Datos Sensibles en Formularios: Qué No Deberías Pedir

El fallo rara vez es el formulario. Es el formulario de admisión de una clínica que pide describir los síntomas, que llega como correo plano a un buzón compartido que tienen abierto cuatro recepcionistas, y que se reenvía dos veces antes de que nadie lo lea.

Nada en esa cadena fue malintencionado. El formulario recogió datos que subían la apuesta, y la fontanería de detrás estaba pensada para preguntas sobre el horario de apertura.

Las categorías que cambian las reglas

Algunos datos reciben un trato distinto en casi todas las jurisdicciones y necesitan una justificación más fuerte que "nos venía bien". Información de salud, biometría, origen racial o étnico, creencias religiosas, afiliación sindical, orientación sexual y opinión política están en el nivel más estricto bajo regímenes tipo RGPD.

Un segundo grupo no es formalmente especial pero se comporta como si lo fuera: identificadores nacionales, números de pasaporte o carné, datos bancarios, antecedentes penales, situación migratoria y cualquier cosa relativa a un menor.

El efecto práctico es idéntico. Si un campo cae en cualquiera de los dos grupos, la respuesta a "¿podemos dejarlo sin más en la tabla de envíos?" es no por defecto.

El primer control es el propio campo

Todos los demás controles vienen después de decidir si el dato existe siquiera. Un campo de requisitos alimentarios en un formulario de evento es un campo de salud disfrazado, porque "celiaquía" y "alergia a los frutos secos" son respuestas que la gente dará y ambas son categoría especial.

Normalmente puedes obtener el resultado operativo sin la categoría. Sustituye "¿alguna condición médica o requisito alimentario?" por un conjunto de opciones de menú y una caja para "algo que debamos saber ese día", y la mayoría te dará la logística sin el diagnóstico.

El mismo truco sirve en otros sitios. Rara vez necesitas la fecha de nacimiento; necesitas saber si la persona es mayor de dieciocho. Rara vez necesitas un número de seguridad social completo en la fase de consulta; lo necesitas al dar de alta, desde un sistema pensado para ello.

Pide más tarde y por otra vía

La secuencia es un control por sí misma. El trabajo de un formulario en el primer contacto es determinar si hay trabajo que hacer, no completar el expediente.

Para cualquier cosa del nivel estricto, recoge en el momento en que hace falta, en el sistema que lo necesita, con la retención más corta que puedas defender. Un documento de identidad que verifica a alguien se comprueba y se borra, no se archiva. Un formulario de candidatura debería recoger competencias y experiencia, y pedir la documentación laboral tras la oferta en lugar de a los noventa candidatos.

Nunca recojas números de tarjeta en un campo de formulario. No hay configuración que lo haga aceptable. Un número de tarjeta en un campo de texto mete de golpe tu herramienta de formularios, tu correo, tus exportaciones y tus copias de seguridad dentro del alcance de PCI. Usa el campo alojado de una pasarela de pago o un enlace de pago.

Los correos de notificación son la mayor fuga

La mayoría de herramientas envían por defecto el envío completo en la notificación. Ese único ajuste convierte el buzón de cada destinatario en una copia incontrolada de tus registros más sensibles, replicada en su teléfono, su portátil y el archivo de su proveedor.

Cámbialo. La notificación debería decir que ha llegado un envío, nombrar el formulario y enlazarlo. Los datos se quedan en un solo sitio con control de acceso delante, y retirar el acceso a alguien pasa a retirar algo de verdad.

Lo mismo vale para las reglas de reenvío y los buzones compartidos, que son la vía por la que los envíos siguen escapándose mucho después de que dejaras de mandarlos por correo.

Los adjuntos traen más de lo que pediste

Un campo de subida de archivos es la entrada más ancha de tu formulario. Las fotografías llevan datos EXIF con coordenadas GPS e identificadores de dispositivo. Los documentos de ofimática llevan nombres de autor, historial de revisiones y a veces texto borrado todavía recuperable. Un CV contiene de forma rutinaria una fecha de nacimiento, un domicilio, una fotografía y una nacionalidad que nunca pediste y que ahora tienes.

Restringe extensiones y tamaño, guarda los adjuntos con el mismo reloj de retención que el registro y verifica que borrar el registro borra el archivo. Los archivos huérfanos en el almacenamiento de objetos son uno de los hallazgos más comunes cada vez que alguien mira de verdad.

El texto libre recoge lo que no pediste

"¿Hay algo más que debamos saber?" es el campo que convierte un formulario de consulta general en una historia clínica. La gente cuenta. En un formulario de reclamación nombrarán a compañeros; en uno de soporte pegarán contraseñas y capturas con datos de otros clientes.

No puedes impedirlo del todo, pero etiquetar ayuda: "Por favor, no incluyas datos médicos, números de tarjeta ni contraseñas aquí. Te los pediremos aparte si hacen falta." Diez palabras de texto de ayuda eliminan una parte sorprendente del problema.

Después trata el texto libre como sensible por defecto en retención y acceso, porque no puedes prometer qué hay dentro.

Cómo se ve algo bien hecho

Menos campos. Recogida más tardía. Una sola copia de los datos. Notificaciones que llevan un enlace en vez de las respuestas. Adjuntos en el mismo reloj que el registro. Texto libre que asumes peor de lo que esperabas.

En Instaform un envío se convierte en un registro que abres, no en un correo que recibes, y eso es lo que hace viable todo lo demás: el acceso se concede por persona, borrar el registro elimina sus adjuntos, y la notificación nunca se convierte en la copia que sobrevive a todo. Si tu admisión está en el nivel estricto por defecto, Instaform para salud cubre esa configuración concreta.