Protección de datos: el estudio también es responsable

Por Gastón Krasny

Se piensa la protección de datos como algo de empresas grandes con departamento de compliance. Pero un estudio jurídico chico maneja, en un expediente cualquiera, datos que la Ley 25.326 llama sensibles: salud, situación patrimonial, a veces datos penales. Y de gente que nunca firmó nada con vos: la contraparte, los testigos, los peritos, los hijos.

Las tres cosas que hay que tener claras

1. El estudio es responsable del tratamiento. No sos un depósito neutro. Decidís qué se guarda, dónde y por cuánto tiempo, y eso te pone en el rol de responsable.

2. Los proveedores son encargados. El servicio donde guardás los archivos, el que te sincroniza los expedientes, el que te transcribe una audiencia: tratan datos por cuenta tuya y siguiendo tus instrucciones. Eso no te libera de nada — al contrario, te toca elegirlos.

3. El secreto profesional y la protección de datos no son lo mismo. El secreto te obliga a no divulgar. La protección de datos te obliga además a cuidar, a no guardar de más y a poder decir qué tenés y por qué.

Las preguntas que conviene poder contestar

No hace falta un programa formal. Hace falta poder responder cuatro cosas:

• ¿Qué datos tenés? No en detalle: por categoría. Expedientes, contactos, documentación de clientes, currículums que te mandaron.
• ¿Dónde están? Incluyendo lo que está en el WhatsApp del celular y en el Drive personal de alguien, que es donde casi siempre aparece la sorpresa.
• ¿Quién accede? Empleados actuales, y —el punto que más se olvida— los que ya no están.
• ¿Hasta cuándo lo guardás? Un expediente terminado hace ocho años con todos los adjuntos no es prolijidad: es riesgo acumulado sin ningún beneficio.

Lo que hay que mirarle a un proveedor

Tres cosas, y ninguna requiere entender de tecnología:

1. Dónde están los datos. Si salen del país, tiene que estar contemplado: la transferencia internacional tiene reglas propias.
2. Qué hace con lo que le das. Puntualmente: si usa el contenido de tus documentos para algo que no sea prestarte el servicio a vos. La respuesta correcta es que no.
3. Qué pasa si te vas. Si podés bajar todo y si lo borran después.

Si un proveedor no contesta esas tres por escrito, ya te contestó.

El caso incómodo: la IA

Cuando le pasás un documento de un expediente a una herramienta de IA, estás transfiriendo datos personales de terceros a un proveedor. Eso no está prohibido —es tratamiento necesario para prestarte un servicio que contrataste— pero exige saber qué modelo lo ve y bajo qué acuerdo.

La pregunta concreta, y la única que importa: ¿ese contenido se usa para entrenar algo, o sólo para responderte a vos? Si la respuesta no está clara, no mandes el expediente.

Es la misma disciplina de siempre —no le contás el caso a cualquiera— aplicada a una herramienta nueva.

Por dónde empezar

Por lo más chico y más efectivo: borrar lo que no necesitás. Los datos que no tenés no se filtran, no hay que protegerlos y no hay que explicarlos. Es la única medida de seguridad que además te ahorra trabajo.