En medio de la actual crisis sanitaria mundial, surgen preguntas y preocupaciones sobre el futuro de la privacidad. Ahora, con el creciente uso de aplicaciones de rastreo de contactos, aparecen con frecuencia titulares como«¿Se puede rastrear la COVID-19 y proteger la privacidad al mismo tiempo?». Si bien es importante que se preste mayor atención a la privacidad de los datos, centrémonos en lo básico y recordemos que la recopilación de datos y la vigilancia no son nada nuevo.
Al mirar hacia nuestro futuro, es importante reconocer primero el pasado reciente. Los principios de la privacidad no son nuevos. Los debates sobre la privacidad han ido cobrando cada vez más importancia en la escena internacional durante los últimos años. El ejemplo más destacado se remonta a hace poco más de dos años, cuando la Unión Europea (UE) ratificó el Reglamento General de Protección de Datos (RGPD). Este fue un momento decisivo, no solo para quienes se dedican a la privacidad y la gestión de riesgos, sino también para las organizaciones de todo el mundo. Aunque existen normativas de privacidad a distintos niveles en diversas regiones del mundo, este esfuerzo concertado redefinió la forma en que las empresas deben almacenar, gestionar, proteger y utilizar la información personal y sensible. El RGPD también contribuyó a que la comunidad internacional reconociera el papel fundamental que desempeñan los datos en la economía digital.
Ahora, en 2020,«llueven los proyectos de ley sobre privacidad», sobre todo en Estados Unidos. Desde Washington hasta Florida, las cámaras legislativas estatales reconocen que es necesario tomar medidas para proteger a los ciudadanos. Justo después del segundo aniversario del RGPD, se presentó en el Senado de Estados Unidos un proyecto de ley (Ley de Responsabilidad y Transparencia de Datos de 2020) que introduciría en el país protecciones similares a las del RGPD. Se trata solo de uno de los muchos proyectos de ley, pero va más allá a la hora de exigir a los responsables del tratamiento de datos que rindan cuentas para salvaguardar nuestra información. El avance es positivo, pero aún queda mucho por hacer.
En plena crisis sanitaria mundial, el tema de la privacidad vuelve a ser noticia en los medios de comunicación. Sin embargo, teniendo en cuenta el RGPD, los gobiernos están tratando de limitar la cantidad de datos que las aplicaciones de rastreo de contactos transfieren a las autoridades locales.
¿Cambiará esta crisis sanitaria nuestra percepción de la privacidad? Es poco probable.
Hasta que no ocurra algo concreto, la privacidad es una cuestión secundaria en la que muchos ciudadanos no piensan de forma activa en su vida cotidiana. Los consumidores ya están acostumbrados a facilitar datos personales a cambio de algo que desean. Hoy en día se plantea la misma disyuntiva: ¿activo una aplicación de rastreo de contactos para estar seguro o la evito para preservar mi privacidad? En algunas partes del mundo, la descarga de estas aplicaciones es obligatoria. En países como Islandia, la adopción voluntaria superó el 40 por ciento.
Para quienes, como yo, trabajamos en el sector sanitario, la cuestión de la privacidad y la seguridad de los datos no es un fenómeno ni un momento pasajero: es lo que hacemos cada día. Contamos con normativas que rigen nuestras acciones y marcan nuestras operaciones empresariales. Dicho esto, las empresas están reabriendo y es posible que se vean obligadas a empezar a recopilar datos sanitarios sensibles sobre empleados y clientes. Para muchas de ellas, probablemente sea la primera vez que se enfrentan al reto de proteger este tipo de datos. ¿Qué medidas deberían adoptar para dar prioridad a la privacidad?
- Tómatelo con calma. Aunque esto vaya en contra del mantra de los negocios modernos, cuando se trata de la privacidad, hay que hacerlo bien a la primera. Una filtración de cualquier dato sanitario podría tener consecuencias catastróficas, como el daño a la reputación. Presta especial atención a cómo gestionas y proteges estos datos, ya que así conseguirás una mayor eficiencia a largo plazo.
- Confía en tus compañeros. Muchos profesionales del sector sanitario y de los servicios financieros llevan años enfrentándose al reto de proteger la información de carácter personal (PII). Contamos con buenas prácticas y sabemos en qué proveedores podemos confiar. No te bases en las promesas de un proveedor que te llega por correo electrónico ni en las garantías de un anuncio en Internet. Aprovecha los recursos que ofrecen las organizaciones independientes y el asesoramiento de tus compañeros que ya han probado el terreno.
- Presta mayor atención al riesgo asociado a terceros. Tanto si un proveedor externo se encarga de implementar partes de tu programa de privacidad como si simplemente tiene acceso a tu red, vigílalo de cerca. Realiza las evaluaciones necesarias con antelación e implementa medidas de control para garantizar que los proveedores solo tengan acceso a los sistemas y a la información que necesiten para desempeñar su trabajo específico.
- Limita los datos que compartes. Si te encuentras en una situación en la que sea necesario compartir datos entre distintos departamentos o fuera de la empresa, limita la información que se transmite y asegúrate de que sea la mínima necesaria. Es imprescindible que sepas qué datos se comparten y con quién en la cadena de suministro de la información.
En muchos sentidos, el debate sobre la privacidad se encuentra aún en sus inicios, sobre todo en Estados Unidos. En mi opinión, no es un debate en blanco y negro. Es complejo y subjetivo. Por eso defiendo que se haga lo correcto en lugar de lo que hay que hacer.
Los datos tienen valor. No son solo un conjunto de cifras o información; proceden de seres humanos. Esto conlleva una responsabilidad enorme. Tanto si trabajas en el ámbito del cumplimiento normativo, la gestión de riesgos o la seguridad de la información, no olvides que tus acciones tienen consecuencias que van más allá de los límites de la empresa. No basta con preocuparse únicamente por los accionistas. Recuerda que las partes interesadas (clientes, socios, empleados) se ven afectadas por las decisiones que tomas en relación con la protección y la gestión de los datos.
Kevin Haynes es director de protección de datos en Nemours Children’s Health System.
Echa un vistazo a su reciente entrevista con Security & Compliance Weekly sobre cómo Nemours utiliza Archer para gestionar los riesgos de cumplimiento normativo
