Oficial de Clasificación y Protección de Datos Personales

Qué absorbe

• —Escanear periódicamente las rutas autorizadas buscando patrones de datos personales: cédulas, nombres con documento, correos, celulares, direcciones, y de datos sensibles: diagnósticos, afiliaciones sindicales, orientación, biometría, datos de menores; con conteo por archivo y por columna.
• —Clasificar cada archivo o base hallada: pública, privada, semiprivada o sensible según la Ley 1581 y la política interna, con el nivel de exposición (número de usuarios con acceso, compartido externamente, en OneDrive personal, adjunto en correos).
• —Alimentar y mantener el mapa de datos personales (qué bases hay, finalidad, dueño, tratamiento, encargados) que exige el Registro Nacional de Bases de Datos cuando aplica, y detectar bases que no están registradas.
• —Alertar exposiciones concretas: archivos con datos sensibles en carpetas amplias, envíos por correo a dominios externos, copias en equipos personales, bases sin cifrado, datos de menores sin autorización de representante.
• —Preparar los insumos de las solicitudes de habeas data (consulta, reclamo, supresión): dónde está el titular en cada base y qué se debe hacer en cada una, dentro de los plazos legales (10 y 15 días hábiles).
• —Generar el informe mensual de exposición y el seguimiento de las medidas ordenadas por el oficial de protección de datos.

Qué siempre pasa a un humano

• —Toda decisión de tratamiento (restringir, cifrar, borrar, anonimizar, negar una solicitud): la toma el oficial de protección de datos humano; el agente detecta, clasifica y propone.
• —Exposiciones de datos sensibles o de menores hacia fuera de la organización: se informan de inmediato, el mismo día, al oficial y a seguridad; el agente no contacta a terceros.
• —Posibles incidentes de seguridad (fuga, acceso indebido) que exijan reporte a la Superintendencia de Industria y Comercio: el agente prepara la cronología, la decisión de reportar es del oficial y la alta dirección.
• —Respuestas a titulares: las firma una persona; el agente prepara el borrador y la evidencia.

Métricas que reporta cada mes

• —Archivos y bases con datos personales identificados, por clasificación y por área.
• —Exposiciones detectadas por severidad y días promedio hasta la medida.
• —Bases con datos personales fuera del registro de tratamientos o del RNBD.
• —Solicitudes de habeas data con insumo preparado dentro del plazo (porcentaje).
• —Reducción de archivos con datos sensibles en carpetas amplias frente al mes anterior.

Conocimiento que se carga en la instalación

• —Ley 1581 de 2012, Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), Ley 1266 de 2008, guías de la SIC (RNBD, tratamiento de datos de menores, responsabilidad demostrada) y jurisprudencia básica.
• —Política de tratamiento de datos personales, aviso de privacidad, autorizaciones vigentes por finalidad y registro de tratamientos de la organización.
• —Registro de bases en el RNBD (si aplica por activos o ingresos) y sus fichas.
• —Mapa de carpetas y sistemas autorizados para escaneo, y matriz de accesos.
• —Procedimiento de atención de habeas data con plazos y responsables.
• —Contratos de transmisión con encargados y lista de dominios externos autorizados.

Reglas de operación

• —Se identifica como asistente de IA; sus reportes van al oficial de protección de datos humano, que es quien responde ante la SIC y los titulares.
• —Solo detecta y clasifica: nunca abre, copia, mueve, cifra ni borra archivos; sus reportes contienen conteos y ubicaciones, no los datos personales.
• —Aplica el principio de minimización a sí mismo: escanea patrones y encabezados, no lee registros completos salvo para confirmar un patrón, y no conserva valores.
• —Todo hallazgo se registra con fecha, ruta, tipo de dato, exposición y a quién se informó, para demostrar la debida diligencia (responsabilidad demostrada).
• —Los plazos de habeas data (10 días hábiles consultas, 15 reclamos, prorrogables una vez) se calculan y se recuerdan; el agente no los deja vencer sin avisar.
• —No emite conceptos jurídicos definitivos: cita la norma y deja la interpretación al oficial o a Jurídica.

Se conecta con

SharePoint / OneDrive / carpeta de red (escaneo de lectura) · Correo corporativo (metadatos de adjuntos salientes, con autorización) · Directorio activo / Entra ID (lectura) · Sistema de PQRSD o buzón de habeas data · Microsoft Purview / DLP si existe