Soy un agente administrativo con oficina en Songdo, Yeonsu-gu, Incheon. Comparto una anécdota que experimenté mientras trabajaba.
La tercera pregunta del investigador fue esta: ¿Cuánto tiempo conservan los registros de entrada?
El cliente no pudo responder. Porque nunca se había establecido un período definido. Y esa pregunta no tenía relación con la información declarada.
## La denuncia comenzó en otra historia
Primero llegó una llamada telefónica. La voz era rápida, y la primera frase fue: "Recibí una notificación de denuncia de información personal".
Reservó una cita y vino al día siguiente por la tarde. Era un hombre de unos treinta y tantos años, y operaba dos estudios autoatendidos las veinticuatro horas en Yeongsu-gu, Incheon. Trabajaba en otra cosa durante el día y gestionaba las tiendas de forma remota. Llevaba tres años de operación y aún tenía que pagar la hipoteca hasta la primavera del próximo año.
El contenido de la denuncia era simple. Un usuario alegaba que su registro de entrada y salida se había transmitido a otra persona.
Había asuntos personales de fondo. Un conocido con quien discutía con el usuario fue a la tienda y le preguntó cuándo había ido y venido una persona específica, y en ese momento, un empleado a tiempo parcial que trabajaba temporalmente por la noche le había dado una idea aproximada del período de tiempo mirando la pantalla.
El cliente solo se enteró de este hecho cuando recibió la llamada de la denuncia. El empleado a tiempo parcial ya había renunciado.
Hasta aquí está el caso denunciado. Pero este caso no es ni siquiera la mitad de este artículo.
Las tiendas autoatendidas parecen no tener relación con la información personal debido a la ausencia de personas, pero en realidad es todo lo contrario. Debido a la ausencia de personas, todo se sustituye por registros. Queda registrada quién abrió la puerta cuándo, qué asiento usó durante cuánto tiempo y cuándo se realizó el pago. Los eventos que habrían sido transmitidos por la memoria de las personas en una tienda con personal permanente se acumulan directamente en una base de datos en una tienda autoatendida.
Y esos registros generalmente no son diseñados directamente por el propietario. Son configuraciones predeterminadas que vienen con la introducción de un programa de gestión de la tienda. Es raro que pasen tres años sin siquiera mirar cómo se almacenan los datos.
Él también era así. Cuando le pregunté en la primera consulta qué información tenía, la respuesta fue: "Solo el nombre y el número de teléfono". En realidad, era mucho más que eso.
## Después de enviar dos respuestas solo
Ya se había movido dos veces.
La primera fue llamar a la agencia de denuncias. Explicó que fue el empleado quien hizo eso, y que ella no le había dado la instrucción. El encargado le indicó que había un procedimiento para verificar los hechos y que preparara los documentos necesarios. Fue una indicación precisa.
La segunda fue contactar directamente al usuario. Era con la intención de disculparse y aclarar la malinterpretación. La llamada no terminó bien.
Este segundo punto es el que más se debe tener cuidado en la práctica. Contactar directamente a las partes en un caso en curso, incluso con buenas intenciones, deja margen para que se interprete de manera diferente más tarde. Especialmente si hay algún matiz que solicite la retirada de la denuncia, esto mismo se convierte en un nuevo problema.
Después de esa llamada, pasó varios días sin saber qué hacer, y luego vino a la oficina.
Lo que más repitió en la primera consulta fue: "Fue el empleado quien hizo eso". Entiendo su sentimiento. Sin embargo, la responsabilidad de tratar la información personal recae en el operador de la información. Incluso si es una acción de un empleado, otorgarle autoridad, no educarlo, o no controlarlo, queda a cargo del operador.
Se necesitaron treinta minutos para explicar esta estructura. Creo que esos treinta minutos determinaron la dirección de los siguientes dos meses. Hay casos en los que se aferran a la injusticia y casos en los que reconocen la estructura y la corrigen, y los resultados son diferentes.
Y también es así en la práctica. En el procedimiento de investigación, la afirmación de que "fue el empleado quien hizo eso" rara vez es aceptada. Por otro lado, un documento escrito que indique "había una falta en el sistema de gestión y ahora lo hemos corregido" es realmente revisado.
## Se separaron dos preguntas
Lo que hice en la primera consulta fue dividir la pregunta en dos.
Primera pregunta. ¿Cómo se verá el acto denunciado en sí mismo?
Segunda pregunta. Independientemente del acto, ¿cómo se verá la forma en que este establecimiento maneja la información personal en el curso de la investigación?
La mayoría de los clientes solo piensan en la primera. Sin embargo, la investigación comienza con la primera y luego pasa a la segunda. El caso denunciado es solo la llave para abrir la puerta, y una vez que la puerta se abre, se ve todo lo que hay dentro.
La ley de protección de datos personales impone varias obligaciones a quienes procesan información personal. Esto incluye la recopilación mínima acorde al propósito del procesamiento, la fijación y eliminación después del período de retención, las medidas de seguridad, la divulgación de las políticas de procesamiento y la supervisión en caso de delegación. Estas obligaciones no solo se activan en caso de incidentes de filtración, sino que se aplican continuamente en condiciones normales.
Por eso, además de responder a la denuncia, comenzamos con una inspección del lugar de trabajo. Esta fue la decisión más importante en este caso.
Esta decisión tiene un costo. La inspección revela problemas que desconocíamos, y esos problemas deben corregirse. Si no hacemos nada, podemos ignorar esos problemas como si no existieran, al menos hasta hoy.
Por lo tanto, esta es una elección que debe hacer el cliente. Les expliqué las posibilidades de lo que podría suceder en dos caminos diferentes. El camino de responder solo a las denuncias reportadas es más ligero a corto plazo. Sin embargo, si se identifican otros elementos durante el proceso de investigación, entonces se encontrarán en una situación de "conocimiento y negligencia".
Pensó durante unos diez minutos y decidió realizar la inspección. No era una decisión fácil, considerando que aún existen préstamos pendientes para dos sucursales.
## Tres puntos que surgieron de la inspección
Después de tres días, se realizó un resumen del estado del tratamiento de datos personales en dos tiendas. Surgieron tres puntos.
En primer lugar, no había un período de retención definido. Los registros de entrada y la información relacionada con los pagos habían permanecido intactos durante tres años desde el primer día de operación. No era que no se hubieran borrado, sino que el concepto de borrar no existía. El programa de gestión de la tienda sin personal tenía una configuración predeterminada de almacenamiento ilimitado, y él no sabía que se podía cambiar esa configuración.
En segundo lugar, no había una política de tratamiento de datos personales publicada. Había casillas de verificación de consentimiento en la pantalla de registro, pero no había un documento que explicara qué, con qué propósito y durante cuánto tiempo se almacenaba. Era una empresa individual, no una franquicia, por lo que nadie le había informado.
En tercer lugar, las relaciones de encomienda no estaban organizadas. La empresa de limpieza y la empresa de gestión de instalaciones compartían una cuenta del programa de gestión de la tienda. Lo hicieron por conveniencia, pero la cuenta permitía acceder a la información del usuario.
El tercer punto fue el más grave. El incidente denunciado fue un acto único de un empleado, pero este era un problema estructural.
El cliente se quedó sin palabras en este punto. Le dije: "Es una suerte que esto se haya descubierto ahora". Es una situación completamente diferente si un inspector descubre esto primero, en comparación con nosotros descubriéndolo, corrigiéndolo y explicándolo.
También registro el método de inspección. No se utilizaron herramientas elaboradas. Simplemente se inició sesión en el programa de gestión de la tienda, se abrió cada menú y se anotó en una tabla qué se almacenaba, quién podía verlo y cuánto tiempo permanecía. Había diecinueve elementos en total para las dos tiendas.
Se tardó medio día en crear esta tabla. No es difícil. Simplemente nadie lo hace. Esto se debe a que no hay razón para crear esta tabla antes de que surja un problema.
Hay una cosa más que surgió. Había una lista de participantes recibida durante un evento al principio de la operación, y permaneció en un archivo separado. Se habían anotado en papel y luego se habían transferido a Excel, pero habían pasado más de dos años desde que terminó el evento. El hecho de seguir teniendo información cuyo propósito ha terminado es problemático en sí mismo. Estos archivos generalmente están en alguna carpeta del escritorio, y la propia persona los ha olvidado.
## Se ha establecido el orden
El tiempo restante era esta semana para la presentación de documentos. Dividí lo que se podía hacer y lo que no se podía hacer dentro de ese plazo.
Lo que se hizo la primera semana fue tomar medidas inmediatas. Se cerraron las cuentas compartidas y se separaron las cuentas por empresa. Los permisos de consulta se limitaron al alcance necesario. Se verificó la configuración del período de retención en el programa de administración, se estableció el período y se definió el procedimiento de eliminación de los registros vencidos.
Aquí hicimos una cosa juntos. Dejar un registro del estado actual antes de ejecutar la eliminación. Se creó una tabla que muestra cuántos había y qué criterios se utilizaron para eliminar qué. Si eliminas documentos durante una investigación, más tarde tendrás que explicar el acto en sí. Es más importante dejar la justificación para la eliminación que la propia eliminación.
Lo que se hizo la segunda semana fue trabajo documental. Se redactó y se publicó una política de tratamiento de datos personales que se ajusta a la realidad del tratamiento. Aquí hay un error común. Copiar y pegar la política de tratamiento de otra persona de Internet. Una política de tratamiento que no se corresponde con la realidad es peor que no tener ninguna. Porque significa que lo que has escrito no coincide con lo que haces.
Por lo tanto, cada frase se ajustó a las operaciones reales. Los elementos de recopilación son solo los que realmente se reciben, el período de retención es el período que se acaba de definir y las externalizaciones son los nombres de las empresas que se acaban de organizar.
Se definió también la ubicación de la publicación. Las políticas de procesamiento deben estar en un lugar accesible para los usuarios. En una tienda sin personal, se mostrarán tanto la pantalla de registro/pago como el cartel de información de la tienda. Si solo se muestra en uno de los dos, es como si no se mostrara en absoluto.
Aquí, también hubo cosas que no se pudieron hacer por falta de tiempo. Era la creación de materiales de capacitación para empleados. En una estructura donde los empleados a tiempo parcial cambian con frecuencia, la capacitación no termina con una sola sesión. Esta parte solo se anotó en el plan y los materiales reales se crearon después de que se resolviera el caso.
Es importante no registrar lo que no se hizo. Lo que está escrito en documentos se convierte en un objeto de verificación más tarde. Si se anotó que todo se completó esta semana, y luego se solicita una verificación, será mucho más problemático en ese momento.
## ¿Qué escribí en la opinión?
El documento de opinión presentado junto con los documentos adjuntos constaba de cuatro partes.
Primero, los hechos relacionados con la acción denunciada. Se anotó cuándo, quién y qué hizo, separando el alcance confirmado del no confirmado. Se reconoció como un hecho que el empleado a tiempo parcial mencionó la franja horaria mientras veía la pantalla. Sin embargo, también se indicó que no se pudo verificar el hecho de que se imprimieran o transmitieran los registros.
Es importante no negar. Discutir los hechos confirmados hace que la credibilidad de las demás declaraciones disminuya.
Segundo, reconocimiento de deficiencias en el sistema de gestión. Se indicó tal como estaba que no había capacitación, no había control de acceso y, por lo tanto, era posible que esto sucediera.
Tercero, medidas de mejora ya completadas. Este fue el núcleo de esta opinión. Separación de cuentas, restricción de permisos, establecimiento de períodos de retención, ejecución y registro de eliminación, publicación de políticas de manejo. Se adjuntó la fecha de finalización y el método de verificación para cada elemento.
Cuarto, planes futuros. Se anotaron brevemente las revisiones trimestrales de permisos y los procedimientos de capacitación para nuevos empleados. No se escribió mucho. Incluir un plan que no se puede cumplir es una semilla para el próximo incidente.
También se prestó atención al orden. Sería más natural colocar primero los hechos y luego las medidas de mejora, pero en realidad, lo que los lectores quieren saber más es el tercer elemento. ¿En qué estado está este establecimiento ahora? Por lo tanto, se adjuntó una hoja con un índice y se hizo que la ubicación del tercer elemento fuera visible directamente en el índice.
Los documentos escritos deben crearse en el orden en que se leen. El orden lógico del escritor y el orden de interés del lector suelen ser diferentes.
La opinión tenía ocho páginas, y cinco de esas páginas eran evidencia del tercer elemento.
Lo que se tuvo en cuenta al crear la evidencia fue el punto de vista. Cuando se captura una pantalla, generalmente se incluye la fecha. Colocar las comparaciones de antes y después de la medida en la misma pantalla hace que las declaraciones explicativas sean más cortas. Se pueden reemplazar tres párrafos escritos con dos páginas.
Por el contrario, también hay cosas que no se hicieron. Enumerar de antemano los elementos que no fueron señalados para aclararlos. Parece considerado, pero en realidad es un acto de ampliar uno mismo el alcance de la investigación. Es mejor responder a lo que se pregunta, mostrar lo que se ha corregido y detenerse allí.
## Preguntas Adicionales
Pasadas unas tres semanas desde la presentación de los documentos, llegó una pregunta adicional. Eran dos.
Una era si el contrato con la empresa de encargo tenía una cláusula relacionada con el tratamiento de datos personales. No la tenía. Era porque se trataba de una relación cercana a un acuerdo verbal. Respondimos que no, y adjuntamos una copia del contrato recién redactado junto con la respuesta.
La otra era el alcance de los datos eliminados. Al recibir esta pregunta, confirmé de nuevo el valor de la tabla de registro de eliminación que había creado previamente. Dado que qué, cuándo y según qué criterio se eliminó todo estaba en una sola tabla, la respuesta consistió en adjuntar esa tabla y explicarla en dos líneas.
Si se hubiera eliminado sin registro, esta única pregunta habría requerido varias semanas más. Y la credibilidad de la respuesta también habría sido diferente.
En los procedimientos administrativos, lo que suele ser útil más tarde son los registros que en ese momento parecen innecesarios.
## Que este caso no fue una 'denuncia de filtración'
Durante la consulta, el cliente expresó una preocupación. Era la pregunta de si su caso era lo mismo que el gran incidente de filtración que había visto en las noticias.
Aquí, era necesario distinguir dos cosas.
Una es la denuncia de violación de la privacidad. Es el camino por el cual el titular de la información informa que su información personal ha sido tratada de manera inapropiada. Este caso corresponde a esto.
La otra es la obligación de notificación e informe de filtración. Es el procedimiento por el cual el operador que se entera de que se ha filtrado información personal debe notificar al titular de la información y notificar a la autoridad competente si cumple con los requisitos. Esta obligación tiene un plazo y, si no se cumple a pesar de cumplir con los requisitos, esto mismo se convierte en un problema separado.
Los dos procedimientos tienen puntos de partida diferentes. En el primero, la persona que informa es el titular de los datos, y en el segundo, la persona que informa es el empresario.
Este caso fue problemático porque se mencionó verbalmente la franja horaria de acceso de un usuario específico, lo que lo diferenciaba de los casos en los que la obligación de notificación e información se activa directamente. Sin embargo, dejamos registrada brevemente nuestra decisión por escrito. Hay una diferencia entre anotar la razón por la que se consideró que no aplica y no mencionarlo en absoluto. Esto nos permitirá estar preparados para responder a esa pregunta más adelante.
También es un punto de confusión frecuente entre los empresarios en la práctica. Los requisitos y los plazos varían según el caso, por lo que, si sospecha de una fuga, es mejor verificarlo sin demora.
## Línea No Cruzada
También anotamos claramente lo que no hicimos en este caso.
No tuvimos contacto con el denunciante. Hubo una solicitud para transmitir palabras de disculpa, pero le dije que, si fuera necesario, sería más seguro hacerlo por escrito y dentro del proceso de investigación. Finalmente, se cerró sin contacto adicional.
Lo que hicimos fue preparar los documentos y los escritos a presentar a la administración pública, y organizar el estado de las instalaciones del negocio de acuerdo con los requisitos.
## Un pequeño percance con dos cafés
Hubo un pequeño percance en este asunto.
El día que completamos las mejoras, el cliente trajo dos cafés a la oficina. Los trajo en vasos térmicos que usaba la tienda, y los dos vasos eran exactamente iguales. Uno tenía azúcar y el otro no, y él mismo estaba confundido sobre cuál era cuál.
Al final, ambos probaron un sorbo de cada uno y los intercambiaron. Fue la decisión que tomó más tiempo en la oficina ese día.
Me dijo que había configurado una notificación de revisión trimestral en la pantalla de administración de la tienda. Dijo que le lleva cinco minutos revisar la lista de permisos cada vez que aparece la notificación.
También dijo que le da a los nuevos empleados a tiempo parcial en la segunda tienda una sola hoja A4. Solo contiene dos cosas: que no debe revelar información del usuario a nadie, y que debe contactar directamente con el gerente si recibe tal solicitud. Explicó que si lo hiciera demasiado largo, nadie lo leería.
Las reglas que se mantienen en la práctica suelen ser así. No son perfectas, pero son cortas, y son cortas porque se cumplen.
## Resultados
El período total fue de aproximadamente dos meses. Una semana desde la consulta hasta la presentación de documentos, luego tres semanas para la verificación y las respuestas adicionales, y otras tres semanas para la finalización.
El resultado fue una corrección basada en medidas correctivas. Se señalaron deficiencias en el lugar de trabajo, y también se confirmó que algunas ya habían sido corregidas. Los detalles específicos de la sanción varían según el caso y dependen de las circunstancias individuales, por lo que no se mencionan aquí.
Sin embargo, hay una cosa que vale la pena mencionar. Los elementos confirmados en la etapa final coincidían en gran medida con los que ya habíamos identificado y corregido. En otras palabras, casi no surgió nada nuevo en la investigación. Esta es la razón por la que nos aferramos a la segunda pregunta.
Si no hubiéramos realizado esa verificación, los mismos elementos habrían aparecido como indicaciones de la otra parte, en lugar de en nuestro informe. Incluso los mismos hechos se tratan de manera diferente según quién los haya planteado primero.
Lo que realmente queda para el cliente son dos cosas. Una es el hecho de que este caso se ha cerrado, y la otra es que la información personal que se había acumulado sin criterios durante tres años ahora tiene criterios.
El segundo es más importante. El incidente denunciado fue un acto aislado de un empleado y, por sí solo, tenía pocas posibilidades de repetirse. Por otro lado, los problemas estructurales, si se dejan sin resolver, inevitablemente volverán a aparecer en algún momento. Para entonces, serán más graves.
La denuncia finalmente sirvió como catalizador para la reorganización del lugar de trabajo. No recomendaría este proceso. Sin embargo, si ya ha entrado en este proceso, la mejor opción disponible está definida.
También menciono los costos. Fue lo que preguntó al final. Los costos reales en este caso fueron los costos adicionales del programa de administración al separar las cuentas y el tiempo incurrido al reescribir el contrato con la empresa subcontratada. No es una cantidad significativa.
La verdadera inversión fue los tres años anteriores. Los registros acumulados sin ningún criterio pueden parecer que no tienen costo, pero cuando surge un problema, se cobran todos a la vez. Y en ese momento, las opciones son más limitadas.
El momento más económico en la administración suele ser cuando no sucede nada.
Dos meses después, hizo un comentario de pasada. Dijo que al principio pensó que este asunto conduciría al cierre de la tienda. Aunque eso no fue lo que sucedió, esos pocos días de incertidumbre fueron de un tipo que no se puede borrar.
Los procedimientos administrativos consumen a las personas más por el tiempo que transcurre en medio que por el resultado en sí. Creo que acortar ese tiempo es tan práctico como cambiar el resultado.
## Algunos Puntos a Tener en Cuenta
Si te encuentras en esta situación, te recomiendo seguir este orden.
① No contactes directamente al denunciante. Incluso un contacto bien intencionado puede ser interpretado de manera diferente en un procedimiento en curso. Si tienes algo que comunicar, es más seguro hacerlo por escrito dentro del procedimiento.
② No te limites a observar el caso denunciado. La investigación comienza con el contenido de la denuncia, pero se amplía para abarcar toda la situación. Es mejor que te revises a ti mismo antes de que te señalen; el resultado será diferente.
③ Verifica el período de retención y los derechos de acceso. Estos son los dos más comunes en tiendas no tripuladas y pequeñas empresas. A menudo, la configuración predeterminada del programa de gestión es la retención indefinida.
④ Antes de eliminar los datos, registra su estado por escrito. Lo importante no es la eliminación en sí, sino la justificación y el momento de la eliminación. Esto es especialmente cierto si hay asuntos en curso.
⑤ No copies las políticas de tratamiento de datos de otros. Una política de tratamiento de datos que no se corresponda con la realidad puede ser contraproducente. Los elementos de recopilación, el período de retención y la empresa externa deben coincidir línea por línea con lo que realmente estás haciendo.
⑥ No compartas cuentas con la empresa externa. A menudo, se utiliza una sola cuenta por conveniencia, pero esto dificulta saber quién ha consultado qué. Es básico separar las cuentas por empresa y limitar los derechos de acceso al alcance necesario.
⑦ Anota solo lo que realmente has hecho por escrito. Si separas la planificación de la finalización, evitarás problemas si recibes una solicitud de verificación más adelante.
Los informes y las investigaciones relacionadas con la información personal tienen requisitos y procedimientos diferentes según el caso, y la aplicabilidad de la obligación de notificación e informe de filtraciones varía según la situación. Es necesario verificar individualmente.
Este caso es una historia ficticia reconstruida para facilitar la comprensión, y los personajes, nombres comerciales, nombres de lugares y cifras que aparecen no están relacionados con ninguna persona o evento específico.
- --
Nos ocupamos de la mediación administrativa, permisos/notificaciones, inmigración/visados para extranjeros y gestión administrativa periódica. En los casos relacionados con la información personal, el estado de gestión habitual del negocio suele ser más importante que el caso denunciado. Si tienes una situación similar, no dudes en ponerte en contacto con nosotros.
📍 인천 연수구 컨벤시아대로 165, 포스코타워송도 2697호 📍 Incheon, Yeongu-gu, Convensea-daero 165, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
Si tienes una situación similar, no dudes en ponerte en contacto con nosotros.
※ Para facilitar la comprensión, este es un caso hipotético reconstruido.
#DenunciaDeViolaciónDeDatosPersonales #LeyDeProtecciónDeDatosPersonales #PolíticaDeProcesamientoDeDatosPersonales #PeriodoDeConservación #DerechosDeAcceso #TiendaAutomatizada #AgenteAdministrativo #AgenteAdministrativoDeIncheon #AgenteAdministrativoDeSongdo