Una guía para identificar qué información de tus clientes es sensible y requiere protección adicional, sin necesidad de ser experto en regulaciones ni ciberseguridad.
Toda empresa que maneja información de clientes se enfrenta, en algún momento, a la misma pregunta: ¿qué datos deberíamos estar protegiendo, y cómo? La pregunta suele aparecer después de un susto —una filtración en otra empresa del rubro, una noticia sobre multas millonarias, un cliente que pregunta qué hacen con su información—, pero para entonces la exposición ya existe y lo que se necesita no es prevención sino remediación.
Este artículo propone un criterio para identificar qué información de tus clientes merece protección adicional, por qué y cómo empezar a protegerla. No es un artículo sobre regulaciones —cada país y cada industria tienen las suyas, y este texto no reemplaza la consulta con un profesional del derecho— sino sobre el razonamiento que cualquier empresario o gerente puede aplicar para tomar decisiones informadas sobre los datos que maneja.
El primer error es tratar todos los datos como si tuvieran el mismo nivel de sensibilidad. Una lista de correos electrónicos de clientes no tiene el mismo riesgo asociado que una base de datos con números de documento, información financiera o historiales médicos. Tratar todo con el máximo nivel de protección es caro e ineficiente; tratar todo con el mínimo es negligente.
Una forma práctica de clasificar los datos es en tres categorías según el daño que causaría su exposición:
Categoría 1 — Datos de bajo riesgo: información que, si se filtrara, no generaría un daño significativo al cliente ni a la empresa. Ejemplos: nombres de productos comprados en un ecommerce genérico, direcciones de email corporativas que ya son públicas, preferencias de navegación anonimizadas.
Categoría 2 — Datos de riesgo medio: información que podría usarse para molestar o perjudicar al cliente, pero que por sí sola no permite suplantar su identidad ni acceder a sus cuentas. Ejemplos: nombre completo, dirección postal, número de teléfono, historial de compras detallado que revele hábitos o condiciones personales.
Categoría 3 — Datos de alto riesgo: información que, expuesta, puede generar daño financiero, legal o reputacional significativo al cliente. Ejemplos: números de documento de identidad, datos de tarjetas de crédito, contraseñas, información de salud, datos biométricos, información sobre menores de edad, datos de localización en tiempo real.
Esta clasificación no es universal ni regulatoria: es un punto de partida para la conversación interna. Los datos que en tu industria son de bajo riesgo pueden ser de alto riesgo en otra. Una tienda de ropa y una clínica médica manejan datos de clientes, pero la sensibilidad de esa información no es comparable.
Las leyes de protección de datos —como el RGPD en Europa, la LGPD en Brasil, la Ley de Protección de Datos Personales en Argentina, entre muchas otras— definen categorías específicas y obligaciones legales concretas. La clasificación propuesta en este artículo es una herramienta de razonamiento práctico, no una guía de cumplimiento normativo. Para entender qué exige la ley en tu país y tu industria, consultá con un profesional del derecho.
Más allá de las categorías, hay tres factores que hacen que un conjunto de datos sea particularmente delicado:
Un nombre por sí solo puede no ser suficiente para identificar a alguien —hay miles de personas con el mismo nombre—. Pero un nombre combinado con un número de documento, una dirección o una fecha de nacimiento sí permite identificar a una persona concreta. La combinación de datos es más peligrosa que cada dato por separado.
Muchas empresas manejan información que por separado parece inofensiva pero que combinada se vuelve identificable. Por ejemplo: un ecommerce que guarda nombre, dirección de envío, historial de compras y método de pago. Cada pieza por separado puede ser de riesgo bajo o medio; juntas forman un perfil detallado de una persona real.
Números de documento, datos de tarjetas, fechas de nacimiento, números de seguridad social: estos datos permiten a un tercero hacerse pasar por el cliente. Una filtración de este tipo de información no solo daña la confianza del cliente en tu empresa, sino que puede generar responsabilidad legal si la filtración ocurrió por falta de medidas de seguridad razonables.
Hay datos que no necesariamente permiten fraude pero cuya exposición genera un daño reputacional o emocional: condiciones médicas, orientación sexual, creencias religiosas, afiliaciones políticas, situación financiera. Estos datos requieren protección no solo por obligación legal —en muchas jurisdicciones están especialmente protegidos— sino porque su exposición destruye la confianza que el cliente depositó en tu empresa.
Para cada tipo de dato que manejás, preguntate: si mañana ese dato apareciera publicado en internet, ¿qué le pasaría a mi cliente? ¿Y a mi empresa? La respuesta suele ser un buen indicador de qué nivel de protección necesita esa información.
Hay ciertos tipos de datos que muchas empresas manejan sin considerarlos sensibles, pero que merecen atención:
Muchas empresas no tienen un inventario de los datos que manejan. Saben que tienen clientes, que guardan su información en algún lado y que probablemente deberían protegerla, pero no saben exactamente qué datos, dónde están ni quién tiene acceso.
Hacer ese inventario no requiere una auditoría de meses. Un ejercicio práctico de una tarde:
Este ejercicio suele revelar sorpresas: datos que se recopilan por inercia y ya no se usan, accesos que se concedieron para un proyecto puntual y nunca se revocaron, información sensible almacenada en lugares que no deberían contenerla —planillas compartidas, cuentas de correo, herramientas gratuitas sin controles de acceso—.
Relacionado: si en este ejercicio descubrís que información sensible de clientes vive en planillas compartidas sin control de acceso, el problema es doble: además del riesgo de exposición, estás operando con herramientas que ya no son adecuadas para el volumen y la sensibilidad de lo que manejás. El artículo sobre cuándo dejar de usar planillas aborda ese punto.
Sin pretender ser una guía exhaustiva, estas son prácticas razonables para cada nivel de sensibilidad:
Para datos de bajo riesgo (Categoría 1):
Para datos de riesgo medio (Categoría 2):
Para datos de alto riesgo (Categoría 3):
Estas medidas no son una lista de verificación definitiva. El nivel de protección adecuado depende del tipo de dato, del volumen y de lo que exija la regulación aplicable. Pero si hoy no tenés ninguna de estas medidas implementadas ni siquiera para los datos de alto riesgo, empezar por acá ya reduce significativamente la exposición.
Relacionado: muchas de estas medidas dependen de cómo trabaje tu proveedor de software. Las preguntas sobre seguridad que hacer a tu proveedor cubren los aspectos técnicos de esta conversación: dónde se almacenan los datos, quién tiene acceso, cómo se gestionan las vulnerabilidades y qué pasa con tus datos si terminás la relación con el proveedor.
Si detectás o sospechás que datos de clientes pueden haber quedado expuestos, el orden de las acciones importa:
Proteger los datos de tus clientes no es un centro de costo: es una inversión en confianza. Un cliente que sabe que su información está segura con tu empresa es un cliente que vuelve, que recomienda y que no se va al primer susto.
La mayoría de las filtraciones no ocurren por ataques sofisticados de hackers con recursos ilimitados. Ocurren por cosas mucho más simples: una planilla compartida con un link público, una base de datos de prueba que quedó expuesta a internet, una credencial que se compartió por correo y nunca se cambió, un ex empleado cuyo acceso nunca se revocó. Proteger los datos de tus clientes empieza por protegerlos de esas cosas simples, que son las que más daño hacen.
La pregunta no es si tu empresa puede permitirse proteger los datos de sus clientes. La pregunta es si puede permitirse no hacerlo.
¿Quieres evaluar cómo aplicar esto a tu proyecto?
Cuéntanos tu caso →