Cada dato personal, con su activo identificado y su criticidad clasificada
El inventario que sostiene el resto del cumplimiento
Un activo de información es cualquier sistema, formulario, archivo o repositorio que almacena o procesa datos personales — desde un formulario de contacto hasta la plataforma de ventas online. Cada activo se registra con su propia descripción, clasificación, propietario y nivel de criticidad.
Sin un inventario de activos completo, la organización no puede saber con certeza dónde viven los datos que trata, lo que hace imposible aplicar controles de seguridad consistentes o responder con precisión ante una fiscalización o un derecho ARSOBP.
La Ley 21.719 exige que la organización pueda dar cuenta, en todo momento, de dónde residen los datos personales que trata y bajo qué condiciones de seguridad. Un inventario de activos desactualizado o incompleto es una de las primeras brechas que expone una fiscalización.
Clasificar cada activo por criticidad permite priorizar recursos: no todos los sistemas requieren el mismo nivel de control, pero todos deben estar identificados y con un responsable claro.
Cada activo se identifica con su clasificación, propietario y criticidad
Al crear un activo se documenta su nombre, una definición de su propósito y reglas de negocio, su clasificación de datos, el propietario del proceso que lo utiliza y una breve reseña de su linaje — el origen y procesamiento del dato.
- Criticidad Alto, Medio o Bajo, visible en el listado general de activos
- Linaje documentado para trazar el origen del dato ante una auditoría
Cada propósito puede apuntar a un sistema externo distinto, con su propio subconjunto de campos.
Cada activo declara en qué propósitos se usa, con qué sistema y qué campos
Un mismo activo puede alimentar varios propósitos de negocio. Para cada uno se especifica el sistema externo donde vive el dato y los campos concretos que ese propósito utiliza — la misma estructura que conecta el activo con el RAT.
- Un activo puede tener múltiples propósitos, cada uno con su propio conjunto de campos
- Los campos declarados por propósito son los que luego reciben medidas de seguridad
La protección se define campo a campo, no solo por activo
Por cada campo declarado en un propósito, PDP Suite permite marcar medidas técnicas — ofuscación, encriptación, semi anonimización — y documentar medidas legales, como cláusulas de almacenamiento seguro, que respaldan jurídicamente la protección del activo.
- Medidas técnicas aplicadas de forma independiente por campo y propósito
- Medidas legales documentadas con nombre y descripción, reutilizables entre activos
Lo que preguntan sobre Activos de información
¿Qué es un activo de información en PDP Suite?
Es cualquier sistema, formulario, archivo o repositorio que almacena o procesa datos personales — con su propia clasificación, un propietario asignado y un nivel de criticidad. Es la unidad base del inventario de datos de la organización.
¿Qué significa el nivel de criticidad de un activo?
Clasifica el activo según el impacto que tendría su exposición o compromiso — Alto, Medio o Bajo. Ese nivel alimenta la evaluación de riesgos y ayuda a priorizar qué activos requieren controles más estrictos.
¿Cómo se vincula un activo a un propósito de negocio?
Cada activo puede asociarse a uno o más propósitos de negocio, especificando el sistema externo donde vive y los campos concretos que ese propósito utiliza — la misma relación que conecta el inventario con el RAT.
¿Qué diferencia hay entre las medidas de seguridad técnicas y legales?
Las técnicas se definen campo a campo — ofuscación, encriptación o semi anonimización. Las legales documentan compromisos o cláusulas, como el almacenamiento en bóveda electrónica, que respaldan jurídicamente la protección del activo.