Inicio / Datos personales, la prudencia obligatoria

Lo que exige una prudencia particular antes de hacer tratar un documento

Los datos de identidad, de salud o de situación personal son categorías protegidas, y un secreto nunca debe transitar por una conversación, ni siquiera brevemente.

Un expediente de trabajo mezcla a menudo varios tipos de información sin que se le preste atención: un nombre, una fecha de nacimiento, un estado de salud, una contraseña pegada al final de la página para no olvidarla. Antes de hacer tratar ese expediente por una herramienta de inteligencia artificial, algunas de esas informaciones exigen una prudencia que las otras no exigen.

Cuatro categorías que cambian la regla

La identidad de una persona, nombre, fecha de nacimiento, dirección, la identifica directamente. Su estado de salud, un diagnóstico, un tratamiento, una situación de dependencia, corresponde a lo que la CNIL llama un dato sensible, sea cual sea la manera en que se formule: describir una necesidad de cuidados en un lenguaje más suave y más clínico sigue describiendo el mismo estado, y la sensibilidad de un hecho no depende de las palabras elegidas para decirlo. Solo dos cosas lo sacan de la categoría, y una sola está a tu alcance: retirar la información del documento, o anonimizarla de forma irreversible, lo que supone que ya nadie, en ningún sitio, tenga el medio de remontar hasta la persona. Salir de la categoría no es además la única vía. El reglamento prohíbe su recogida y su uso, y luego enumera cinco casos en los que lo autoriza de todos modos, entre ellos el consentimiento expreso de la persona y el interés público en materia de salud. Esos casos existen, y una asociación que los ignora renuncia a lo que tiene derecho a hacer: se leen en la dirección al final de la lección, y se deciden con tu delegado de protección de datos, no con este curso. La situación personal de una persona, edad, composición del hogar, recursos, no la identifica siempre por sí sola, pero la combinación de varios de esos campos en el mismo documento reduce a menudo las posibilidades a una sola persona, incluso cuando ningún campo tomado aisladamente basta. Un secreto de empresa o de acceso, clave de API, contraseña, token de autenticación, no es un dato personal pero sigue la misma regla de prudencia: una ventana de conversación guarda un rastro de lo que se pega en ella, un secreto que transita por ella, aunque sea brevemente, debe por tanto considerarse ya comprometido.

Reemplazar un nombre no basta

Reemplazar un nombre por un número de referencia da la impresión de que el documento se vuelve seguro para transmitir. Eso solo es cierto si ninguna tabla de correspondencia vuelve a relacionar nunca ese número con la persona. Mientras exista una tabla así en algún lugar de la organización, el documento sigue siendo un dato personal, sea cual sea su aspecto en superficie. La regla práctica cabe en una frase: reducir un detalle identificable a la vez, en lugar de juzgar el documento en su conjunto, y retirar lo que no es estrictamente necesario para la tarea confiada a la herramienta.

Las dos formulaciones a continuación se han fabricado para la demostración, no describen a nadie. La primera es un ejemplo de lo que no hay que transmitir.

À éviter : « Le dossier de la personne suivie, née le 4 mars 1958, domiciliée avenue de la Gare, avec un diagnostic d'insuffisance cardiaque, doit être réactualisé. »
Moins exposé : « Le dossier du bénéficiaire référence 4, tranche d'âge 65 à 75 ans, doit être réactualisé. »
Ce qui reste vrai de la seconde : tant qu'un tableau relie quelque part la référence 4 à un nom, elle porte encore une donnée personnelle.

Un secreto sigue un camino diferente pero la misma prudencia. No se corrige, se retira por completo de la conversación y se guarda donde se guardan las contraseñas, en un gestor de contraseñas en lugar de en el texto intercambiado con la herramienta, y sobre todo no en un rincón de un documento o de un correo. Si un secreto ya se ha pegado, la única acción que repara la exposición es revocarlo en la fuente y generar uno nuevo, en el servicio que lo emitió. La lección siguiente precisa lo que garantiza la cuenta de organización una vez hecha esta primera criba, y lo que no garantiza.