Eran las 4:30 de la tarde de un martes cualquiera en El Laboratorio. David, nuestro analista senior, estaba concentrado frente al equipo de absorción atómica, ajustando los parámetros para una serie de muestras críticas de una minera muy importante. Sergio, el director, caminaba por el pasillo con un cliente potencial, mostrándole las instalaciones para cerrar un contrato de exclusividad.

Daniela, siempre con su libreta en mano y mil preguntas en la cabeza, estaba ayudando a organizar los informes que acababan de salir de la impresora central.

— «¡Mira esto, Andrea!» —exclamó Daniela, señalando un informe— «Esta es la empresa de fertilizantes donde trabaja mi primo. No sabía que sus niveles de cadmio fueran tan…»

Andrea, la jefe de calidad, que pasaba por ahí con su taza de café (su combustible eterno), se detuvo en seco. Su rostro cambió de la amabilidad habitual a una expresión de alerta máxima. Antes de que Daniela terminara la frase, Andrea ya había cubierto el informe con una carpeta vacía.

— «Daniela, para ahí» —dijo Andrea en voz baja pero firme—. «Esa información es sagrada. No importa quién trabaje allí».

En ese preciso momento, en el área de ensayos, el cliente que acompañaba a Sergio sacó su teléfono móvil. David, que tiene ojos en la nuca cuando se trata de su equipo, vio el reflejo del lente. El cliente estaba a punto de tomar una foto de la pantalla del software donde se veían los resultados en tiempo real y el nombre de la muestra: «Proyecto Oro-Minera X».

— «¡Eh! ¡Nada de fotos!» —gruñó David, dejando de lado su timidez habitual—. «Sergio, dile a tu amigo que guarde el juguete».

Sergio, un poco avergonzado pero consciente de la gravedad, intervino: «Lo siento, estimado, en este laboratorio tenemos protocolos estrictos. No se permiten registros visuales de las pantallas por respeto a la propiedad intelectual de nuestros otros clientes».

El cliente guardó el teléfono, murmurando una disculpa. Sin embargo, la tensión quedó en el aire.

Más tarde, en la oficina de Andrea, los cuatro se reunieron.

— «Casi tenemos un desastre doble hoy» —suspiró Andrea—. «Daniela, leer un resultado y relacionarlo con una persona externa es una brecha de confidencialidad. Y Sergio, dejar que un visitante entre al área de técnica con cámara libre es un riesgo de seguridad de la información».

— «Pero Andrea» —intervino Daniela, apenada— «era solo un comentario, no iba a publicarlo en Facebook».

— «El problema es que la norma ISO/IEC 17025 no cree en ‘comentaritos'» —respondió Andrea—. «Dice claramente que somos responsables de la gestión de toda la información. Si el cliente de la minera se entera de que alguien vio sus resultados o que un competidor tomó una foto de sus procesos, El Laboratorio pierde la acreditación y, probablemente, enfrentemos una demanda millonaria».

David asintió: «La ciencia es pública, pero el dato es del cliente. Si no entendemos eso, cerremos y vámonos».

Desmenuzando la Norma: ¿Qué nos pide realmente el 4.2?

Si lees el apartado 4.2 de la ISO/IEC 17025:2017, verás que es corto, pero «picante». La norma no quiere que seas un agente de la CIA, pero sí que tengas el control total de lo que sale de tu boca, de tus manos y de tus servidores.

Aquí la traducción al «español humano»:

• Responsabilidad Legal (4.2.1): El Laboratorio debe comprometerse, mediante acuerdos legales (contratos de trabajo, acuerdos de confidencialidad), a proteger la información. Si algo se filtra, tiene que haber consecuencias legales claras.

• Informar al cliente: Si por alguna razón vas a poner información en el dominio público (por ejemplo, para un estudio de investigación o porque la ley te lo exige), debes avisarle al cliente de antemano.

• La Ley es la Ley (4.2.2): Si un juez o una autoridad te pide los resultados de un cliente, tienes que dárselos, pero (y esto es vital) debes notificar al cliente qué información entregaste, a menos que la ley te prohíba avisarle.

• Fuentes Externas (4.2.3): Si alguien que no es el cliente (un ente regulador o un denunciante) te da información sobre ese cliente, esa información es confidencial. El cliente no tiene por qué saber quién te la dio, a menos que la fuente esté de acuerdo.

• El Personal y Terceros (4.2.4): Todo el mundo (analistas, personal de limpieza, pasantes como Daniela, auditores externos) debe firmar y cumplir con la confidencialidad. Nadie se escapa.

¿Cuál es el espíritu aquí? La confianza. El cliente te entrega sus muestras y sus secretos industriales confiando en que no los usarás para beneficio propio ni los dejarás tirados en la mesa del comedor.

La Caja de Herramientas: Implementación Paso a Paso

¿Cómo hacemos que esto funcione el lunes por la mañana? No basta con decir «shhh». Necesitamos un sistema.

A. Documentos Imprescindibles

Para que el organismo de acreditación esté feliz, debes tener estos documentos redactados y aprobados:

1. Política de Confidencialidad y Seguridad de la Información: Un documento breve firmado por Sergio donde se declare que la confidencialidad es un pilar estratégico.

2. Acuerdo de Confidencialidad para el Personal: No uses el que viene por defecto en el contrato de trabajo. Haz uno específico para el personal técnico que mencione la ISO/IEC 17025.

3. Acuerdo de Confidencialidad para Visitantes y Proveedores: Todo el que pase de la puerta de recepción debe firmar uno.

4. Procedimiento de Gestión de la Información: Donde expliques cómo se guardan los archivos, quién tiene las llaves del archivo físico y quién tiene las contraseñas del software.

B. Registros que debes llenar

Si no está escrito, no existe. Necesitas estos registros:

• Log de Acceso a Áreas Restringidas: ¿Quién entró al cuarto de servidores o al archivo de informes antiguos?

• Control de Entrega de Informes: ¿A quién se le envió el correo? ¿Era un correo institucional?

• Registro de Notificación a Clientes por Requerimientos Legales: Un formato listo por si la policía o el ministerio te piden datos.

C. Infraestructura y Software

Aquí es donde David se pone exigente:

• Pantallas con Filtro de Privacidad: Especialmente en las computadoras que dan hacia los pasillos de visitas.

• Software de Gestión de Laboratorio (LIMS): Con perfiles de usuario. Daniela no tiene por qué ver los resultados de la sección de David si ella solo está en recepción.

• Destructora de Papel (Trituradora): Prohibido usar informes viejos para «borradores» o para anotar la lista del mercado. Todo papel con datos de clientes que no se archive, se tritura.

• Cámaras de Seguridad: Pero ojo, con acceso restringido. No queremos que el video de la cámara de seguridad donde se ven los resultados sea hackeable.

D. Capacitación: El Factor Humano

Andrea debe programar una charla (con café y donas) donde se expliquen casos hipotéticos:

• ¿Qué hago si mi primo me pregunta cómo salió el análisis de su empresa? (Respuesta: «Lo siento, primo, la norma me prohíbe hablar de eso»).

• ¿Qué hago si veo a un visitante tomando fotos? (Respuesta: Detenerlo amablemente y avisar al jefe de área).

Preguntas y Respuestas (El Café con el Experto)

P: ¿Puedo publicar una foto de un equipo de última tecnología en las redes sociales de El Laboratorio?

R: Sí, pero asegúrate de que no haya ninguna muestra identificable, ningún informe cerca y que no se vea la pantalla del software con datos de un cliente. Lo mejor es usar una muestra de «test» para la foto.

P: ¿Es necesario que el personal de limpieza firme confidencialidad? Ellos no leen los informes.

R: ¡Absolutamente! Ellos entran cuando no hay nadie, limpian los escritorios y pueden ver papeles o pantallas. Deben estar bajo acuerdo de confidencialidad.

P: Un cliente me pide los resultados de un competidor «para comparar». ¿Qué hago?

R: Le explicas que, así como protegemos los datos de él, protegemos los de todos. Es la mejor forma de demostrar que eres un laboratorio serio. Si quiere comparar, debe usar datos públicos o sus propios históricos.

P: ¿Qué pasa si un auditor de la entidad de acreditación me pide ver un informe confidencial?

R: Se lo muestras. Los auditores están cubiertos por acuerdos de confidencialidad de su propio organismo. Es parte del proceso de evaluación de la competencia.

Lecciones Aprendidas y Próximos Pasos

Hoy aprendimos que la confidencialidad no es un favor que le hacemos al cliente, es un requisito legal y normativo.

Ahora que ya sabemos cómo guardar los secretos, tenemos que saber quién manda a quién. En el próximo encuentro: Estructura Legal, Responsabilidad y Autoridad, vamos a ver cómo organizar el organigrama para que El Laboratorio funcione como un reloj suizo, con roles claros y responsabilidades legales bien definidas.