Muchas empresas brasileñas ya resolvieron la parte jurídica de la ley de protección de datos: contrataron un abogado, escribieron una política de privacidad, pusieron el aviso de cookies en el sitio. Y ahí se detuvieron. La red sigue exactamente igual, con la misma carpeta compartida que abre toda la empresa y la misma copia de seguridad que nadie ha probado nunca.
El problema es que la ley brasileña de protección de datos (LGPD) trata algo más amplio que un contrato. Según la autoridad nacional de protección de datos, dato personal es cualquier información relacionada con una persona identificada o identificable — nombre, correo, documento de identidad, foto, dirección, y también el registro de un empleado o de un cliente antiguo que ya nadie usa. Existe además una categoría más sensible: datos de salud, biométricos, de opinión política o religión, que exige más cuidado porque el daño posible es mayor.
Eso cambia la pregunta que vale la pena hacer. No es "¿mi contrato está en orden?" — normalmente lo está. Es "¿puedo decir, ahora mismo, dónde está guardado cada uno de esos datos, quién llega hasta él y qué pasó con él la semana pasada?" Para la mayoría de las empresas pequeñas y medianas, la respuesta honesta es que no — y ahí es justo donde la ley cobra el precio en infraestructura, no en papel.
Dónde vive realmente el dato personal
El dato personal no vive en un solo sistema. Está repartido: en la planilla de recursos humanos, en el sistema de ventas, en el formulario del sitio, en la cámara de la entrada, en la laptop de quien trabaja desde casa, en el correo de quien dejó la empresa hace dos años y todavía tiene acceso activo. Cada uno de esos lugares es un punto donde la ley se aplica.
El primer problema de infraestructura, casi siempre invisible hasta que algo sale mal, es no tener un inventario de dónde está esa información. Sin esa lista, la empresa no sabe cuánto dato personal tiene, en cuántos lugares está copiado, ni quién tiene un motivo real para acceder a él. Es la misma lógica detrás del primer control de seguridad recomendado internacionalmente para cualquier empresa: mantener un registro de los equipos y sistemas en uso, porque no se puede proteger lo que no está en una lista.
Ese inventario no es un documento que se escribe una vez y se guarda en un cajón. Necesita acompañar los cambios: un sistema nuevo, un proveedor que empezó a recibir datos de clientes, un empleado que salió y dejó la cuenta activa. Toda empresa que responde "no sé" a "dónde está el registro de clientes" ya tiene ahí el primer problema de la ley de protección de datos — y no se resuelve con una cláusula en el contrato.
El segundo problema, ligado al primero, es quién llega hasta ese dato. En una empresa pequeña es común que el acceso sea amplio por costumbre: todos entran a la misma carpeta, a nadie se le quita el acceso cuando cambia de puesto, el practicante de finanzas ve la misma planilla que el director. Cada acceso de más sin motivo de trabajo es un riesgo de más que la empresa carga sin necesidad.
Por qué tener política no es tener control
La reacción común ante la ley fue jurídica: contrato revisado, política publicada, aviso al pie del sitio. Eso resuelve la parte documental — y es necesario — pero no cambia ni una línea de lo que pasa en la red de la empresa día a día. La carpeta sigue abierta, la copia de seguridad sigue sin probarse, el exempleado sigue con la contraseña activa.
El riesgo de dar esto por resuelto aparece cuando ocurre un problema de seguridad real. Un estudio de 2026 sobre secuestro de datos en Brasil, hecho con empresas afectadas en los doce meses anteriores, encontró que en el 38% de los ataques donde se cifraron archivos también hubo robo de datos antes — un aumento respecto al año anterior. En otras palabras: el mismo incidente que ya es grave por sí solo se vuelve, cada vez con más frecuencia, también una fuga de dato personal que la empresa necesita poder explicar.
Ahí es donde la diferencia entre "tener política" y "tener control" pesa de verdad. Una empresa que solo tiene el documento jurídico no puede responder preguntas básicas cuando llega el problema: qué datos personales había en ese sistema, quién tenía acceso a él, cuándo se accedió por última vez. Sin ese registro, cada pregunta se convierte en un levantamiento manual, hecho bajo presión, en medio de una crisis.
Otro movimiento común, tan frecuente como el anterior, es comprar una herramienta de seguridad nueva y suponer que el problema de acceso quedó resuelto porque ahora hay un producto vigilándolo. Una herramienta que nadie revisa, y sin un proceso que diga quién puede acceder a qué, funciona apenas un poco mejor que no tener nada.
Lo que Tiene que Existir en la Práctica
Cumplir la parte de infraestructura de la ley de protección de datos depende de mecanismos que funcionan todos los días, no de un documento firmado una sola vez.
Un inventario de dónde está guardado el dato personal. Sistemas, planillas, carpetas compartidas, correo, copias de seguridad — todo lo que guarda información de cliente o empleado necesita estar en una lista viva, actualizada cuando algo cambia.
Acceso por necesidad, no acceso general. Cada persona ve solo lo que su trabajo exige. Cuando alguien cambia de puesto o sale de la empresa, el acceso cambia o se corta el mismo día — no meses después.
Registro de quién accedió a qué. Un sistema de ventas, un servidor de archivos o un correo que no guarda ese historial deja a la empresa sin respuesta ante la primera pregunta que aparece después de un problema.
Copia de seguridad probada, no solo hecha. En el mismo estudio sobre secuestro de datos en Brasil, el 85% de las empresas afectadas usó copias de seguridad para recuperar los archivos cifrados — un aumento considerable respecto al año anterior. Una copia que existe pero nunca se probó es una suposición, no una protección.
Un único responsable a cargo. Inventario, acceso y copia de seguridad necesitan a alguien que mire el conjunto — no tres proveedores distintos que cubren cada uno una parte y ninguno el todo.
Así es como trabaja Skills IT: con inventario de lo que guarda el cliente, acceso corregido por necesidad y copias de seguridad probadas con regularidad, en lugar de un documento guardado en una carpeta.
La ganancia para quien decide
La ganancia de arreglar esto no es jurídica, es operativa. Una empresa que sabe dónde está el dato personal y quién accede a cada sistema resuelve un problema de seguridad en horas, no en semanas — porque no necesita reconstruir desde cero lo que pasó antes de actuar.
Eso también cambia lo que la empresa puede mostrar cuando se le exige. Comunicar un incidente de seguridad a la autoridad exige informar qué fue afectado, el riesgo involucrado y qué ya se hizo para reducir el daño. Una empresa con inventario y registro de acceso responde eso con datos reales; una empresa sin ninguno de los dos responde con una estimación — y una estimación, en una revisión formal, pesa en contra de quien solo tiene eso para mostrar.
También hay una ganancia financiera directa: menos horas de equipo reconstruyendo manualmente lo que pasó, menos riesgo de un acceso indebido a dato sensible de cliente o empleado, y menos tiempo detenido hasta que la empresa vuelve a operar con normalidad. La gobernanza de datos, en la práctica, es costo de TI evitado, no una obligación aparte.
Por último, hay una ganancia de decisión: cuando el inventario ya existe, quien decide sabe el tamaño exacto del problema en el momento en que aparece, en lugar de descubrirlo poco a poco, semana tras semana.
Una Guía para Empezar
Antes de revisar el contrato de nuevo, vale la pena entender qué puede responder hoy la infraestructura de la empresa.
- ¿La empresa puede listar, sin buscar, dónde está guardado el dato de cliente y de empleado? Si la respuesta exige abrir varios sistemas para revisar, el inventario no existe de verdad.
- ¿Alguien que cambió de puesto o salió de la empresa todavía tiene acceso a algún sistema? Si la respuesta es "probablemente sí, pero nadie lo revisa", el acceso es más amplio de lo que debería.
- ¿La copia de seguridad ya se probó con una recuperación real, o solo corre todos los días sin que nadie revise el resultado? Una copia nunca probada es una copia, no una garantía.
- ¿Existe registro de quién accedió a un sistema con dato personal en la última semana? Sin ese registro, cualquier pregunta sobre un incidente se convierte en suposición.
- Si hoy ocurriera un problema de seguridad, ¿quién en la empresa podría decir el tamaño exacto de lo afectado? Si la respuesta tarda, la infraestructura todavía no alcanzó a la ley — solo el contrato lo hizo.
