Hoy día vamos a hablar del RAT. Vamos a
hablar del RAT en la práctica, si es que
sirve o solo existe. Y tenemos a dos
grandes invitadas, Paulina Ceevedo, que
es gerente legal en Transunion y
Constanza Pasarín, que es manager
compliance en Chile.
La información de siempre o
indicaciones, pueden dejar sus consultas
en el chat. Haremos una ronda al final
de la del de la sesión para poder
responder la mayor cantidad de
consultas. Obviamente como esta y
nuestras otras sesiones estará nuestro
canal de YouTube como grabación. Los
invitamos, obviamente, si no lo hacen, a
seguirnos en el LinkedIn de Ley de
datos. Pueden agendar su demo del SAS en
leadedatos.com y agendar sus
capacitaciones de
leyatos.com/capacitaciones.
Antes que todo queríamos hablar de
nuestra solución. Nosotros tenemos somos
un software o un SAS para eh cumplirle
de manera automática la ley de
protección de datos personales y tenemos
seis módulos que uno es el registro de
actividad de tratamiento que permite
documentar y gestionar el RAT que es lo
que vamos a conversar hoy día. Tenemos
un módulo de inventario y clasificación
de datos de manera automática, gestión
de derechos arco arco máopa
los derechos de los titulares de manera
automática en un flujo. Gestión de
consentimientos y cookies, que es un
control centralizado de las permisos y
preferencias de los titulares de datos,
evaluaciones regulatorias o assessment
que son realizadas con inteligencia
artificial y un módulo de capacitaciones
asincrónicas para trabajar con todos los
colaboradores de la organización. Dicho
eso, ¿cuál es la agenda de hoy? Primero,
el levantamiento del RAT, cómo se
construye un RAT útil y accionable. Este
trabajo transversal, porque obviamente
el RAT involucra más de un área. Gestión
y actualización, ¿cómo mantenemos el RAT
vivo? O sea, el RAT no esperamos que se
llene una vez y lo olvidemos y los
riesgos y herramientas de, por ejemplo,
usar Excel al momento de llenar el R.
Pero antes de presentar a las invitadas,
queríamos aprovechar esta instancia para
hablar de nuestra nueva alianza con
Transunion. En este espacio que queremos
invitar a Trans Union a ser parte de lo
que estamos armando. Transunion es una
organización global en presencia de más
de 30 países que ayuda a las empresas a
identificar mejores clientes,
administrar riesgo y tomar decisiones
más informados. Y vemos que acá hay un
nuevo camino de alianza en el que ellos
van a aportar una mirada global sobre
los datos, eh la confianza que ya tienen
con sus consumidores y sus clientes y
este cumplimiento al que están siempre
orientados. Nosotros estamos aportando
la vertical de protección de datos
personales y juntos vamos a habilitar
una nueva eh preparación o presentación
operativa para cumplir la ley, siempre
con el estándar de transunion. Entonces,
creemos que pedir el consentimiento es o
o fue el primer paso, pero ahora vamos a
gestionar la confianza como nuevo
estándar.
Dicho eso, las invitadas.
Paulina Cedo es gerente legal en
Transunión, abogada en el derecho de los
negocios y diplomada en compliance
corporativo. Amplia experiencia en
empresas tecnológicas y multinacionales.
Especialista en compliance, gobierno
corporativo, contratos y datos
personales y nos va a aportar una mirada
práctica para conectar el cumplimiento
con la operación del negocio. Y por otro
lado, Constanza Pasari, eh manager
manager compliance ciberseguridad y
protección de datos enja Chile, que es
directora de la AGPD y la REDIAC con
experiencia académica en ética de datos,
compliance y protección de datos.
Abogada especializada en protección de
datos personales de derecho tecnológico
compleañas y ella ha liderado múltiples
proyectos de adecuación regulatoria bajo
la ley 19628 y la ley 21719.
Dicho eso, los dejo con Ignacio Gallardo
para que podamos partir el webinar y que
nos vaya super el
Hola, Rodrigo. Eh, muchas gracias por la
presentación.
Eh, quiero agradecerle también a Coni, a
Paulina por aceptar nuestra invitación y
por estar aquí presente.
E
quiero confirmar solamente que estoy con
un problema con internet. Eh, Coni y
Paulina, ¿me escuchan bien?
Sí, yo te escuché.
Ya, perfecto, que tuve justo un
problemita aquí, pero vamos con las
preguntas. El el tema de de hoy, como
bien decía Rodrigo, es el levantamiento
del RAT y la gestión de un registro de
actividades de tratamiento. Ese es el
tema de hoy. Quiero partir con Constanza
y vamos a partir primero con lo que es
el levantamiento del RAT. Ese es nuestro
el foco de esta primera sección del
webinar. Eh, Constanza, te quiero
preguntar eh en tu experiencia en la en
la práctica desde el mundo de la
consultoría,
eh, cuéntanos primero eh para qué sirve
levantar un registro de actividades y
cuál es el foco de un registro de
actividades para una organización. ¿Por
qué queremos un registro de actividades?
Perfecto. Primero que nada, les quiero
agradecer por la invitación. Muy
contenta de estar aquí junto a Paulina,
nuestra primera vez haciendo un webinar
juntas.
Eh, bueno, Ignacio, efectivamente el RAT
o el registro de actividad del
tratamiento es este inventario. Eh,
nosotros siempre ponemos el ejemplo acá
de la oficina como revisar la bodega que
tienes y a inventariar lo que tienes. Al
final es una herramienta que te permite
conocer cuáles son los datos que tratas,
para qué los tratas, cuáles son las
finalidades, qué datos tienes. Es decir,
es tu hoja de ruta para poder partir e
trabajando
en la adecuación y en la implementación
de la ley de protección de datos. Sin
esta herramienta es básicamente trabajar
a ciegas y es muy difícil hacerlo eh con
la realidad de la compañía. O sea, eh en
el fondo es la hoja de ruta de todas las
empresas que todas las empresas deberían
tener para poder saber de dónde
provienen sus datos, para qué los usan,
eh cuánto tiempo los almacenan, si los
mandan afuera del país o no, etcétera,
etcétera, etcétera. Esto también nos
permite, obviamente, el día de mañana
poder eh delimitar riesgo y saber cuáles
son nuestras actividades del tratamiento
más riesgosas y así, obviamente, pone
poner más foco y ojo en controlar
aquellas. Y también nos sirve como un un
mapa de para reconocer cuáles son las
actividades del tratamiento que son
necesarias, por ejemplo, de evaluaciones
de impacto, que es una obligación
fundamental de cumplimiento de la ley.
Sin esa obligación en verdad, si no
cumplimos con la evaluación de impacto
cuando la ley lo requiere, estamos en
falta y también para evaluar nuestro
interés legítimo cuando lo invoquemos
como base de licitud. En el fondo es el
inventario y saber cómo vamos a operar
de quién más.
Gracias, Coni, efectivamente, el RAT es
un inventario y es una herramienta para
lo que tú bien dijiste, para la gestión
de riesgo, para evaluar los riesgos más
adelante, las actividades de
tratamiento, para tomar decisiones. Al
final del día es como nuestra hoja de
ruta, por decirlo.
Paulina y
bueno, agradecerte también por estar acá
y desde el punto de vista de, en tu
caso, dentro de una organización, una
organización que ya
lleva un camino avanzado con este el
tema de los registros de actividades,
también te ha tocado eh trabajarlo para
tu organización y me imagino que con los
dolores de cabeza que esto significa.
Eh, te quiero preguntar desde tu
experiencia, ¿qué ha sido lo más difícil
en este proceso de levantar un registro
de actividades, de tener claridad de
todas estas actividades y procesos
dentro de una organización? Eh, y cómo
al final lo lograron resolver, cómo lo
abordaron.
Dale, buena pregunta. Esta es una
respuesta desde el sufrimiento,
básicamente la experiencia que tiene uno
eh desde adentro de la organización y
también muchas gracias por la invitación
y y me encanta poder participar con
usted y estar obviamente participando
con con Coni, es espectacular. Así que
muchísimas gracias por por el espacio.
Eh, como bien decía Coni, esto al final
es un inventario y es un inventario
operacional que une áreas, es
transversal, no solamente legal, va a
unir a legal, a compañas, ATI,
infraestructura, negocio. Entonces, me
encanta el ejemplo que dio Coni donde
dice, "Hay que irse a la bodega y hacer
un inventario." Y literalmente es eso,
tenés que irte a la bodega, sacar cajas,
limpiar, ordenar, porque
esta es un este es un nuevo roadmap que
tenemos con la nueva con la nueva ley,
donde subimos los estándares a GDPR,
donde tenemos ahora vamos a tener un
regulador, vamos a tener
fiscalizaciones, es un nuevo mundo, ¿no
es cierto? Y algunas veces nosotros
hemos conversado contigo, Ignacio, que
es como y con la Coni también y con
otras actores hemos dicho, "Nos están
entregando un Ferrari y las calles están
todavía con tierra, o sea, ¿cómo lo
vamos a manejar esta tremenda ley que se
nos viene?" Y [carraspeo] una cosa
importante es comenzar a preparar ese
camino, ¿no? Y el rat es eso. Al final
del día, el RAT [carraspeo] es una
herramienta que tiene que ser viva,
tiene que estar actualizada, tiene que
ser transversal a toda tu organización.
Eh,
si no te sirve el RAT a tomar decisiones
más rápidas y más precisas, es que es de
papel. Ya. Entonces, nosotros, ¿qué
cuáles fueron las dificultades que
vimos? Primero, meternos a la bodega y
limpiar, que fue tema obviamente porque
tú comprenderás que un buró de crédito
es harto el el tratamiento que tiene,
pero somos una empresa con unos
estándares super altos de compliance.
Entonces, ya veníamos con todos los
estándares internacionales aplicados,
pero tuvimos que aplicarlos localmente.
Yo te diría que lo principal ha sido
definir primero el scope de dónde
partíamos, porque tienes una uno tiene
la tendencia a partir como de lo más
pequeñito y en realidad tienes que
partir de lo más amplio, ¿no es cierto?
Ver cuál es el scope, partir de lo más
amplio, definir los tratamientos. En el
caso de nosotros fue ya estos somos
nosotros, estos son los datos y después
subdividimos y fuimos como por negocios,
por verticales, ya tenemos esta
vertical, esta vertical, esta vertical,
esta vertical. De ahí también nos dimos
cuenta porque te vas dando cuenta en el
proceso, es algo tan nuevo para todos
nosotros que también había lenguaje que
no compartíamos. Por ejemplo, nosotros
decíamos un un, no sé, base licitud y ti
me hablaba de otros temas de cosas,
infraestructura me hablaba de otra cosa,
de flujos de sistemas. Entonces también
llegamos al punto de un glosario común
para que todos entendieran qué
significaba baselicitud, qué significaba
la finalidad, qué significa el
tratamiento, porque como este mapa
operacional que es el RAT, ¿no es
cierto? desde dónde entra, hasta dónde
sale el dato y este este flujo completo
y este mapa completo. Entonces, resumo,
fue partir de lo grande y no irnos a lo
chico. Fuimos dividiendo por áreas, por
verticales. Nos dimos cuenta que había
que entendernos y hablar el mismo
idioma, porque algo super básico, de
verdad, nos dimos cuenta que teníamos un
tema con el idioma. Eh, y también lo que
hicimos fue colocar owners, owners por
por vertical, owner por
pedazos de información, porque también
te das cuenta que si no haces eso, la
información te llega parcial, te llega
más o menos, no se entendió el
significado. Entonces, cuando hay un
owner, tú vas y las la contability, oye,
necesito esta información en este plazo,
en esta forma, en este formato.
Entonces, el tema de la propiedad, que
probablemente no vamos a conversar, el
tema de la propiedad del RAT es
importante porque muchos creen, ah, es
legal,
¿no? La realidad que si solamente es
deslegal se muere, es de todos. Entonces
fue eso, fue partir de lo grande a lo
pequeño, ir dividiendo como por ir
dividiendo por sectores, por temáticas,
por verticales, hacer un tema de de
quiénes son, cuál es el glosario para
que nos entendiéramos, que fue super
básico, yo pensé que nos iba a pasar y
nos pasó. Y luego los owners, tener
owner por cada uno de de las verticales
o de o de los espacios dentro de la
empresa que que estábamos haciendo.
Entonces, eh dolor, pero la verdad
aprendizaje y y sí, básicamente eso fue,
no sé si responden, pero eso fue
básicamente la la como comenzamos.
Gracias, Paulina. Efectivamente, un
aprendizaje no exento de dolor.
No,
no, [risas]
pero distinc en algo, o sea, al final el
RAT es un eh este inventario que estamos
hablando es una herramienta que une a
las distintas áreas de una empresa y
como bien dijiste, no hay un solo dueño,
no es algo legal, no es algo tecnológico
y es tan rico que eh al final tuvieron
que e compartir sus visiones y entender
su propio lenguaje. Tú desde el punto de
vista legal. las áreas técnicas desde el
punto de vista eh técnico hacia ti,
viceversa. Así que al final yo creo que
el levantamiento del RAT es una
experiencia enriquecedora también para
la empresa, para la organización y para
que quienes finalmente van a trabajar
con datos, que son los principales
llamados a gestionar el RAT. Pero ahí me
surge una pregunta con eh que tenemos
este levantamiento del RAT.
Efectivamente, queremos hacerlo lo mejor
posible, queremos que todas las áreas se
involucren, eh queremos hacer un RAT
profundo que contenga toda la
información de la empresa y ojal y como
bien decía Paulina, viva. Pero, ¿qué tan
profundo te puede ser? Porque pasa que
desde el mundo de la consultoría, cuando
apoyan a la a la empresa en el
levantamiento de un RAT, no se puede
hacer todo probablemente. Y también hay
una hay una sobrecarga o un nivel de
detalle de información que quizás no es
óptimo, eh, o quizás sí es necesario
porque la ley lo exige. Ahí cuéntanos,
Coni, por favor, cómo es tu visión al
respecto y cómo lo han resuelto también
con sus clientes, con las personas que
han tenido que asesorar en el
levantamiento un rato.
Eh, comparto los dolores de Paulina de
que es difícil para todos internamente,
me imagino, y externamente también,
porque el problema del lenguaje
es es transversal. O sea, a mí me pasa
mucho que los clientes no entienden lo
que lo que lo que lo que compraron, no
entienden la asesoría que estamos
prestando. Y muchas veces ellos creen
que con una entrevista donde te dicen,
"Sí, tratamos nombre rot, tratamos
perfil X y ya están y nosotros vamos a
entregar la solución así un día y listo,
aquí está tu rap, nunca más lo viste."
Eh, eso es un dolor de cabeza también
para nosotros como asesor externo. Y
justamente cuando nosotros nosotros
tenemos super estandarizado nuestro
rato, ¿ya? es una lo tenemos bien
detallado y viene un poco de la
metodología que nosotros tenemos como
oficina de España. Entonces está muy
parametrizado, los riesgos están
parametrizado, etcétera. hicimos una
bajada local, evidentemente, pero lo
tenemos super eh definido, digámoslo
así, con hemos ido haciendo mejoras como
definir el tratamiento, eh describirlo
para ver un poco el flujo del dato, pero
en verdad eh desde la oficina de España
se ha simplificado bastante y de hecho
vi ahí una pregunta que decía como es
necesario poner el root específico por
favor no, pero sí pueden poner como de
hecho ellos en España, por ejemplo,
ponían en vez de poner root, nombre,
apellido que Nosotros lo hacemos acá
para para efectos de tener más
trazabilidad y visibilidad de lo que se
está tratando. En España se acordó y se
dejó como datos identificativos, todo
muy genérico, eh
datos de contacto, etcétera, etcétera. O
sea, ellos lo tienen de otra manera.
Pero si me preguntan a mí, a mí me gusta
un poco más el detalle para saber
realmente qué es lo que estamos tratando
y cuáles son los resguardos en
específicos que tenemos que tener
respecto a cierta información. Porque
efectivamente, por ejemplo, si somos una
universidad, nosotros tratamos datos eh
de estudiantes que cuando ingresan a la
universidad son menores de edad.
Entonces, igual hay que hacer ciertas
distinciones para poder eh saber dónde
están nuestros riesgos. Entonces, el
detalle ahí quizás aporta aporta en esta
en esta visibilidad de dónde tengo que
poner el foco, pero efectivamente la
idea del RAT es que nos permita tomar
decisiones, ¿cierto? Entonces, la idea
es que tenga la información suficiente
para poder yo eventualmente como empresa
tomar decisiones correctas y que no
sobreabunde tampoco porque cuando
tenemos un RAT mutante con mucha
información ya se vuelve insostenible y
no se ejecuta de la manera correcta.
Entonces, hay cosas básicas que debe
tener, como dijimos, ¿cuál es el nombre
del tratamiento? ¿Cuál es el
departamento responsable de ese
tratamiento? eh por d la fuente del
dato, por dónde entró, eh los tipos de
dato, eh cuál es mi base de licitud, por
supuesto, si hay categorías especiales,
niño, niña, adolescente, etcétera, cuál
es mi mi base de ilicitud para ese
tratamiento si hay datos sensibles, eh
cuánto tiempo los almaceno y los
conservos, cómo informo al titular, cuál
del del tratamiento, cuál cómo cumple el
principio de transparencia e
transferencias internacionales y también
los terceros, que son muy importantes,
tener mapeados los terceros, es decir,
decir, ¿a quién le paso datos como
encargado de tratamiento o como o como
sesionarios? Al final, la idea es poder
tener todo eso que es lo básico dentro
de esta gran herramienta llamada RAT y
bueno, por supuesto, las medidas de
seguridad que son claves para saber cómo
estamos protegiendo la información y con
eso ya es más o menos gestionable para
una empresa, obviamente con una empresa
pequeña es más fácil, pero como estamos
hablando de una entidad grande eh igual
es es complejo y y
requiere apoyo de todos. O sea, si bien
va quizás va a haber un encargado que va
a ser el delegado de protección de
datos, como decía Pauli, al final hay
que tener estos eh, no sé cómo le
dijiste tú, pero yo le digo líderes,
owners. Yo digo líderes,
empresa gringa, empresa gringa.
Tú eres el embajador de recursos
humanos. O sea, es que si no, ¿cómo? O
sea, me fuera la DPO de una empresa
y lo fui en un momento y me acuerdo que
yo en España les decía a la gente como,
"¿Ya me puedes comentar qué estás
haciendo?" Es que nadie, si no nadie me
pescaba, o sea, en el fondo tenía que
dirigirme una persona en particular y
decirle, "¿Qué estamos haciendo con los
datos?" y ahí me respondían y uno se
hacía cargo, pero si no tenemos a ese
owner que que no que entienda bien lo
que estamos haciendo, es ingestionable
al final. Y la idea es que nosotros
podamos usar esta herramienta antes del
tratamiento, no cuando ya está
ocurriendo y tenemos ahí todos los
riesgos ahí visibles, sino que antes de
que ocurra, antes de mapearlo, decir,
"Ya, evaluemos lo que vamos a hacer,
cómo lo vamos a hacer, etcétera,
etcétera, etcétera."
Bueno, es eso último es clave también
porque es lo típico que es primero el
huevo de la gallina,
o sea, primero primero el registro de
actividades o o el tratamiento.
Sí, claro. Por eso también ahí pasamos
el mensaje de que este es el minuto
idóneo para hacer levantamiento registro
de actividades porque después a partir
del de el del primero de diciembre ya
cambia un poco el panorama.
Eh, quiero tomar un poco lo que lo que
señalabas como para empezar como y
también a nuestro público que
probablemente está en este en este
proceso de levantamiento un RAT de del
mensaje general que tú señalas que ir un
poco de lo general, ir un poco de los
requisitos de estos campos que sí o sí
tiene que contener un RAT. Sí.
Eh, también desde la de los datos
personales que se tratan, las
categorías, categorizarlo
es una un buen ejercicio, o sea,
categoricemos primero qué datos
personales estamos tratando y después
vamos a ver en nivel de detalle. En
nivel de detalle también involucra
riesgo. Disten esclavo, por ejemplo, en
el dato de los menores de edad, que que
la que la nueva ley lo trata de forma
específica.
Eh, pero pero claro, quizás y de lo
general a lo particular
llenando los campos que son necesarios
para para una gestión mínima de un
registro de actividades y quizás para
alimentar el camino para lo que viene
después, porque hay cosas que no se
pueden escapar, la medida de seguridad,
no pueden quedar fuera.
Pero también dijiste
que esto es fácil en una empresa más
pequeña o no fácil, pero quizás más
gestionable
y en una empresa grande esto se complica
y sabemos que mientras el tamaño de la
empresa es más grande quiere decir que
tiene más gente, más personas a cargo de
distintos procesos y esos distintos
procesos se traducen en una o más
actividades.
hablaban de los owner, hablaban de estos
líderes de los procesos, los líderes que
que van a ser finalmente los que van a
gestionar sus propias actividades.
Eh, ahí, Paulina nos comentaste un poco
antes esta relación entre las distintas
áreas. Eh, Coni también nos habló de del
rol de un DPO, que cuando a veces no lo
pescan mucho. Em, desde tu perspectiva,
¿cómo logramos involucrar a la gente
para a las distintas áreas? ¿Cómo
logramos que ellos se comprometan con
este registro de actividades?
El sombrerito de owner que le pusimos
realmente lo lleve puesto, eh, y que
quizás estos líderes también pasen el
mensaje a sus equipos, que al final son
los que van a trabajar con esos datos.
¿Cómo cómo hacemos este trabajo
internamente?
¿Cómo hacemos la evangelización?
Básicamente, eh, mira, nosotros lo que
nos dimos cuenta de nuevo, esta es una
empresa obviamente super grande, tan
millones de países y todo, pero una una
experiencia que yo saqué de otros
procesos que hemos tenido es eso de los
owners, o sea, literalmente. Y tomo una
pregunta que hicieron, les pido
disculpas si no me expresé bien. Cuando
hablo de verticales me refería como a
las áreas dentro de la empresa.
Entonces, si es producto, si es
soluciones, si es ti, si es
infraestructura, si es recursos humanos,
si es negocio, en fin, ¿no? Entonces, tú
tomas todas las áreas que tienes dentro
de tu empresa, por muy grande que sea o
muy pequeña que sea, si tiene tres
áreas, dos áreas, cuatro áreas. Y a cada
área se define un owner. Entonces, en el
minuto que tú pones a un dueño de
recursos humanos para este tema, ¿no es
cierto? O a un dueño frente a ti o un
dueño en inrainfraestructura o un dueño
en data, eh, esa persona ya tiene esa
responsabilidad. Entonces, nosotros lo
que hicimos fue uno nos dimos cuenta,
como te decía antes, les decía antes,
que el idioma es increíble como el
glosario, el idioma y que habláramos lo
mismo fue super importante porque en
realidad algo super básico, yo me di
cuenta que estábamos topándonos porque
no estábamos hablando lo mismo o se
entendían cosas distintas con la misma
palabra, en fin. Entonces, la
explicación básica de un glosario y de
unas sesiones supercortas, super
rápidas, precisas, donde se explicaba
esto y mostrarles lo que uno gana con
esta herramienta, en el tema de la
trazabilidad, el tema del control, el
tema de tomar decisiones más rápidas,
¿no es cierto? la eficiencia, eh cómo se
controlan los riesgos, la operación
misma. Una vez que entienden tus equipos
internos y las distintas verticales o
áreas, la importancia que tiene para el
negocio y para la operación, eh se mueve
mucho más rápido. Entonces, para mí fue
un tema del idioma, cómo hablábamos, que
entendiéramos lo mismo y luego hacerlos
entender la importancia de esta
herramienta desde el punto de vista
operacional, eh, y mostrarles como quick
wins también, ¿no? Si mira, esto ya
estaba listo, entonces este flujo no
está duplicado, eh este tercero tenía X
y entonces se requería un DPA o no. O
sea, esos quick wins también sirvió
mucho, pero yo creo que principalmente
fue tener los owners, los dueños por
cada por cada área y hacerlos entender
eh la importancia operacional para el
negocio y la eficiencia que significaba
en la toma de decisiones tener esta
herramienta.
Yo creo que esa fue la bajada para
nosotros que que hizo como el el cambio.
Muchas gracias, Paulina. Efectivamente,
estos pequeños wins son los que al final
estas pequeñas tareas son las que al
final van dejando y después uno va
viendo como cómo la organización se va
ordenando, eh se va comprometiendo
también con lo que es el tratamiento de
los datos personales y y lo hace parte
de su de su proceso, de su día a día.
Eh, ya no hay que entender la ley, si no
implementamos la ley y sabemos por qué
lo estamos haciendo de esta manera.
Eh, quiero hacer una pregunta ahora para
ambas.
Eh, no sé quién va a tomar el la batuta
acá, [risas]
pero estamos estábamos hablando del
levantamiento, un registro de
actividades. Efectivamente, el proceso
más más complejo desde un inicio e el
punto partida, por decirlo, la primera
piedra, pero llega un punto en que
tenemos que decir, tenemos nuestro
registro de actividades, o sea, dijimos
que no puede tener un nivel de detalle,
probablemente no puede abarcar todo,
probablemente van a quedar cosas en el
camino.
Pero, ¿qué tiene que pasar entonces para
que una empresa diga que tiene su
primera versión o su primer documento
consolidado de registro de actividades?
¿Qué es lo que tiene que pasar para que
ustedes digan, "Este es nuestro rato."
No sé quién quiere partir.
Vamos a bajar a la consultora, a la
señora hija que parta [risas]
con la respuesta. Oy, está difícil esa
pregunta porque claro, encuentro que es
tricky tu pregunta porque una cosa es
tener mi documento ya ponerle un Excel,
Word o herramienta porque se puede tener
en los tres formatos, digamos. Eh, y
otra cosa es que ese RAT realmente esté
vivo, que funcione, que alguien lo
revise, que alguien lo actualice,
etcétera, porque cuando queda en el
papel, pucha, para mí no diría, yo no
diría que tenemos un RAT, si es que la
cuestión está por ahí. De repente le
decía al consultor, "Oye, esto lo
podemos actualizar después de 10 meses
cuando hicieron 80,000 nuevos
tratamientos."
Entonces, eh para que realmente podamos
decir, sí tenemos un rap que alguien
tiene que hacerse cargo de actualizarlo.
Alguien tiene que estar constantemente
revisándolo, eh actualizándolo,
gestionándolo
y en el fondo haciendo que viva. Si no,
para mí es simplemente papel y no sirve
mucho. O sea, haciendo el símil
e que tienen esto quizás más fresco, que
es el tema del modelo de aprensión del
delito. cuando hablamos del modelo
prevensión del delito y es mi modelo,
aquí lo saco de repente aquí,
no tengo idea qué dice, pero aquí está
ya no no tenemos que trabajar la
herramienta. Todo eso está para que uno
lo trabaje, lo gestione, lo utilice, sea
parte del ADN de el negocio y en el
fondo que se sepa que, por ejemplo,
vamos a hacer una campaña eh X con
menores de edad, ya, oye, son menores de
edad, ojo, ya, ¿qué vamos a hacer? ¿Cómo
vamos a proteger esta información?
¿Cuáles son los contratos que firmamos?
¿Cuáles tenemos en el caso de datos
sensibles la autorización de los papás
para x cosas? Estos son estos son más
grandes. ¿Pueden autorizar? No sé. En el
fondo hay que gestionar esta herramienta
llamada RAT para que podamos decir,
"¿Sabes que tenemos un RAT?" Si no, para
mí es papel. Así que no pasa la prueba.
Genial.
Paulina, ¿qué nos puedes decir al
respecto?
Eh, estaba pensando en la experiencia e
y de hecho en algún momento me han
preguntado
qué es mejor
tener un y me encantó la comparación que
hiciste porque el tema de los modelos de
prevención del delito se ha dado mucho y
bueno, y se ha dado a nivel ya de
tribunales y de juicios que tener un
modelo de prevención de papel no sirve
absolutamente de nada y es lo mismo con
el RAT. El sí que hiciste está
espectacular. Eh, el RAT tiene que ser
una herramienta viva, como les decía yo,
es una herramienta, es un mapa eh de la
operación misma que abarca todas las
áreas, todos los todas las verticales,
todas las áreas, todos los negocios que
uno tiene en la empresa.
Y al final, ¿qué? A ver,
lo estoy pensando en voz alta, hay que
pensar entre un R inicio a uno maduro,
¿no es cierto? el inicio, el desde te va
a decir qué haces con los datos.
Básicamente, qué datos tengo y qué hago
con los datos. B, creo yo que esas son
las respuestas que uno básicamente tiene
que responder. ¿Qué datos tengo y qué
hago con los datos? Uno maduro, ya bien
trabajado, te va a a probablemente
llevar a tomar mejores decisiones, que
es lo que yo hablaba al inicio, ¿no?
Pero yo creo que el inicio, lo básico y
el desde es qué datos tengo, eh, y qué
hago con esos datos, ¿no es cierto?
¿Dónde están los datos? ¿Quién los usa?
¿Hay terceros involucrados? Ese es como
el mínimo minimóum. Y luego a lo que uno
quiere llegar, obviamente, es que esta
herramienta
eh te lleve a tomar decisiones más
rápidas, decisiones más eficientes. Pero
lo que decía Coni, me encantó el similit
con el modelo de operación del delito,
superreal. Pasó en Chile que todo el
mundo sacaba los modelos y era un copy
paste y te das cuenta que no tiene que
ser una camisa a la medida para cada
uno, porque incluso tú hablab de
empresas muy grandes, pero puede ser una
empresa super chica, pero que tenga
mucho tratamiento de datos, puede ser
una fintech que tenga mucho tratamiento
de datos. Entonces, la verdad que el RAT
tiene que ser a la operación. Por eso
que yo les digo que es un mapa, pero eh
a nivel operacional que abarca todas las
áreas, ¿no es cierto? porque tiene que
ir a la realidad del negocio mismo. Eh,
de nuevo, puede ser una empresa que
tenga puede ser una un call center que
no tenga mucha gente quizás, pero trata
muchos datos. Puede ser una fintech que
puede ser pequeñita, pero trata muchos
datos. Entonces, el desde es qué tengo,
para qué lo tengo, cómo lo uso y un un
RAT maduro que al que uno debiera
apuntar que nosotros como organización
estamos caminando de la mano a usted,
¿no es cierto? ley de datos a eso es la
eficiencia, la rapidez, la la decisión
más rápida, la decisión eh con con mayor
trazabilidad, con mayor conocimiento,
con mayor información, creo yo. Va por
ahí.
Muchas gracias, Paulina Coni.
Efectivamente,
eh, en le
aquí nuestra asistente nos declaramos
enemigos de los de los rat de papel,
¿sí? de estos Excel que después terminan
en un correo electrónico, en una carpeta
o se replica por todas partes y nadie
sabe cuál es la versión que definitiva,
si la 1.1 o la la versión 1000. Claro.
E y por eso mismo quiero dar antes de
pasar a la siguiente sección, quiero dar
el pase a Rodrigo, eh, que nos va a
presentar ciertas
funcionalidades de nuestra herramienta
que tenemos en ley de datos del registro
de actividades para que este RAT no
termine en un Excel, no termine muerto
si no sea una herramienta viva. y
tomando el Sil que hizo Coni Coni con el
con los modelos de prevención de delito,
que sea efectivamente implementado.
Así que Rodrigo, te doy el pase.
Muchas gracias Ignacio. Y vamos a
aprovechar que hay una pregunta de Doris
que dice, "Por favor, ¿pueden presentar
de manera ejemplo el diseño del RAT?"
Vamos a hacer eso mismo en este momento.
Entonces, lo que pueden ver acá es un RP
propiamente tal de una actividad. En
este caso es comunicación con comercial
con perfilado externo. Y podemos ver los
distintos campos que en nosotros el
datatos proponemos. Sí, decirle a
nuestros clientes y prospectos que
efectivamente el RAT nosotros lo
ajustamos a cada uno de ellos, no es que
necesitamos como obligarlo a usar
nuestro RAT. Y ustedes acá pueden entrar
rápidamente a editar los distintos
campos que ya fueron levantados, por
ejemplo, las bases de institut, todas
referenciadas con la ley. Y la gracia es
que este RAT es un RAT que eh es
estándar internacional, obviamente se
pueden hacer ajustes, pero les puede dar
una primera mirada a la organización de
qué cosas debeñar en el RA cuando no
tienen siempre la suerte de contar con
un asesor experto y les pueda ayudar.
Este RAP, además, lo pueden exportar a
PDF, entonces la gracia es que se lo
podemos entregar a distintos actores que
quizás no necesitan entrar a la
plataforma a revisar. Entonces, ya
tenemos acá el RAT y por ahí también
escuchábamos conversar respecto a los
versionados. Efectivamente, nosotros
tenemos aprobaciones de RAT, entonces
cada uno RAT van a quedar guardados.
¿Qué más podemos ver acá? Alguien
preguntaba, "¿Qué desglose puedo poner
en la categoría de datos?" Acá nosotros
tenemos una tipología propuesta
bien granular y también podemos ajustar
a otras categorías que tengan nuestros
eh clientes. Tenemos una sección de
evaluaciones que es el siguiente paso
después del RAT. Ver si por ejemplo
tenemos que hacer una evaluación de
interegítimo siamos usamos esa base
deitud. Una prevaluación de impacto
haberse y riesgo para los titulares de
datos. una IPD. Todo esto obviamente
asistido con inteligencia artificial, eh
material de otro capítulo. Tenemos la
parte de gestión de riesgos y controles.
Podemos ir agregando riesgos y controles
a al RAT. Y de hecho, en los controles,
que también creemos que es muy
importante, eh si vamos a gestionar
controles, vamos a poder agregar tareas
al control. Sí, vale decir que
entendemos que nosotros tenemos que
gestionar este control con tareas porque
si no queda como algo que guardamos en
el tintero y no volvemos a revisar hasta
que el consultor o nosotros decidimos
dar una segunda vuelta. Y para ir
cerrando, eh tenemos también un
historial que nos permite ver qué
cambios se fueron realizando en el RAT,
¿sí? O sea, en un Excel es muy difícil
saber quién cambió qué, per acá tenemos
trazabilidad en caso de auditoría o en
caso de fiscalización. Y también si
vamos a a la versión a la parte final
tenemos un versionamiento, o sea,
podemos ver cómo fue evolucionando el
RAT para que no nos pase esto del RAT
1.1, 1.2 final, ahora sí que sí final,
versión final, lo podemos ver acá. Y
también tenemos la aprobación del RAT,
que es para algunas organizaciones que
necesiten que estos RAT se vayan
aprobando. Y dicho eso, para cerrar
también tenemos un DCHF que permite a la
organización gestionar el RAT ver
cuántas actividades tiene en total,
cuáles son de alto riesgo, eh cuántas
tiene aprobadas, cuáles son las bases
que está usando, qué departamento está
respondiendo con mayor detalle las
actividades de tratamiento y así poder
hacer seguimiento cuando nos pasa esto
que decía Coni de que mira, sabes que
como de peor, de repente uno va a tocar
la puerta, no te pescan con esto un
poquito más fácil también poder
gestionarlo. Les vuelvo a dar el pase.
Muchas gracias, Rodrigo.
Eh, ahora queremos pasar a la siguiente
sección de este webinar. Ya hablamos de
lo que es el levantamiento de un RAT.
Dimos algunas pistas también de lo que
es la gestión de un RAT y obviamente con
lo que pudimos ver de la plataforma. Eh,
lo que estamos viendo es el RAT vivo, un
RAT cuando ya está ya está levantado y
la la organización lo está gestionando
derechamente.
Eh, Coni, te quiero hacer una consulta
al respecto.
en tu en tu como cómo te ha pasado a ti,
cómo lo has visto tú quizás también como
el rol de DPO que que te tocó tener e te
tocó verlo más, pero si nos puedes
comentar alguna situación, yo creo que
alguna situación puede ser fácil para
entender para nuestro público, eh, en
que tuvieron que gestionar un RAT y al
mismo tiempo algún proyecto, alguna
actividad de de la organización y que el
R fue la herramienta que ustedes
tuvieron que consultar y que les sirvió
de base para poder realizar eh proyecto,
campaña, negocio, lo que sea de que haga
una organización. Eh, ¿cómo fue? ¿Cómo
opera este RAT en el día a día? ¿Cómo ha
sido útil en el rol de un DPO, en el rol
de la empresa internamente? ¿Cómo le ha
sido útil y si nos pudieses dar quizás
algún ejemplo de alguna situación que te
haya tocado ver? Es difícil hoy en día
desde el rol del consultor y como está
la madurez de este tema en las
organizaciones como dar ejemplos
prácticos de este tema, porque
solamente, por ejemplo, nosotros tenemos
un cliente que está hace muchos años
desde 2022 haciendo este este esta
asesoría de datos. Entonces está con una
maduración importante en el tema, o sea,
de repente levanta, oye, cambiamos el
registro, no sé, estoy metando, pero el
registro de de los trabajadores para la
asistencia en vez de firmar ahora va a
ser eh huella, ¿ya? Entonces ahí se
revisa lo que estaba en el RAT en su
momento y se genera un nuevo tratamiento
que sería eh marcar con biometría y ahí
se en el fondo se evalúa lo que tenga
que evaluarse, se hace todo en el fondo
la gestión del riesgo eh para poder en
fondo justificar el uso de este dato.
Pero lo que si podría, porque digo, ese
ejemplo es muy particular porque al
final solamente con este cliente ha
pasado los demás están sobreviviendo,
digamos, a reconocer sus tratamientos. Y
lo que a nosotros nos pasa mucho como
asesor externo es que, obvio, cuando tú
estás en una entrevista y levantas
información, levantas, no sé, dos
tercios, un tercio de lo que hacen. De
repente te dicen como, "Oye, pero
nosotros hacemos esto, hacemos esto,
hacemos esto." Y tú como asesores,
empezo, "Pero nunca lo conversamos,
nunca levantamos la mano." Entonces al
final ahí como que uno trata de poder
abarcar lo que más puede respecto a lo
que hacen hoy. Pero volviendo a la otra
pregunta de cómo empezar a usarlo como
herramienta
para poder el fondo gestionar nuevos
tratamientos o ver cómo operar. Me
acuerdo un caso en España
que yo como como encargada es que no era
DPO oficial, pero era la DPO no
extraoficial. Entonces yo me dedicaba a
contactar a mis líderes que básicamente
no estaban nombrados. Yo los designaba
así como ya todas a ser mi líder y y los
molestaba por correo. Ya, ¿qué estamos
haciendo?
firmamos esto, no sé qué, no sé cuánto.
Y me acuerdo que una vez eh la directora
de marketing iba a hacer un tratamiento
así terrible, terrible, porque era una
empresa que trataba mucho dato sensible,
entonces ella iba a tratar eh mucha
información para una campaña y mucha
información sensible de nuestro en ese
momento nuestros clientes. Y yo me
acuerdo que le pregunté por qué lo iba a
hacer, si había otra medida menos
intrusiva,
etcétera, porque en el fondo estaba ahí
el tratamiento red flag por todas
partes. Y eh me acuerdo que en ese
momento ella me respondió que cuánto era
la multa y yo le respondí y me dijo,
"Ah, bueno, estoy dispuesta a pagarla."
Eso también es una realidad que hay que
considerar, que obviamente esta ley no
es opcional del cumplimiento porque
estamos hablando de derechos
fundamentales y obviamente tienen que
ser protegidos, etcétera, etcétera, y no
es algo que podamos eh como el fondo
obviar. Es verdad también que las
empresas tienen realidades y a veces
quieren asumir riesgos, ¿ya? Y en el
fondo, uno como como asesor externo o
como DPO interno tiene que levantar esos
riesgos y decir, "Bueno, esto puede
suceder si hacemos esto. Ya la decisión
del negocio es ser es que del negocio y
se pueden tomar decisiones más o menos
riesgosas, que eso también es importante
tenerlo presente. Uno como asesor al
final siempre puede decir, esto lo
podemos hacer así, asá. Pero pero hay
cosas que a veces superan
en el fondo el funcionamiento de de la
operación, digámoslo así. Es más
importante quizás para la empresa la
operación y a veces prefieren en el
fondo asumir riesgos. Entonces, la
herramienta, como tú bien decías, sirve
para eh tener eh visibilidad de de
agarrar el tratamiento en su caso,
evaluarlo, eh gestionarlo, minimizar el
impacto, eh poner más medidas para
proteger la información o mitigar el
riesgo.
Pero eso básicamente, sinceramente, en
la práctica hoy en día en Chile cuesta
mucho que los clientes
se hagan cargo porque no hay una Paulina
interna en todas las oficinas que hace
esta pega y al final le llega a
cualquier persona que no sabe lo que
está haciendo y y se agobia también y yo
lo entiendo porque no tiene por qué ser
un experto en el tema. Entonces, como no
hay entendimiento para todas las
organizaciones de la importancia, y
hablo de organizaciones que son bastante
grandes y que tienen riesgos
importantes, eh, generalmente la por
ahora es un sobrevivir, es gestionar el
RAT, es poner todo lo que se nos ocurra
poner y ya eventualmente el día mañana
ojalá poder revisarlo, gestionarlo, ir
actualizando,
etcétera, etcétera. Pero hoy día te digo
la realidad que a mí me toca ver.
Efectivamente,
eh estoy totalmente de acuerdo contigo,
hay un proceso de maduración. Estamos
acá en Chile, estamos recién entrando a
una etapa que ni siquiera tenemos una la
nueva ley vigente.
Estamos todos en esto que se llama
proceso de adecuación, pero creo que eh
diste clavo con la con la importancia
del registro de actividades que incluso
te sirve para tomar decisiones
riesgosas. O sea, en el fondo, eh, el
registro de actividades te ayuda a tener
todas las cartas sobre la mesa. Eso es
tener todas las casas sobre la mesa,
entender bien cuáles son tus riesgos,
entender bien cuál es tu margen de
acción y bueno, cada organización
entenderá también cuáles son su cuál es
su tolerancia al riesgo respecto a estos
temas,
pero eso es es tener la información
sobre la mesa, es tomar una decisión y
después que no nos sorprendamos cuando
nos llegue la mult. y tomar decisiones
inteligentes al final porque el negocio
tiene que seguir y hay cosas que van a
hacerse igual, pero como dices tú que
después digamos, oye, pero a mí nadie
cómo nadie vio este
como cómo nadie me dijo la multa o nadie
me dijo que esto era un riesgo y ahí
después la Bonnie y Paulina van a
levantar la mano y yo te lo dije de
todas esta forma [risas]
y aquí está la información. pasa.
Oye, Paulina, siguiendo también con lo
que es la gestión del RAT, yo entiendo
que hay un proceso de maduración y hay
un proceso de que estamos recién pasando
a la siguiente etapa, a la etapa de
gestión. Ya hubo un levantamiento en el
caso de ustedes. Eh, pero ¿cómo ha sido
la gestión en para ti eh ahora que ya
tienes un registro de actividades? ¿Te
ha tocado actualizarlo? ¿Te ha tocado
volver a revisar? te ha tocado eh
quizás borrar, no sé, te ha tocado eh
gestionarlo o o ya empezar a a dividirse
las tareas con las distintas áreas, a
repartirse un poco lo que es el trabajo
del registro de actividades, o el
tratamiento propiamente tal. ¿Cómo
cuéntanos primero si te ha tocado y y
cómo ha sido esa experiencia,
cómo lo vivimos? Eh, sí, la verdad que
eh y también tomando lo que están
diciendo ustedes, eh hay que ponerse las
pilas. O sea, nosotros somos somos
servicios esenciales, somos operador de
importancia vital, somos asesores
crediticios por fintech, tenemos alto
sombrero, eh, Transunion y como tal
nuestros clientes son bancas, telc,
seguro, retail financiero, cooperativa,
o sea, hay más, ¿no es cierto? Y nos
damos cuenta que a la fecha, en todas
las reuniones que tengo, les digo,
vamos, apurémonos,
apurémonos, porque de verdad el primero
de diciembre está la vuelta de la
esquina y todavía no he revisado bien tu
bodega, como bien decía Cony, eh, y este
es el minuto, tomando lo que tú dijiste,
este es el minuto para que
ojalá, porque a mí me encanta la
experiencia con ustedes, los busquen a
ustedes y si no, pero pero hagan su RAT
desde el más básico que tengo ¿Y qué
hago con eso? Hasta la madurez, que es
lo que tú me estás tocando tocando
ahora, ¿no es cierto? Porque la gracia
del rar que además puedes tomar
decisiones más rápidas, pero con
control. ¿Por qué con control? Porque tú
ya sabes qué es lo que tienes, ¿no es
cierto? Tienes la trazabilidad, incluso
lo hemos visto en el tema de de los
riesgos, en los temas de los incidentes.
Hay un incidente, por eso contaba
quiénes son nuestros clientes. Si
tenemos un incidente, lo manejamos
muchísimo más rápido la gestión porque
ya sabemos rápidamente qué datos, qué
sistema o qué terceros están
involucrados.
Eh,
creo que la actualización es importante.
Alguien había preguntado ahí, si no me
equivoco, nosotros lo que estamos
haciendo ahora, porque tampoco estamos
tan increíbles, eh creo que estamos
super bien, pero estamos en camino, ¿no?
Es eh meterlos en comité el tema del
RAT, que sea parte de tu agenda. Eh,
como es una herramienta viva y es un
mapa, ya dije, que afecta la operación
completa y que tiene que ser transversar
a todas las área de la empresa que tiene
sus owners, que tiene sus líderes, lo
que nosotros estamos viendo ahora es
hacerlo como parte de los comités, por
ejemplo, los comités, nosotros tenemos
comité de datos eh por país eh que son
mensuales y lo que yo estoy viendo que
ya parte de ese comité de datos en la
agenda aparezca rat, ¿no? y que lo
podamos conversar, lo podamos discutir.
Yo creo que honestamente ahora todavía
es una herramienta super viva y está
como en constante
reformulación o actualización porque
nosotros partimos de un desde que era el
Excel porque hay que partir de algo y
ahora estamos pasando a lo que mostró
Rodrigo que es espectacular que es la la
plataforma, el módulo que tienen ustedes
que obviamente soluciona la vida. Eh, yo
creo que sí tiene que ser parte tan
integral de la vida diaria del vow, del
business as usual de la empresa, que
tiene que para mí, que yo lo estoy
postulando así, que sea parte de estos
comités de datos donde sea un punto, un
punto en el que uno para hablar del RAT,
eh, porque de nuevo, si nosotros
queremos llegar a un RAT maduro que no
solamente te dice qué es lo que tienes y
qué es lo que haces con la data, sino
que te lleva a tomar estas decisiones
más rápidas, pero con control, creo que
ese este RAT tiene tiene que ser parte
de tus comités, tiene que ser parte de
tu día a día, eh, para mí, por lo menos
así, así lo así lo estoy apuntando yo,
así estoy vendiendo la la pescada, como
decimos [risas]
Bueno, hacerlo parte también de la
conversación.
Exacto.
Eh, muchas gracias, Paulina. Eh, Coni,
también en este mismo sentido hablando
de lo que es la actualización de un RAT,
de esta herramienta viva de que al final
vamos a estar siempre volviéndolo a
revisar, volviéndolo a mirar, es un
proceso, como dicen, de mejora continua,
pero también para para comentar a
nuestro público y quiénes están en este
proceso, que que son los que nos más
interesa, que poder ayudarlo. Eh, ¿qué
gatilla? ¿Qué puede gatillar la
actualización de un rato? ¿Qué que al
final qué son los hitos? ¿Qué tiene que
pasar para que yo diga, hm, voy a ir a
mirar registro de actividades, voy a ver
si está contemplado, no está
contemplado.
Eh, ¿qué qué cosas pasan que uno dice
tiene que haber un una actualización? Es
una buena pregunta porque pueden ser
varias varios factores. Quizás el más
sencillo sería un, por ejemplo, una
nueva empresa, un nuevo producto, un
nuevo servicio que estemos diseñando.
Eh, ya desde ahí se debería evaluar
desde el comienzo todo el privacy by
design, que es el que está este deber
principio que tiene se debe cumplir, que
también es super poco entendido porque
no se entiende muy bien al principio de
qué se trata, pero justamente es poner
en el centro de la mesa, como dijimos
antes, la privacidad desde el diseño de
todos nuestros procesos, productos,
servicios, lo que sea que estemos
haciendo, eh que requiera, obviamente
tratamiento de datos personales.
Entonces, eso sería como un punto de
partida. También podría ser una nueva
tecnología, un nuevo sistema que estemos
contratando, que obviamente requiera
evaluarse, requiera requiere eh
mapearse, requiere en el fondo saber qué
información estamos poniendo ahí, para
qué, cuál es mi tercero, etcétera,
etcétera, etcétera. Eh, un cambio en una
finalidad, un tratamiento. Recordemos
que nosotros recogemos datos para
finalidad en específico y podemos
tolerar, digámoslo así, hasta
finalidades compatibles. Pero cuando son
finalidades que se extralimitan a lo que
para lo que nosotros en el fondo
recogimos el dato o lo o avisamos de ese
tratamiento, vamos a tener que
gestionarlo como nuevo tratamiento y
buscar una base de ilicitud nueva y
informar, etcétera, etcétera, etcétera.
Todo se debe mapear de nuevo en este
inventario, registro de actividades. Eh,
incorporación o terceros también o tener
eh nuevos eh proveedores o también
terceros a los cuales les cedamos datos.
Obviamente también son relevantes las
transferencias internacionales, que es
un temazo también que todavía está medio
ahí cogeando, que ahí también para mí
visión técnica, si nos vamos a lo
estricto, una transferencia
internacional, yo creo que todo aplica
como transferencia internacional hoy en
día si los servidores están en todas
partes. Entonces ahí va a ser como super
importante que qué defina la autoridad
como transferencia internacional, porque
para mí hoy hoy es todo básicamente y
obviamente el uso de datos que quizás
son más sensibles, que requieren eh
medidas de seguridad específica o los
datos de categoría especial, o sea, al
final eh rayos para la suma, cada vez
que estemos frente a una nueva actividad
de la empresa que requiera tratamiento
de datos personales, deberíamos levantar
la mano y poder actualizar eh y revisar
el RAT. O sea, al final por eso es tan
importante los líderes o los o los
owners por áreas sin esas personas que
estén tocando la puerta a la persona
encargada de gestionar esto, que puede
ser o no el DPO, dependiendo si la
organización tiene uno o no, recordemos
que no obligatorio, eh es imposible de
gestionar, o sea, no no se puede, o sea,
no se puede. Entonces, tienen que estos
líderes tienen que comprometerse mucho
con eh o bien actualizarlo dependiendo
de lo que hagan o levantar la mano a la
persona encargada que lo hace, pero es
la única forma de mantener la
traceabilidad y mantener en el fondo la
herramienta viva y funcional, porque si
no llegamos tarde, llegamos después, que
es lo que generalmente ocurre, que
cuando ya está el tratamiento, la
herramienta, el producto ya levantado,
digámoslo así, eh se levanta la mano y
hay casos bien emblemáticos de este
tema. Por ejemplo, en una empresa que
una vez se se había gestionado como un
escáner para ver si los trabajadores se
robaban o no cosa. Así, imagínate, te
escanean entera el cuerpo, entrada y
salida. Obviamente tú pagas por una
herramienta de CC jurando que es lo más
legal del mundo y después, oye, pero
parece que estamos vulnerando derechos
fundamentales de los trabajadores, vamos
a tener que volver atrás. Entonces igual
es un tema, yo siempre digo a los
clientes, no lo vean como una carga
regulatoria, vean como una forma de
ahorrar dinero, ya que todos lo vemos en
en plata a veces. Eh, bueno, si uno
tiene una herramienta, un RAT bien
gestionado, va a haber riesgos que van a
evitar desembolsar plata en productos y
servicios que después van a ser eh
imposible gestionar. Así que eso.
Oye, qué qué buen ejemplo ese que diste,
porque aquí también quiero pasar un
mensaje quizás eh no es que e la
protección de datos te prohíba hacer
estas cosas, o sea, quizás en esa
empresa se justificaba,
no no creo, pero se justificaba revisar
a a los trabajadores. Bueno, si si
probablemente era una bóveda de un
banco,
¿no? Pero pongamos un ejemplo, pongamos
un ejemplo, pero espérate, pongamos un
ejemplo donde sí se justifica, o sea, no
eso, pero don, por ejemplo, el tema del
somnolencia para las mineras que está
ahora muy de moda.
Lo que pasa ahora que está de moda,
exactamente, la cámara dentro de los
camiones.
Es necesario por ley eso es necesario
por ley, pero hay formas de mitigar el
riesgo, o sea, es decir que no apunta la
cara a la cámara, que se que no esté
todo el rato grabando, que solamente
grabe cuando la persona pestañea y así
un montón de cosas. O sea, en el fondo
no es ilegal, pero hay que gestionar el
riesgo. Y en este caso el otro era
bastante ilegal porque era como habían
robado no algo, pero va a depender el
caso.
Claro, hay que hacer ese análisis. Eso
es lo que invita a la ley a hacer el
análisis y que la organización pueda
justificar por qué fue la mejor medida.
O sea, al final también la seguridad
puede ser un tema eh lo vemos
constantemente y y existe la tecnología
para esto, pero las organizaciones
tienen que hacer el trabajo de
eh de evaluar los riesgos, de ver si es
que hay una medida menos invasiva, si es
que efectivamente esa es la medida
proporcional a lo que estamos queriendo
proteger, que en este caso es la
seguridad o la vida de las personas
también puede ocurrir.
Y todo esta esa conversación parte en el
registro de actividades porque detrás de
eso, de esa medida, hay una actividad.
Estamos escaneando a las personas porque
algo queremos algo hay una actividad que
realiza la organización que queremos
saber, o sea, que tenemos que conocer
antes para poder tomar esa decisión.
Eh, quiero terminar antes de pasar con
las preguntas del público, con una
pregunta para ambas.
Eh, que creo que bueno, ya lo hemos
respondido, pero pero como para mensaje
final antes de pasar a las preguntas, si
es eh si en su opinión es viable
gestionar un RAT en Excel y también
eh junto con eso, ¿qué tan riesgoso es
hoy no tener un RAT versus quizás tener
un RAT eh incompleto que quizás no
refleja la realidad, pero que existe?
Si pueden contestar ambas preguntas
desde esto ya es como una opinión, pero
si nos pueden comentar que qué piensan
al respecto. Paulino,
parto parto yo ahora porque lancé la
coni antes [risas] y me lo va a cobrar.
Eh, hay que partir de algo y la realidad
que nosotros
yo yo amo el Excel porque ayuda. Lo que
pasa es que se hace poco, eh, se hace
insuficiente, ¿no es cierto? porque eh
llega un minuto en que eh hay pueden
haber muchos terceros o muchos sistemas
eh la la necesidad de trazabilidad y lo
que más se da, lo que más se da es que
la versión uno, versión dos, versión 3,
versión cuatro, la versión cinco, la
versión seis, ¿quién quién movió esta
columna? ¿Quién no movió esta columna?
¿Quién tiene acceso? ¿Quién no tiene
permiso, la integración con los flujos?
No, no, no se lo cuando uno comienza a
encontrarse con la realidad de que
tienes que integrar flujo e el tema de
la información e puede estar sujeto a
auditoría, algunos no quizás, pero
puedes estar sujeto eh a auditoría.
habían preguntado por los cambios, vas a
tener cambios frecuentes. Los los los
temas que sacó
Coni son superreales. O sea, nosotros
ahora para cada producto, literalmente
para cada movimiento que hacemos
RAT, cada reunión con clientes, que ya
les mencioné nuestros grandes clientes,
así cuáles son las industrias, yo antes
de pido el RAT. Oye, dame el R de este
cliente, quiero verlo. Y y ah, estos son
los datos, son las bases, estas son las
bases, estas son la estamiento, esta es
la trazabilidad, este y uno ya se
prepara de nuevo las situaciones más
rápidas. Entonces ahí te das cuenta que
el Excel para iniciar, para el
levantamiento
sirve, porque de alguna parte tenes que
comenzar. Nosotros partimos así,
partimos con un Excel hasta que les
tocamos las puertas a ustedes porque
claramente nos dimos cuenta que era
mucho lo que estábamos abarcando.
Teníamos 1000 1000 versiones, los flujos
se nos estaban cruzando por todos lados.
Eh nosotros además sujetos a auditoría,
terceros por aquí, por allá, eh
el tema los in. Entonces nos dimos
cuenta que necesitábamos algo más más
profesional y que además nos hiciera el
trabajo más fácil, ¿no? Que tú tomaras
el módulo, te metieras y encontraras
rápido la información, actualizarlo
fuera fácil. Lo que les contaba ahora,
eh, alguien preguntaba cada cuánto
tiempo había que actualizar, cada 6, 5,
6 meses. Nosotros lo estamos haciendo
como business usual, ¿no? El bow es
parte nuestra y en un comité se conversa
porque es el desde y es la base.
Entonces para nosotros, nuestra
experiencia por lo menos fue que claro,
cuando lleamos como la versión 10 nos
[carraspeo] queríamos matar y dijimos,
"Aquí necesitamos algo un poquito más
pro" y pasamos del Excel a la a la
herramienta que que mostró que mostró
Rodrigo y mi y la segunda pregunta, mi
opinión personal, más vale no tener
a tener,
obvio, hay que tener algo. El punto está
que, ¿qué es lo que tienes? Lo que
tienes es papel, lo que decía la CONI
con los modelos prevención del delito,
estos que al final un copy paste que no
que no sirve de nada. Yo creo lo que va
a buscar, creo yo, aquí la Coni puede
hablar mucho mejor que yo al respecto,
pero lo que va a buscar el regulador es
que haya trazabilidad y que haya
control, ¿no? Me imagino que va a
apuntar a eso. Entonces, yo prefiero
tener un ra inmaduro que está
comenzando, pero que es real a la
operación y que me muestra lo que yo
tengo, a tener algo que es papel y que
no refleja la realidad y que va en
camino de crecer, porque si no, de
nuevo, tomando el ejemplo que yo la
Coni, va a generar una falsa sensación
de de cumplimiento que no existe.
Entonces
puedes tener algo pequeñito, pero que
muestre la realidad y que y que no sea
de papel y que vaya creciendo frente a
una auditoría, porque creo pensar que la
agencia va a buscar eso, la trazabilidad
y el control que uno tiene de los datos,
¿no es cierto? Esa sería la segunda y la
primera es lo que les decía, o sea, yo
definitivamente e
les pido mil disculpas porque todavía
estoy con el Teams del trabajo y me
acaba de aparecer un tema de de un
cliente y me desconcentró cualquier
cantidad, pero eh vuelvo a lo que
habíamos hablado antes, eh yo creo que
tiene que sí o sí reflejar la la
realidad, aunque sea poco lo que tengas.
Nosotros y y volviendo a la primera,
nosotros sí partimos de Excel y una vez
que ya íbamos en la versión 1000 y
teníamos mucho flujo y mucha información
y tercero y se transformó en algo que
nos estaba ahogando, fue cuando ya nos
acercamos a ustedes y vimos la opción de
los módulos que obviamente soluciona la
vida claramente y la decisión que ya
cuando te vas a un rat maduro donde
agregas valor y ahí ahora cierro donde
le demuestras a la organización donde
agregas valor es que las decisiones son
más rápidas.
y con control y eso se dan cuenta, esos
quick wins, ¿no? Y ahí te dicen, "Ah,
esto esta herramienta en realidad nos
agrega valor." Eso sería lo mi aporte.
Muchas gracias, Flina. Coni, que nos
puedes comentar.
Sí, primero yo como asesora externa
ojalá todos tuvieran una buena
herramienta tan pro de ustedes. Sería no
haría todo la vida más fácil, la verdad,
de verdad. Pero la realidad también es
que eh como decía Pauli, las empresas
parten con un Excel y de si es
cuestionable o no lo es. mientras en el
fondo no estemos hablando de mil
millones de tratamientos, que cuando ya
se vuelve así en una institución grande
o en una empresa que trata mucho dato,
eh, se vuelve un poco insostenible y la
parte de la versión uno, versión dos,
versión 3, o sea, me pasa todo el rato
porque el cliente habla un nuevo
tratamiento, hay que modificar el
documento y así en verdad no sabemos
quién tiene la versión, qué versión
internamente está circulando. Es una de
las preguntas que yo me hago
constantemente porque yo le mando a una
persona en la versión 7000 y
probablemente están trabajando ellos en
la en la 5000. Entonces es super poco
eficiente en ese sentido, sin perjuicio
de que igual se puede y si aquí hay como
para todos los bolsillos, todos los
gustos, o sea, en el fondo para hacer la
pega de alguna forma se puede. De hecho,
incluso he visto yo Rats Words que son
hacia abajo, que les gusta así como que
yo a mí no soy tan fan de como 1000
millones de páginas, pero también se
puede en el fondo. La idea es tener el
inventario, ojalá en una plataforma tan
linda como la la de ley de datos, pero
si no tienes la posibilidad de
contratarlo, se puede hacer en un Excel.
Es más duro. Es más duro, sí, pero se
puede. Y eh lo otro respecto a lo lo que
mencionabas tú de de que era lo de que
es mejor tener un rato mal gestionado o
no tener un rat. Yo ahí estoy de acuerdo
con con la que es mejor siempre tener
algo, o sea, de hecho, la autoridad va a
ir a ver el cumplimiento, va a ir a ver
la responsabilidad proactiva y si yo le
digo, "Bueno, tengo un RAT
desactualizado de no estoyando 5 meses o
no tengo nada, creo que siempre va a ser
mejor tener algo." Sin perjuicio de que
la idea es que tiene que estar vivo, si
no es letra muerta y de nuevo lo mismo.
O sea, el fondo, si nosotros estamos
haciendo tratamientos que no están
reflejados en el RAT, no va a servir de
nada haber hecho un RAT en una asesoría
con un estudio jurídico hace 5 años. Que
clientes por favor, [risas] la pega. Eh,
alguien tiene que ver lo interno,
alguien tiene que tomar la pega,
molestar, insistir, porque yo sufro
todos los días cuando lo que mandamos
queda en el correo, de verdad se los
digo así es triste, pero no todos tienen
una Paulina, cachá. No, todos tienen una
bulina y y clientes no quieren agarrar
la papa caliente. Si, ese es el tema.
es que ese punto.
Lo consideran como algo terrible y en
verdad no lo es, pero hay mucho, es
verdad que hay mucho desconocimiento y
también lo entiendo porque es algo super
técnico. Entonces, bueno, si la persona
no está internamente, búsquenla
externamente, asesórense constantemente,
pero por favor no armen su no se decúen
y después lo dejen ahí porque no va a
servir. Y y aquí es distinto al modelo
de prevensión de delito en el sentido de
que aquí vamos a tener una autoridad
fiscalizando activamente versus la ley
de delitos económicos que bueno, en el
fondo si llegamos a un juicio ahí nos
sirve el modelo como cumplimiento, pero
acá es mucho más vivo, es mucho más eh y
puede ser apito de oye, ¿qué datos míos
tienes, no te respondí en tiempo, listo,
te van a fiscalizar? Entonces es mucho
más posible estar en una situación de
riesgo frente a la autoridad y por eso,
por favor háganse cargo de sus ratos,
por favor.
Sí. Y de hecho yo quería agregar una
cosa ahí que es de nuevo, yo sé que se
estresa a uno. Estaba escuchando una
persona que dice que se siente
superidentificada con lo que estamos
diciendo. Créeme, todas hemos sufrido
hemos sufrido con el tema.
Todos sufrimos. Sí,
todos hemos sufrido cierto sufrimiento.
Pero
yo creo que lo mejor es no ahogarse y
partir de lo mínimo. Un rat básico. ¿Qué
tengo? lo que dijo la Coni era la
bodega, qué tengo y qué hago con eso y
luego a mí me ayudó mucho definir las
áreas de la empresa y decir, "Tú eres
responsable de tu área, tú eres
responsable de tu área, tú eres
responsable". Porque en realidad si no
no tenéis que hacer owners. tú te
encargas de recursos humanos y tú te
Entonces y eso llevó a un seguimiento
mucho más real y a tener la información
porque claro, la persona se hace
responsable, entonces esto es lo que yo
tengo y tú los guías, los apoyas, mira,
me falta esto, mejor aquí, mejor allá y
vas mejorando la herramienta. Pero de
nuevo, tengan algo aunque sea poquito,
el básico y de ahí van avanzando, ¿eh? Y
yo sí tengo que hacer el me da lo mismo.
Lo he dicho como tres veces, pero si
pueden tocarle la puerta a ley de datos,
háganlo porque la verdad que ese ese rat
eh a mí me salen corazones por los ojos
cada vez que lo veo.
Sí, creo. [risas]
Es verdad,
pero partimos con un Excel, esa es la
realidad y con el mínimo, o sea, ¿qué
tengo? ¿Qué hago? ¿Qué áreas son? Estos
son los owners y vamos. Así fue, pero
había que partir. Si no se partía esta
cuestión se nos venía así,
¿no? Lo lo importante es partir. O sea,
yo creo que ese es el mensaje,
pero después cuando, como decía Coni,
cuando ya no sabemos qué versión es la
que está circulando,
tenemos un problema. Tenemos un problema
grave.
Oye, este, eh, les quiero agradecer por
su tiempo. Coni nos tiene que dejar
porque tiene a continuación una reunión,
así que que te liberamos y te damos las
gracias por participar. no habías
participado antes. Estamos muy contentos
que estés acá.
Muchas gracias.
Muchas gracias, Paul. Muchas gracias a
todos.
A todos. Muchísimas gracias. Algo yo.
Y Paulina, ¿tienes tiempo para una
pregunta del público para
Sí, estoy te puedo regalar 10 minutitos,
5 minutitos?
No,
solo por el R. Solo por el RAT. Solo
porque el R me gusta, el R que que tengo
con ustedes,
pero [risas]
ya hemos respondido varias, o sea,
transversalmente. Dale,
pero
a ver, acá hay una eh bueno, hay varias.
Eh, bueno, hay una pregunta de Guillermo
Videla que habla de sobre quién cae la
obligación de actualizar el RAT. Tú lo
mencionaste transversalmente,
sí,
pero pone ciertos conceptos que quizás
son buenos. como repartir a quién le
corresponde qué. Eso yo creo que es esta
tarea
porque habla del delegado protección de
datos del DPO que lo hemos mencionado,
que no es obligatorio para la ley, sí,
cuando el riesgo es alto en en nuestra
opinión. Eh, pero también habla de
responsabilidades compartidas, por
ejemplo, habla de comisiones, unidades
operativas. tú mencionaste también el
trabajo interno de ustedes de comités,
eh, ¿cómo repartimos un poco la torta?
Si nos puedes contar ahí
a raíz de esta pregunta.
Yo creo que es super básico. La verdad
que esto se fue dando con el tiempo y te
dais cuenta que que la torta es
demasiado grande para uno solo.
Entonces, eh una vez que que yo dividí y
dije, ya identifiqué las áreas y cada
uno tiene que ver qué áreas tiene dentro
de su de su organización y haces el
Owners. Eh, lo que yo hice, que era lo
básico al principio, era literalmente
cuando estábamos armando mensualmente
reunirnos en qué estamos update y quiero
ver qué ha cambiado, qué qué lo que
tomando también lo que decía Coni, qué
productos nuevos hay, qué servicios
nuevos hay y ahí comenzamos a trabajarlo
y lo que estamos trabajando, pero lo
principal es eso, es dividir la torta en
las áreas que tú tienes dentro de tu
organización y elegir una persona que
sea loer, entonces tenga la
responsabilidad de los datos de su área.
Yo creo que eso es super importante
porque cuando haces alguien responsable
del área de los datos es otra actitud ha
que el DPO o el legal y después uno como
legal o como DPO una vez al mes puede ir
eh pidiendo actualizaciones o a lo que
estamos moviéndonos nosotros que nos
estamos moviendo estos comités donde
tienen que llevar
su su vertical, su su área, ¿no? si está
recursos humanos, así está TI, as está
infraestructura, si está producto, si
está solución, así está, en fin. Eh, yo
creo que eso es lo mejor. El tema de los
owners es super importante y
transformar, como les decía yo, el el el
mensaje de hacerles entender el valor
que trae la herramienta y se transforma
en un de día a día, un un de día a día,
una es una cosa que tú ya haces un
poquito de eso.
Muchas gracias, Paulina. Cerramos
entonces con ese mensaje porque
probablemente acá hay varios owners que
que si están conectado en este webinar
probablemente es porque necesitan
interiorizarse un poco más de lo que es
la gestión la gestión del de un RAT.
Eh, y necesitan también llevar el
mensaje, como decía al principio del
webinar, dijiste evangelizar.
Evangelizar, sí.
Así que bueno, esperamos que haya sido
de utilidad. Eh, quiero cerrar también
porque no había tenido la oportunidad de
decirlo, pero estamos muy contentos con
esta alianza con Trans Union y también
de que nos estén utilizando. Así que eh
la invitación eh ahora ya al final del
webinar es obviamente a seguir
conectados a nuestras redes. Vamos a
seguir con estos webinar con distintos
invitados, con distintos temas, todos
relacionados con el mundo de la
protección de datos. También invitarlos
a todos a agendar una demo, a conocer en
nuestro curso de capacitaciones, que es
una buena puerta de entrada
introductoria a lo que es todo la
protección de datos y y también puede
permitir a la organización acreditar
cumplimiento, que es algo que también la
agencia nos va a pedir como cómo estamos
eh cumpliendo con la ley, estamos
capacitando a nuestro personal. Así que
esa es la invitación y el video de este
webinar va a quedar en nuestro canal de
YouTube disponible para todos. Así que
eso, muchas gracias Paulina, gracias.
Sí, muy entretenida la la oportunidad y
también nosotros estamos muy contentos
con la alianza con con ustedes. Transion
de verdad está super contento de estar
con ustedes como pro tecnológico. Así
que nada, espero que les haya servido y
si no busquen por LinkedIn si les puedo
dar alguna respuesta, alguna pregunta.
Yo feliz de responder.
Sí, quedaron mucho ahí pendiente.
Por eso, ningún problema.
Así bueno, hasta luego. Muchas gracias
por