Acceso de empleados a datos de clientes: cómo definir permisos por función

Los accesos a datos de clientes deben responder a las tareas de cada persona y revisarse cuando esas tareas cambian.

Los artículos 29 y 32 del RGPD vinculan el acceso al tratamiento bajo instrucciones y a medidas de seguridad adecuadas. Tener un usuario corporativo no justifica poder consultar todos los expedientes de la empresa.

Parte de funciones concretas

Haz una lista de actividades: atender una consulta, preparar una factura, revisar un expediente o administrar el sistema. Para cada una, identifica qué información necesita la persona y qué acciones debe poder realizar.

Distingue lectura, modificación, descarga, borrado y capacidad de compartir. Un permiso amplio puede permitir más operaciones de las que su nombre sugiere. Comprueba especialmente carpetas heredadas y enlaces que dan acceso a grupos completos.

Aplica y comprueba

Configura los permisos con el responsable técnico y prueba una cuenta de cada función. Verifica tanto lo que puede abrir como lo que puede editar o compartir. Guarda una evidencia breve de la revisión, sin copiar el contenido de expedientes reales para demostrarla.

Utiliza cuentas individuales cuando proceda y evita contraseñas compartidas que impidan saber quién realizó una acción. Define cómo se solicita un acceso excepcional y cuándo debe retirarse.

Mantén el control durante los cambios

Incluye altas, cambios de puesto, ausencias y salidas en el proceso. Cuando alguien deja de trabajar en un asunto, revisa también enlaces compartidos y aplicaciones conectadas, no solo la carpeta principal.

Acordad cómo comunicar un acceso accidental y quién lo evaluará. Pedir que se informe pronto ayuda a limitar el alcance del incidente.

Esta organización no garantiza que nunca haya errores o intrusiones. Permite reducir accesos innecesarios y explicar las decisiones adoptadas. Una revisión jurídica y técnica debe atender a los datos, los riesgos y el funcionamiento real de la empresa, no a una lista de permisos copiada de otro negocio.