¿Quién vio mis datos, cuándo y para qué? Una institución que conecta sus sistemas con los de otras debería poder contestar esa pregunta sin abrir una investigación. El Decreto 714-26 apunta en esa dirección. La Presidencia de la República Dominicana lo anunció el 12 de octubre de 2026, con fecha del 9 de octubre: declara de alto interés estratégico nacional la integración, modernización y fortalecimiento de la infraestructura digital del Estado y crea un mecanismo para coordinar las inversiones digitales estratégicas.
Su propósito declarado es reducir duplicidades, fortalecer la interoperabilidad y proteger los datos bajo responsabilidad estatal. El texto aclara, además, que esa coordinación no exime de cumplir las normas de protección de datos personales. Conectar sistemas es una decisión técnica, pero también una decisión sobre quién puede ver qué.
Qué resuelve este artículo
- Qué pide el decreto a quienes conectan servicios y datos del Estado.
- Qué controles hacen falta para explicar después cada consulta de datos, y cuáles corresponden a la plataforma y no a la identidad de las personas.
Qué establece el Decreto 714-26
El coordinador es el Ministerio de Administración Pública (MAP), con apoyo técnico de la Ogtic. El decreto crea también la Comisión de Seguimiento de Inversiones Digitales Estratégicas, integrada, entre otros, por el Ministerio de la Presidencia, el Ministerio de Hacienda y Economía, la Ogtic y el Centro Nacional de Ciberseguridad. Entre los criterios para considerar estratégica una inversión figura el tratamiento de datos personales, sensibles o críticos del Estado (artículo 9).
Quien diseña integraciones puede empezar por el artículo 4, que define la interoperabilidad como la capacidad de intercambiar, consultar, procesar y reutilizar información «de manera segura, trazable, estandarizada y conforme al ordenamiento jurídico». El artículo 5, párrafo II, precisa que la declaratoria no exime del cumplimiento de las normas de protección de datos personales, ciberseguridad y acceso a la información, entre otras. Y el artículo 10 orienta las inversiones hacia la protección de los datos, la ciberseguridad, la trazabilidad, la portabilidad y la reversibilidad, evitando integraciones cerradas y dependencias tecnológicas injustificadas.
No hay en el texto tecnologías de control de acceso prescritas. Hay objetivos. Entre sus considerandos recuerda la Ley 172-13 sobre protección de datos personales y remite al Decreto 403-26, que establece el Marco Nacional de Gobernanza de Datos e Interoperabilidad de la Administración Pública. Según su artículo 15, rige desde su publicación en la Gaceta Oficial.
«Trazable», llevado a una conexión entre sistemas
Trazable significa que cada consulta pueda explicarse después. Eso no lo consigue un control aislado, sino varios funcionando a la vez. Verificar la identidad de una persona es uno de ellos: importa, pero solo no alcanza.
Identidad del sistema. Lo primero es saber qué sistema consulta. Cada integración debería tener su propia credencial técnica, con certificados o claves que se rotan y se revocan cuando la conexión deja de hacer falta. Con credenciales compartidas entre servicios o cuentas genéricas, el rastro se pierde.
La persona que origina la consulta. Detrás de muchas consultas hay alguien: un funcionario que atiende un trámite, o un ciudadano que pide su propia información. Si la integración autentica a la institución pero no a quien origina la solicitud, queda un punto ciego. La fuerza de esa verificación debería crecer con el riesgo del acceso.
Permisos. Que dos sistemas puedan conectarse no significa que cualquier consulta esté permitida. Cada acceso debería apoyarse en una base clara (una competencia legal, un convenio o, cuando corresponda, el consentimiento del titular) y en permisos por rol, limitados a lo necesario y revisados cuando cambian funciones o proveedores.
Finalidad. ¿El servicio necesita el expediente completo, o solo saber si la persona cumple una condición? Muchas veces basta lo segundo, y responder con el atributo necesario reduce la exposición. Cuando cada solicitud declara para qué se hace, además, cuesta menos detectar usos que se apartan del propósito original.
Registros. Un registro útil indica qué sistema consultó, qué persona lo originó, qué dato, cuándo, con qué autorización y con qué propósito. Tiene que estar protegido contra alteraciones y al alcance de los equipos de control. Con él se reconstruye un incidente y se le responde a quien pregunta quién vio su información.
Es frecuente que el registro sea lo último que se diseña y lo primero que se necesita cuando llega un reclamo.
Si tu empresa desarrolla soluciones para el Estado
A las empresas que desarrollan o integran soluciones para el Estado, el decreto les marca una dirección: las soluciones estratégicas pasarán por evaluación y seguimiento, con énfasis en interoperabilidad, portabilidad y reversibilidad. Tiene sentido diseñar con estándares abiertos, registros auditables y controles de acceso que la institución pueda gobernar sin depender del proveedor. Los requisitos concretos dependerán de cada contratación y de las normas aplicables a cada organismo.
Nosotros también somos proveedores, y de esos controles trabajamos en uno: la identidad de las personas. La gestión de credenciales entre sistemas, los permisos por rol y el registro de cada intercambio pertenecen a la plataforma de interoperabilidad y a la gestión de identidades y accesos de cada institución; no los reemplazamos. Aportamos en el momento en que una persona origina una consulta o un trámite sensible, con dos cosas. Verificación de identidad con prueba de vida sobre el motor de biometría facial 3D de FaceTec, para que la identidad de quien solicita no dependa solo de una contraseña. Y registro del consentimiento cuando esa es la base del acceso, con evidencia que pueda vincularse a los registros que ya lleva la institución.
Si mañana un ciudadano pregunta quién consultó sus datos el mes pasado, ¿tu institución puede decirle qué sistema y qué persona lo hicieron, con qué autorización y para qué?
Autentikar — Ecosistema de identidad digital y consentimiento
