegal, pero hay que gestionar el riesgo. Y en este caso el otro era bastante ilegal porque era como habían robado no algo, pero va a depender el caso. Claro, hay que hacer ese análisis. Eso es lo que invita a la ley a hacer el análisis y que la organización pueda justificar por qué fue la mejor medida. O sea, al final también la seguridad puede ser un tema eh lo vemos constantemente y y existe la tecnología para esto, pero las organizaciones tienen que hacer el trabajo de eh de evaluar los riesgos, de ver si es que hay una medida menos invasiva, si es que efectivamente esa es la medida proporcional a lo que estamos queriendo proteger, que en este caso es la seguridad o la vida de las personas también puede ocurrir. Y todo esta esa conversación parte en el registro de actividades porque detrás de eso, de esa medida, hay una actividad. Estamos escaneando a las personas porque algo queremos algo hay una actividad que realiza la organización que queremos saber, o sea, que tenemos que conocer antes para poder tomar esa decisión. Eh, quiero terminar antes de pasar con las preguntas del público, con una pregunta para ambas. Eh, que creo que bueno, ya lo hemos respondido, pero pero como para mensaje final antes de pasar a las preguntas, si es eh si en su opinión es viable gestionar un RAT en Excel y también eh junto con eso, ¿qué tan riesgoso es hoy no tener un RAT versus quizás tener un RAT eh incompleto que quizás no refleja la realidad, pero que existe? Si pueden contestar ambas preguntas desde esto ya es como una opinión, pero si nos pueden comentar que qué piensan al respecto. Paulino, parto parto yo ahora porque lancé la coni antes [risas] y me lo va a cobrar. Eh, hay que partir de algo y la realidad que nosotros yo yo amo el Excel porque ayuda. Lo que pasa es que se hace poco, eh, se hace insuficiente, ¿no es cierto? porque eh llega un minuto en que eh hay pueden haber muchos terceros o muchos sistemas eh la la necesidad de trazabilidad y lo que más se da, lo que más se da es que la versión uno, versión dos, versión 3, versión cuatro, la versión cinco, la versión seis, ¿quién quién movió esta columna? ¿Quién no movió esta columna? ¿Quién tiene acceso? ¿Quién no tiene permiso, la integración con los flujos? No, no, no se lo cuando uno comienza a encontrarse con la realidad de que tienes que integrar flujo e el tema de la información e puede estar sujeto a auditoría, algunos no quizás, pero puedes estar sujeto eh a auditoría. habían preguntado por los cambios, vas a tener cambios frecuentes. Los los los temas que sacó Coni son superreales. O sea, nosotros ahora para cada producto, literalmente para cada movimiento que hacemos RAT, cada reunión con clientes, que ya les mencioné nuestros grandes clientes, así cuáles son las industrias, yo antes de pido el RAT. Oye, dame el R de este cliente, quiero verlo. Y y ah, estos son los datos, son las bases, estas son las bases, estas son la estamiento, esta es la trazabilidad, este y uno ya se prepara de nuevo las situaciones más rápidas. Entonces ahí te das cuenta que el Excel para iniciar, para el levantamiento sirve, porque de alguna parte tenes que comenzar. Nosotros partimos así, partimos con un Excel hasta que les tocamos las puertas a ustedes porque claramente nos dimos cuenta que era mucho lo que estábamos abarcando. Teníamos 1000 1000 versiones, los flujos se nos estaban cruzando por todos lados. Eh nosotros además sujetos a auditoría, terceros por aquí, por allá, eh el tema los in. Entonces nos dimos cuenta que necesitábamos algo más más profesional y que además nos hiciera el trabajo más fácil, ¿no? Que tú tomaras el módulo, te metieras y encontraras rápido la información, actualizarlo fuera fácil. Lo que les contaba ahora, eh, alguien preguntaba cada cuánto tiempo había que actualizar, cada 6, 5, 6 meses. Nosotros lo estamos haciendo como business usual, ¿no? El bow es parte nuestra y en un comité se conversa porque es el desde y es la base. Entonces para nosotros, nuestra experiencia por lo menos fue que claro, cuando lleamos como la versión 10 nos [carraspeo] queríamos matar y dijimos, "Aquí necesitamos algo un poquito más pro" y pasamos del Excel a la a la herramienta que que mostró que mostró Rodrigo y mi y la segunda pregunta, mi opinión personal, más vale no tener a tener, obvio, hay que tener algo. El punto está que, ¿qué es lo que tienes? Lo que tienes es papel, lo que decía la CONI con los modelos prevención del delito, estos que al final un copy paste que no que no sirve de nada. Yo creo lo que va a buscar, creo yo, aquí la Coni puede hablar mucho mejor que yo al respecto, pero lo que va a buscar el regulador es que haya trazabilidad y que haya control, ¿no? Me imagino que va a apuntar a eso. Entonces, yo prefiero tener un ra inmaduro que está comenzando, pero que es real a la operación y que me muestra lo que yo tengo, a tener algo que es papel y que no refleja la realidad y que va en camino de crecer, porque si no, de nuevo, tomando el ejemplo que yo la Coni, va a generar una falsa sensación de de cumplimiento que no existe. Entonces puedes tener algo pequeñito, pero que muestre la realidad y que y que no sea de papel y que vaya creciendo frente a una auditoría, porque creo pensar que la agencia va a buscar eso, la trazabilidad y el control que uno tiene de los datos, ¿no es cierto? Esa sería la segunda y la primera es lo que les decía, o sea, yo definitivamente e les pido mil disculpas porque todavía estoy con el Teams del trabajo y me acaba de aparecer un tema de de un cliente y me desconcentró cualquier cantidad, pero eh vuelvo a lo que habíamos hablado antes, eh yo creo que tiene que sí o sí reflejar la la realidad, aunque sea poco lo que tengas. Nosotros y y volviendo a la primera, nosotros sí partimos de Excel y una vez que ya íbamos en la versión 1000 y teníamos mucho flujo y mucha información y tercero y se transformó en algo que nos estaba ahogando, fue cuando ya nos acercamos a ustedes y vimos la opción de los módulos que obviamente soluciona la vida claramente y la decisión que ya cuando te vas a un rat maduro donde agregas valor y ahí ahora cierro donde le demuestras a la organización donde agregas valor es que las decisiones son más rápidas. y con control y eso se dan cuenta, esos quick wins, ¿no? Y ahí te dicen, "Ah, esto esta herramienta en realidad nos agrega valor." Eso sería lo mi aporte. Muchas gracias, Flina. Coni, que nos puedes comentar. Sí, primero yo como asesora externa ojalá todos tuvieran una buena herramienta tan pro de ustedes. Sería no haría todo la vida más fácil, la verdad, de verdad. Pero la realidad también es que eh como decía Pauli, las empresas parten con un Excel y de si es cuestionable o no lo es. mientras en el fondo no estemos hablando de mil millones de tratamientos, que cuando ya se vuelve así en una institución grande o en una empresa que trata mucho dato, eh, se vuelve un poco insostenible y la parte de la versión uno, versión dos, versión 3, o sea, me pasa todo el rato porque el cliente habla un nuevo tratamiento, hay que modificar el documento y así en verdad no sabemos quién tiene la versión, qué versión internamente está circulando. Es una de las preguntas que yo me hago constantemente porque yo le mando a una persona en la versión 7000 y probablemente están trabajando ellos en la en la 5000. Entonces es super poco eficiente en ese sentido, sin perjuicio de que igual se puede y si aquí hay como para todos los bolsillos, todos los gustos, o sea, en el fondo para hacer la pega de alguna forma se puede. De hecho, incluso he visto yo Rats Words que son hacia abajo, que les gusta así como que yo a mí no soy tan fan de como 1000 millones de páginas, pero también se puede en el fondo. La idea es tener el inventario, ojalá en una plataforma tan linda como la la de ley de datos, pero si no tienes la posibilidad de contratarlo, se puede hacer en un Excel. Es más duro. Es más duro, sí, pero se puede. Y eh lo otro respecto a lo lo que mencionabas tú de de que era lo de que es mejor tener un rato mal gestionado o no tener un rat. Yo ahí estoy de acuerdo con con la que es mejor siempre tener algo, o sea, de hecho, la autoridad va a ir a ver el cumplimiento, va a ir a ver la responsabilidad proactiva y si yo le digo, "Bueno, tengo un RAT desactualizado de no estoyando 5 meses o no tengo nada, creo que siempre va a ser mejor tener algo." Sin perjuicio de que la idea es que tiene que estar vivo, si no es letra muerta y de nuevo lo mismo. O sea, el fondo, si nosotros estamos haciendo tratamientos que no están reflejados en el RAT, no va a servir de nada haber hecho un RAT en una asesoría con un estudio jurídico hace 5 años. Que clientes por favor, [risas] la pega. Eh, alguien tiene que ver lo interno, alguien tiene que tomar la pega, molestar, insistir, porque yo sufro todos los días cuando lo que mandamos queda en el correo, de verdad se los digo así es triste, pero no todos tienen una Paulina, cachá. No, todos tienen una bulina y y clientes no quieren agarrar la papa caliente. Si, ese es el tema. es que ese punto. Lo consideran como algo terrible y en verdad no lo es, pero hay mucho, es verdad que hay mucho desconocimiento y también lo entiendo porque es algo super técnico. Entonces, bueno, si la persona no está internamente, búsquenla externamente, asesórense constantemente, pero por favor no armen su no se decúen y después lo dejen ahí porque no va a servir. Y y aquí es distinto al modelo de prevensión de delito en el sentido de que aquí vamos a tener una autoridad fiscalizando activamente versus la ley de delitos económicos que bueno, en el fondo si llegamos a un juicio ahí nos sirve el modelo como cumplimiento, pero acá es mucho más vivo, es mucho más eh y puede ser apito de oye, ¿qué datos míos tienes, no te respondí en tiempo, listo, te van a fiscalizar? Entonces es mucho más posible estar en una situación de riesgo frente a la autoridad y por eso, por favor háganse cargo de sus ratos, por favor. Sí. Y de hecho yo quería agregar una cosa ahí que es de nuevo, yo sé que se estresa a uno. Estaba escuchando una persona que dice que se siente superidentificada con lo que estamos diciendo. Créeme, todas hemos sufrido hemos sufrido con el tema. Todos sufrimos. Sí, todos hemos sufrido cierto sufrimiento. Pero yo creo que lo mejor es no ahogarse y partir de lo mínimo. Un rat básico. ¿Qué tengo? lo que dijo la Coni era la bodega, qué tengo y qué hago con eso y luego a mí me ayudó mucho definir las áreas de la empresa y decir, "Tú eres responsable de tu área, tú eres responsable de tu área, tú eres responsable". Porque en realidad si no no tenéis que hacer owners. tú te encargas de recursos humanos y tú te Entonces y eso llevó a un seguimiento mucho más real y a tener la información porque claro, la persona se hace responsable, entonces esto es lo que yo tengo y tú los guías, los apoyas, mira, me falta esto, mejor aquí, mejor allá y vas mejorando la herramienta. Pero de nuevo, tengan algo aunque sea poquito, el básico y de ahí van avanzando, ¿eh? Y yo sí tengo que hacer el me da lo mismo. Lo he dicho como tres veces, pero si pueden tocarle la puerta a ley de datos, háganlo porque la verdad que ese ese rat eh a mí me salen corazones por los ojos cada vez que lo veo. Sí, creo. [risas] Es verdad, pero partimos con un Excel, esa es la realidad y con el mínimo, o sea, ¿qué tengo? ¿Qué hago? ¿Qué áreas son? Estos son los owners y vamos. Así fue, pero había que partir. Si no se partía esta cuestión se nos venía así, ¿no? Lo lo importante es partir. O sea, yo creo que ese es el mensaje, pero después cuando, como decía Coni, cuando ya no sabemos qué versión es la que está circulando, tenemos un problema. Tenemos un problema grave. Oye, este, eh, les quiero agradecer por su tiempo. Coni nos tiene que dejar porque tiene a continuación una reunión, así que que te liberamos y te damos las gracias por participar. no habías participado antes. Estamos muy contentos que estés acá. Muchas gracias. Muchas gracias, Paul. Muchas gracias a todos. A todos. Muchísimas gracias. Algo yo. Y Paulina, ¿tienes tiempo para una pregunta del público para Sí, estoy te puedo regalar 10 minutitos, 5 minutitos? No, solo por el R. Solo por el RAT. Solo porque el R me gusta, el R que que tengo con ustedes, pero [risas] ya hemos respondido varias, o sea, transversalmente. Dale, pero a ver, acá hay una eh bueno, hay varias. Eh, bueno, hay una pregunta de Guillermo Videla que habla de sobre quién cae la obligación de actualizar el RAT. Tú lo mencionaste transversalmente, sí, pero pone ciertos conceptos que quizás son buenos. como repartir a quién le corresponde qué. Eso yo creo que es esta tarea porque habla del delegado protección de datos del DPO que lo hemos mencionado, que no es obligatorio para la ley, sí, cuando el riesgo es alto en en nuestra opinión. Eh, pero también habla de responsabilidades compartidas, por ejemplo, habla de comisiones, unidades operativas. tú mencionaste también el trabajo interno de ustedes de comités, eh, ¿cómo repartimos un poco la torta? Si nos puedes contar ahí a raíz de esta pregunta. Yo creo que es super básico. La verdad que esto se fue dando con el tiempo y te dais cuenta que que la torta es demasiado grande para uno solo. Entonces, eh una vez que que yo dividí y dije, ya identifiqué las áreas y cada uno tiene que ver qué áreas tiene dentro de su de su organización y haces el Owners. Eh, lo que yo hice, que era lo básico al principio, era literalmente cuando estábamos armando mensualmente reunirnos en qué estamos update y quiero ver qué ha cambiado, qué qué lo que tomando también lo que decía Coni, qué productos nuevos hay, qué servicios nuevos hay y ahí comenzamos a trabajarlo y lo que estamos trabajando, pero lo principal es eso, es dividir la torta en las áreas que tú tienes dentro de tu organización y elegir una persona que sea loer, entonces tenga la responsabilidad de los datos de su área. Yo creo que eso es super importante porque cuando haces alguien responsable del área de los datos es otra actitud ha que el DPO o el legal y después uno como legal o como DPO una vez al mes puede ir eh pidiendo actualizaciones o a lo que estamos moviéndonos nosotros que nos estamos moviendo estos comités donde tienen que llevar su su vertical, su su área, ¿no? si está recursos humanos, así está TI, as está infraestructura, si está producto, si está solución, así está, en fin. Eh, yo creo que eso es lo mejor. El tema de los owners es super importante y transformar, como les decía yo, el el el mensaje de hacerles entender el valor que trae la herramienta y se transforma en un de día a día, un un de día a día, una es una cosa que tú ya haces un poquito de eso. Muchas gracias, Paulina. Cerramos entonces con ese mensaje porque probablemente acá hay varios owners que que si están conectado en este webinar probablemente es porque necesitan interiorizarse un poco más de lo que es la gestión la gestión del de un RAT. Eh, y necesitan también llevar el mensaje, como decía al principio del webinar, dijiste evangelizar. Evangelizar, sí. Así que bueno, esperamos que haya sido de utilidad. Eh, quiero cerrar también porque no había tenido la oportunidad de decirlo, pero estamos muy contentos con esta alianza con Trans Union y también de que nos estén utilizando. Así que eh la invitación eh ahora ya al final del webinar es obviamente a seguir conectados a nuestras redes. Vamos a seguir con estos webinar con distintos invitados, con distintos temas, todos relacionados con el mundo de la protección de datos. También invitarlos a todos a agendar una demo, a conocer en nuestro curso de capacitaciones, que es una buena puerta de entrada introductoria a lo que es todo la protección de datos y y también puede permitir a la organización acreditar cumplimiento, que es algo que también la agencia nos va a pedir como cómo estamos eh cumpliendo con la ley, estamos capacitando a nuestro personal. Así que esa es la invitación y el video de este webinar va a quedar en nuestro canal de YouTube disponible para todos. Así que eso, muchas gracias Paulina, gracias. Sí, muy entretenida la la oportunidad y también nosotros estamos muy contentos con la alianza con con ustedes. Transion de verdad está super contento de estar con ustedes como pro tecnológico. Así que nada, espero que les haya servido y si no busquen por LinkedIn si les puedo dar alguna respuesta, alguna pregunta. Yo feliz de responder. Sí, quedaron mucho ahí pendiente. Por eso, ningún problema. Así bueno, hasta luego. Muchas gracias por

El RAT en la Práctica: Deja el Excel y cumple con la Nueva Ley de Datos Personales 🚀

Hacer Pregunta

Respuesta:

Historial de Preguntas

Análisis

RESUMEN

Introducción al Webinar

Agenda y Temas Principales

Levantamiento del RAT

Profundidad y Detalle del RAT

Involucramiento y Compromiso

¿Cuándo se Considera un RAT Completo?

Presentación de la Plataforma Ley de Datos

Gestión del RAT en la Práctica

Actualización del RAT

Excel vs. Plataformas Especializadas

Preguntas del Público

Cierre

Sabiduría

RESUMEN

IDEAS

INSIGHTS

CITAS

HÁBITOS

HECHOS

REFERENCIAS

CONCLUSIÓN EN UNA FRASE

RECOMENDACIONES

El RAT en la Práctica: Deja el Excel y cumple con la Nueva Ley de Datos Personales 🚀

Hacer Pregunta

Respuesta:

Historial de Preguntas

Cuales son lo datos mínimos de un rat?

Que modulos tiene el sistema que nombran?

Dame todo el detalle del sistema que nombran

Análisis

RESUMEN

Introducción al Webinar

Agenda y Temas Principales

Levantamiento del RAT

Profundidad y Detalle del RAT

Involucramiento y Compromiso

¿Cuándo se Considera un RAT Completo?

Presentación de la Plataforma Ley de Datos

Gestión del RAT en la Práctica

Actualización del RAT

Excel vs. Plataformas Especializadas

Preguntas del Público

Cierre

Sabiduría

RESUMEN

IDEAS

INSIGHTS

CITAS

HÁBITOS

HECHOS

REFERENCIAS

CONCLUSIÓN EN UNA FRASE

RECOMENDACIONES

Transcripción

Otros