La puerta de un conjunto residencial puede parecer un asunto de seguridad. Pero cuando para abrirla una persona debe entregar su rostro, huella u otro dato biométrico, el problema deja de estar solamente en la portería: entra directamente al gobierno de la información.
La SIC ha reiterado que no puede condicionarse el acceso a la propiedad horizontal al suministro obligatorio de datos biométricos como única alternativa. La discusión empresarial es todavía más profunda: ¿quién controla realmente esa información después de capturarla?
Una tecnología puede funcionar perfectamente y, aun así, haber sido implementada sin suficiente criterio organizacional.
Antes de instalar otro lector, cámara o sistema de reconocimiento facial, conviene revisar algo más importante que el dispositivo: la arquitectura que sostiene la confianza.
https://t.mtrbio.com/habeas-data
👉 LEE NUESTRO BLOG…
Durante años, muchas organizaciones aprendieron a relacionar la palabra seguridad con una idea aparentemente sencilla: controlar quién entra y quién sale.
Primero fueron las llaves.
Después aparecieron las tarjetas.
Luego los códigos.
Más tarde llegaron las cámaras, las aplicaciones móviles, las huellas digitales y el reconocimiento facial.
Cada nueva tecnología parecía resolver el mismo problema con mayor velocidad.
Pero silenciosamente apareció otro.
Mientras aumentaba la capacidad de controlar el acceso físico, algunas organizaciones comenzaron a perder control sobre la información utilizada para hacerlo.
La reciente discusión alrededor del tratamiento de datos biométricos en conjuntos residenciales colombianos permite observar precisamente ese conflicto.
La Superintendencia de Industria y Comercio ha señalado que los datos biométricos son información sensible y que no resulta proporcionado convertir su entrega en la única condición para ingresar a una propiedad horizontal. En una actuación conocida públicamente, la autoridad ordenó habilitar mecanismos de ingreso que no implicaran necesariamente el tratamiento de información biométrica.
La noticia puede interpretarse rápidamente como una prohibición tecnológica.
Sería una lectura demasiado pequeña.
El problema no es que exista reconocimiento facial.
El problema aparece cuando una organización instala reconocimiento facial sin comprender suficientemente qué significa convertirse en responsable de una infraestructura que identifica personas mediante características que forman parte de su propia identidad.
Una tarjeta puede reemplazarse.
Una contraseña puede modificarse.
Una credencial puede cancelarse.
Un rostro no funciona de la misma manera.
Por eso la biometría cambia completamente la conversación.
Cuando la comodidad tecnológica modifica silenciosamente la organización
Imagine un conjunto residencial que quiere modernizar su acceso.
La administración recibe una demostración tecnológica.
El proveedor presenta una solución elegante: una cámara identifica al residente y abre automáticamente la puerta.
No necesita sacar tarjetas.
No necesita recordar códigos.
No necesita interactuar con el vigilante.
Parece eficiencia.
Y probablemente lo sea.
Pero en ese instante también nacen preguntas que pocas organizaciones hacen antes de comprar la tecnología.
¿Dónde quedan almacenadas las imágenes?
¿El sistema conserva fotografías o plantillas biométricas?
¿La información permanece dentro del conjunto o circula hacia servidores externos?
¿Existe infraestructura en la nube?
¿Puede acceder el proveedor?
¿Participan otros operadores tecnológicos?
¿Durante cuánto tiempo permanece registrada la información?
¿Qué ocurre cuando un residente vende su apartamento?
¿Qué procedimiento permite solicitar la eliminación del dato?
¿Qué sucede si cambia la empresa de vigilancia?
¿Quién conserva las credenciales administrativas de la plataforma?
¿Existe trazabilidad de las consultas?
¿La administración sabe realmente responder esas preguntas?
Ahí aparece el verdadero conflicto.
La tecnología puede estar funcionando mientras el gobierno de la información está fallando.
Y esa diferencia es fundamental.
Instalar tecnología no equivale a gobernarla
Muchas organizaciones todavía administran tecnologías digitales como antiguamente administraban equipos físicos.
Compran.
Instalan.
Configuran.
Delegan.
Funcionan.
Y continúan operando.
Pero una tecnología que procesa información personal no termina en el dispositivo.
Detrás puede existir una cadena completa de tratamiento formada por proveedores, bases de datos, servidores, integraciones, aplicaciones, copias de respaldo, contratos, permisos administrativos y usuarios internos.
En otras palabras, detrás de una cámara puede existir una arquitectura invisible.
Por eso una pregunta aparentemente técnica termina convirtiéndose en una cuestión de gobierno empresarial:
¿quién tiene control sobre el ciclo completo de la información?
La Ley 1581 de 2012 estableció en Colombia principios y obligaciones relacionadas con el tratamiento de datos personales. Sin embargo, reducir todo este asunto a conseguir una autorización sería insuficiente.
Una autorización no corrige automáticamente una arquitectura mal diseñada.
Una política publicada tampoco garantiza control.
Un aviso en recepción no crea trazabilidad.
Y un contrato con un proveedor tecnológico no significa necesariamente que la organización comprenda lo que ocurre con los datos.
El papel puede decir una cosa.
La operación cotidiana puede estar haciendo otra.
Ahí comienza buena parte del riesgo empresarial contemporáneo.
La entrada al edificio también es una frontera digital
Cuando una persona cruza la puerta de un conjunto residencial ya no necesariamente atraviesa solamente un punto físico.
Puede estar entrando en un ecosistema tecnológico.
Una cámara registra su llegada.
Una plataforma identifica su rostro.
Un software consulta una base de datos.
Una aplicación genera una notificación.
Un sistema almacena fecha y hora.
El visitante registra nombre, documento, apartamento de destino y posiblemente fotografía.
Otro sistema conserva placas vehiculares.
WhatsApp termina funcionando como canal adicional para enviar autorizaciones de ingreso.
Y durante meses o años se construye silenciosamente una memoria digital de movimientos humanos.
Eso cambia completamente la naturaleza del proceso.
La portería comienza a producir datos.
Y cuando una operación comienza a producir datos de manera sistemática, necesita algo más que seguridad física.
Necesita criterio de información.
El error está en pensar que más información siempre produce más seguridad
Existe una tentación tecnológica frecuente:
si podemos capturar un dato, entonces deberíamos capturarlo.
Pero una organización madura debería formular exactamente la pregunta contraria:
¿realmente necesitamos este dato para cumplir nuestra finalidad?
Ese cambio aparentemente pequeño transforma la cultura digital.
Porque cada dato adicional genera responsabilidad adicional.
Cada nueva base genera exposición.
Cada integración crea dependencia.
Cada proveedor agrega una relación que necesita supervisión.
Cada permiso administrativo abre una posibilidad de acceso.
Y cada tecnología abandonada puede convertirse en información olvidada.
La mejor arquitectura de datos no necesariamente es aquella que recopila más.
Muchas veces es la que necesita menos.
La voluntariedad tiene una dimensión empresarial
Los datos biométricos están dentro de las categorías especialmente protegidas por su sensibilidad. En el caso analizado por la SIC, la autoridad recordó que no puede condicionarse una actividad al suministro de este tipo de información y consideró desproporcionado exigir biometría como única condición para acceder a la propiedad horizontal.
Pero detrás de la discusión jurídica aparece una cuestión de confianza.
Una persona no experimenta verdadera libertad cuando aparentemente puede negarse a entregar su información, pero hacerlo significa no poder entrar normalmente a su vivienda.
La diferencia entre consentimiento y presión tecnológica puede ser muy pequeña.
Ese principio debería preocupar no solamente a conjuntos residenciales.
También a gimnasios.
Colegios.
Empresas.
Clubes.
Hoteles.
Edificios corporativos.
Instituciones educativas.
Plataformas digitales.
Aplicaciones.
Sistemas de control de asistencia.
El interrogante es transversal:
¿estamos ofreciendo tecnología o estamos convirtiendo la entrega de información personal en el precio invisible para participar en una actividad?
Las empresas que comprendan esa diferencia construirán relaciones digitales mucho más sostenibles.
La inteligencia artificial vuelve todavía más importante esta conversación
Existe además una transformación adicional.
Las cámaras dejaron de ser solamente cámaras.
Los sistemas contemporáneos pueden incorporar analítica, reconocimiento de patrones, identificación facial, clasificación automática, detección de comportamientos e integraciones con otras plataformas.
Lo mismo ocurre con múltiples infraestructuras empresariales.
Un sistema comprado inicialmente para registrar accesos puede terminar conectado con herramientas que permiten análisis adicionales.
Una base creada con una finalidad puede convertirse técnicamente en insumo para otra.
Una fotografía puede dejar de ser solamente una fotografía cuando un algoritmo comienza a extraer características de ella.
Ese es uno de los grandes desafíos de la confianza digital en la era de la inteligencia artificial:
la capacidad tecnológica suele crecer más rápido que el criterio organizacional necesario para gobernarla.
La pregunta entonces no debería ser únicamente qué puede hacer el software.
También debería ser:
qué debería permitírsele hacer dentro de nuestra organización.
El proveedor tecnológico no reemplaza la responsabilidad organizacional
Otro error común ocurre cuando las organizaciones depositan la comprensión del sistema completamente en manos del proveedor.
“Ellos manejan la plataforma”.
“Eso está en la nube”.
“El proveedor administra los datos”.
“El software funciona así”.
Estas expresiones deberían generar preocupación.
Porque describen dependencia tecnológica, no gobierno.
Una organización que trata información personal necesita conocer, como mínimo, las reglas esenciales de su propio ecosistema.
Debe saber qué recopila.
Por qué lo recopila.
Dónde circula.
Quién puede verlo.
Durante cuánto tiempo existe.
Cómo se elimina.
Qué ocurre cuando cambia de proveedor.
Qué procedimiento existe cuando una persona ejerce sus derechos.
Y quién responde internamente cuando algo falla.
Ese conocimiento no pertenece exclusivamente al departamento jurídico o tecnológico.
Forma parte del gobierno organizacional.
La confianza se pierde muchas veces antes de que exista un incidente
Cuando hablamos de protección de datos suele aparecer inmediatamente la imagen de una fuga masiva de información.
Sin embargo, una organización puede deteriorar su confianza sin sufrir jamás un ataque informático.
Puede hacerlo simplemente siendo incapaz de explicar qué hace con la información que recopila.
Puede ocurrir cuando un residente pregunta dónde está almacenado su rostro y nadie sabe responder.
Cuando solicita eliminarlo y el procedimiento no existe.
Cuando cambia la administración y nadie conoce las credenciales de la plataforma.
Cuando termina el contrato con un proveedor y nadie verifica qué ocurrió con las bases.
Cuando existen cámaras cuya administración tecnológica depende completamente de terceros.
Cuando WhatsApp se convirtió silenciosamente en repositorio de documentos personales.
Cuando permanecen formularios antiguos recogiendo información que ya nadie necesita.
Nada de eso requiere un hacker.
Requiere únicamente desorden.
Por eso el riesgo más peligroso no siempre entra desde afuera.
Algunas veces ya vive dentro de la organización.
La discusión no debería terminar retirando un lector biométrico
Una organización podría interpretar decisiones como esta y responder simplemente apagando el reconocimiento facial.
También sería insuficiente.
Porque mañana aparecerá otra tecnología.
Después otra.
Y luego otra.
La inteligencia artificial probablemente acelerará todavía más ese proceso.
El verdadero aprendizaje consiste en construir una capacidad organizacional que permita evaluar tecnologías antes de convertirlas en infraestructura cotidiana.
Eso exige arquitectura.
Una Arquitectura de Protección de Datos y Confianza Digital conecta componentes que durante años muchas organizaciones administraron por separado:
personas,
procesos,
tecnología,
proveedores,
información,
contratos,
cultura,
trazabilidad,
riesgo
y responsabilidad.
Dentro de esa arquitectura, la asesoría permite interpretar decisiones tecnológicas antes de implementarlas.
La elaboración documental convierte criterios en reglas organizacionales comprensibles.
La implementación hace que esas reglas funcionen realmente dentro de los procesos.
La capacitación desarrolla criterio en administradores, colaboradores, vigilantes y responsables tecnológicos.
Y la auditoría permite descubrir la distancia entre lo que la organización cree que ocurre y lo que realmente está sucediendo con su información.
No son tareas independientes.
Son capas de una misma arquitectura.
Antes de comprar la próxima tecnología, conviene observar la información
Las organizaciones suelen preguntar:
¿Cuánto cuesta el sistema?
¿Cuántas cámaras necesitamos?
¿Reconoce personas de noche?
¿Se integra con el control vehicular?
¿Tiene aplicación?
¿Funciona desde el celular?
Todas son preguntas válidas.
Pero falta una anterior.
¿Qué arquitectura de información creará esta tecnología dentro de nuestra organización?
Esa pregunta puede cambiar una decisión de compra.
Puede modificar un contrato.
Puede evitar recopilar información innecesaria.
Puede obligar a ofrecer alternativas.
Puede revelar dependencias ocultas.
Y puede impedir que una comodidad tecnológica termine convirtiéndose en una vulnerabilidad institucional.
La protección de datos comienza precisamente ahí.
No cuando llega una investigación.
No cuando aparece una reclamación.
No cuando ocurre un incidente.
Comienza en el momento en que alguien dentro de la organización tiene suficiente criterio para preguntar si una tecnología realmente necesita utilizar determinada información.
El futuro pertenece a organizaciones que sepan limitarse
Durante años asociamos innovación con capacidad.
Más almacenamiento.
Más automatización.
Más cámaras.
Más datos.
Más inteligencia.
Más integración.
La próxima etapa empresarial posiblemente necesitará otra clase de madurez.
La capacidad de establecer límites.
Decidir conscientemente qué información no recoger.
Qué función tecnológica no activar.
Qué integración no permitir.
Qué dato eliminar.
Qué proveedor supervisar.
Qué proceso rediseñar.
Qué alternativa ofrecer.
Porque disponer de tecnología para hacer algo no significa que hacerlo sea organizacionalmente inteligente.
Ahí está la diferencia entre digitalización y gobierno digital.
Y también la diferencia entre utilizar tecnología y construir confianza.
La decisión sobre biometría en conjuntos residenciales debería ser interpretada como algo más amplio que una discusión sobre reconocimiento facial.
Es una señal de lo que comenzará a ocurrir cada vez con mayor frecuencia dentro de las organizaciones: tecnologías aparentemente funcionales serán cuestionadas cuando su capacidad supere los límites, criterios y controles que deberían gobernarlas.
Hoy puede ser una cámara en la portería.
Mañana puede ser inteligencia artificial evaluando trabajadores.
Después, una plataforma analizando clientes.
Un sistema reconociendo voces.
Una aplicación capturando ubicación.
Una automatización tomando decisiones con información que nadie recuerda haber autorizado.
La verdadera preparación empresarial no consiste en rechazar estas tecnologías.
Consiste en saber gobernarlas.
Si su organización utiliza biometría, cámaras, formularios digitales, WhatsApp, plataformas en la nube, CRM, aplicaciones, automatización o inteligencia artificial, el momento adecuado para revisar su arquitectura de información es antes de descubrir que la tecnología conoce más sobre las personas de lo que la organización sabe sobre su propia tecnología.
La Arquitectura de Protección de Datos y Confianza Digital permite convertir esa incertidumbre en gobierno, trazabilidad y criterio organizacional.
https://t.mtrbio.com/habeas-data
La organización digitalmente madura no es la que más datos puede capturar, sino la que sabe exactamente por qué conserva cada uno.
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
