Una política impecablemente redactada puede convivir con una operación que la contradice todos los días. Una empresa puede declarar confidencialidad y mantener accesos innecesarios; exigir autorizaciones y no conservar su evidencia; contratar servicios en la nube sin identificar quién trata los datos. El problema no se resuelve agregando páginas. Se resuelve conectando la obligación con el proceso y el proceso con un control que funcione.
La pregunta inicial no es qué plantilla falta
Antes de redactar, corresponde comprender la actividad: qué información se utiliza, con qué finalidad, qué personas intervienen, cuáles son los proveedores y qué decisiones generan exposición. Sólo entonces puede construirse un mapa razonable de requisitos legales, contractuales y técnicos. Aplicar a toda organización la misma lista diluye lo importante y convierte el cumplimiento en una acumulación de formularios.
En protección de datos, por ejemplo, la Ley 25.326 exige que la información recogida sea pertinente para su finalidad y que se adopten medidas de seguridad. Esas obligaciones necesitan decisiones operativas: limitar campos, definir accesos, retirar permisos cuando dejan de corresponder y establecer cómo se responde a una solicitud del titular. El texto publicado debe describir una práctica real, no una aspiración. Ley 25.326, arts. 4, 6 y 9.
Derecho y seguridad de la información deben dialogar
La revisión jurídica identifica deberes, responsabilidades y condiciones. La revisión técnica permite saber cómo circula la información y si los controles declarados existen. Si ambos análisis se realizan de manera aislada, aparecen zonas sin dueño: el contrato promete algo que el sistema no permite, o el sistema conserva datos cuya necesidad nadie puede explicar.
Un SGSI (Sistema de Gestión de Seguridad de la Información) ofrece una estructura para ordenar responsabilidades, riesgos y mejora continua. ISO/IEC 27001 establece requisitos para ese sistema de gestión; su adopción no debe confundirse con una garantía de ausencia de incidentes ni con el cumplimiento automático de toda obligación jurídica. El alcance, la evidencia y el contexto siguen siendo determinantes. ISO, descripción oficial de ISO/IEC 27001:2022.
Priorizar y poder demostrar
Un plan útil distingue las brechas urgentes de las mejoras programables. Asigna un responsable, define una fecha y establece cómo se comprobará el cierre. “Se capacitó al personal” no responde por sí solo si la capacitación alcanzó a quienes toman la decisión relevante. “Se hacen copias” no demuestra que la recuperación fue probada.
La misma lógica se aplica a proveedores y transferencias internacionales. No basta una frase que autorice cualquier circulación de datos. Hay que identificar los flujos y elegir el mecanismo que corresponda: adecuación del destino, garantías contractuales o una excepción aplicable, incluido el consentimiento expreso en las condiciones reconocidas por el régimen argentino. AAIP, transferencias internacionales.
La prevención adquiere valor cuando deja capacidad instalada. La organización debe saber qué hacer, quién decide y qué registro conserva cuando cambia un proveedor, ingresa una persona o sucede un incidente. Ese es el resultado que importa: menos distancia entre lo que la empresa declara, lo que efectivamente hace y lo que puede acreditar.
Vancis integra revisión legal, gestión de riesgos y seguridad de la información para construir planes de cumplimiento proporcionales a la actividad de cada organización. El punto de partida es un diagnóstico concreto; el objetivo, una mejora que pueda sostenerse y verificarse.
¿Esta situación se parece a la tuya?
Podemos conversar sobre el contexto y las alternativas de tu caso.
Solicitar una consulta ↗