Por Daniel Monastersky – www.datagovernancelatam.com
Hace poco recibí la llamada de un director de un banco mediano. Estaba desconcertado. El BCRA solicitaba mapeo completo de datos de clientes, políticas de clasificación, responsables asignados, procedimientos de eliminación. «Dani,» me dijo, «¿cuándo la seguridad de datos se convirtió en requisito regulatorio? Siempre pensé que eran firewalls y cifrado.»
Esa conversación resume el cambio paradigmático de la Comunicación 7724. No es una actualización técnica. Es una redefinición completa de responsabilidad sobre información en el sistema financiero argentino.
Durante veinte años trabajando en data protection en Latinoamérica, he visto normas evolucionar. Pero la Comunicación 7724 marca algo diferente. La gobernanza de datos deja de ser «nice to have» para convertirse en responsabilidad indelegable, inmediatamente verificable.
De la seguridad técnica a la gobernanza integral
La sección 4.4 es categórica: «Las entidades deberán definir un proceso que establezca responsabilidades, políticas y procedimientos para la gestión de datos, que abarque todas las etapas de su ciclo de vida».
Durante años, observé un patrón consistente. Los bancos argentinos invertían recursos masivos en seguridad perimetral. Firewalls sofisticados. Encriptación de punta a punta. Necesario, pero fundamentalmente incompleto.
¿Por qué? Porque proteger datos no es lo mismo que gobernarlos. Un banco podía tener seguridad técnica excelente, pero si no sabía exactamente qué datos tenía, dónde estaban, quién los accedía, por qué existían, esa seguridad era superficial.
La Comunicación 7724 cierra ese vacío. Ahora es obligatorio que alguien—formalmente identificado, documentadamente responsable—sepa exactamente dónde está cada dato de cliente, cómo está clasificado, quién lo puede acceder, cuándo debe ser eliminado.
En algunas de las auditorías internas que hacemos en Data Governance Latam, encontré una situación que grafica perfectamente por qué la Comunicación 7724 era necesaria.
Un banco regional auditado tenía datos de clientes del 2010 sin clasificación. No había propietario asignado. Sin procedimiento de eliminación. Pregunté: «¿Por qué existen estos datos?» Respuesta: «Nadie lo sabe. Siempre estuvieron ahí.»
Eso ahora es incumplimiento regulatorio grave.
La norma 4.4.1 requiere tres movimientos simultáneos: identificar cada dato con precisión quirúrgica. Sé qué información tenemos, dónde reside, quién la accede. Clasificar según criticidad: confidencial, crítico, público. Cada categoría tiene implicaciones operativas concretas. Asignar responsables formales. Alguien debe certificar: «He revisado estos datos, están correctamente clasificados, requieren estos controles específicos, serán retenidos este período exacto.»
Para un banco mediano, significa transformación operativa seria. Auditorías internas exhaustivas. Inconsistencias encontradas. Procesos de acceso rediseñados. Documentación masiva.
Pero cuando el BCRA interroga sobre una filtración, el banco responde: «Sabemos exactamente qué datos tenemos, cómo están clasificados, quién tiene acceso, bajo qué controles.»
Datos de clientes
La sección 4.4 es inequívoca: «Se deberán establecer procesos y procedimientos para la obtención y la identificación de los datos tratados por la entidad que consideren datos de clientes, datos contables y datos transaccionales».
Esto significa: los bancos deben saber exactamente qué datos tienen de cada cliente. Exactamente. Con procedimientos documentados.
Cuando Fernando, contador de Caballito, descubre que sus datos fueron usados para abrir cuenta fraudulenta, y presenta reclamo ante la AAIP, el banco ya no puede decir «no sabemos exactamente qué información tiene». Ese argumento no existe más en el régimen regulatorio argentino.
He presentado reclamos ante la AAIP contra instituciones que no respondían preguntas básicas: «¿Qué datos tenían de mi cliente?» «¿Dónde estaban?» «¿Quién accedía?»
La Comunicación 7724 cierra esa puerta. Un banco debe tener respuestas verificables. No opcionales. Obligatorias. Auditables.
El Ciclo de Vida
Los datos tienen ciclos. Nacen, se usan, envejecen, mueren. Cada etapa debe estar gobernada.
Identificación: sé exactamente qué tengo. Clasificación: comprende sensibilidad. Almacenamiento: controla protección. Uso: registra acceso. Transferencia: documenta si se comparte. Retención: define período. Eliminación: establece destrucción irreversible.
Cada etapa es verificable, auditable.
He encontrado bancos con datos de clientes del 2005 sin clasificación, sin propietario, sin procedimiento de eliminación. Es incumplimiento regulatorio directo.
Data Privacy se debe integrar a la Gobernanza
La sección 10.2 ordena: «Los requerimientos vinculados a la protección de los usuarios sean contemplados en los procesos de tecnología correspondientes».
Cuando clasifican «datos de cliente», deben integrar obligaciones legales: derechos de acceso, rectificación, supresión, olvido. Limitaciones sobre retención. Restricciones sobre transferencia. Contextos de uso específicos.
La Comunicación 7724 cerró la puerta a negligencia estructurada. Un banco argentino ya no puede decir «no sabemos qué datos tenemos». No puede afirmar «no conocemos obligaciones legales». No puede sostener que gobernanza de datos es «cosa de IT».
El BCRA exige gobernanza verdadera. Responsabilidades definidas. Procesos documentados. Ciclos de vida controlados. Privacidad integrada. Auditable. Permanente.
O gobiernas tus datos formalmente, con responsabilidad, documentación transparente, controles verificables.
O el regulador lo hace por ti.
No hay tercera opción.
¿Tu banco está realmente adecuado a la Comunicación 7724?
Si sos director, gerente de IT, o responsable de compliance en una institución financiera argentina, la pregunta honesta es: ¿sabemos exactamente qué datos tenemos? ¿Están clasificados? ¿Tenemos responsables asignados? ¿Nuestros ciclos de vida de datos son verificables?
En Data Governance Latam ayudamos a instituciones financieras a implementar gobernanza de datos verdadera. Auditorías exhaustivas, clasificación, asignación de propietarios, rediseño de procesos, documentación regulatoria.
La Comunicación 7724 no es una amenaza. Es una oportunidad para transformar cómo tu institución maneja la información.
Contacta a Data Governance Latam en www.datagovernancelatam.com para coordinar una consulta sobre la adecuación a la Comunicación 7724 del BCRA.
El futuro del sistema financiero argentino depende de gobernanza de datos real.
Deja un comentario