Panorama de la protección de datos empresarial en Chile y AL

Los datos en la era digital

No cabe duda de que la acelerada digitalización de los negocios de hoy ha fomentado la discusión sobre la problemática de los datos personales y ha llevado a la redacción de nuevas normativas, siguiendo las realidades de cada industria y país.

Miguel Ángel Mendoza, ESET.

“Aunque las organizaciones están obligadas a dar cumplimiento a estos requisitos, la confianza en el entorno digital no ha tenido una buena racha últimamente, dadas las continuas brechas de seguridad. A pesar de los esfuerzos, el cambio ha sido lento, y lamentablemente aún no han supuesto una significativa diferencia positiva. El problema crece debido a la cantidad de información que se maneja en la actualidad, tanto por empresas privadas como públicas, desde redes sociales a los dispositivos IoT que recopilan y comparten datos, que son potencialmente sensibles para individuos, empresas y estados. Aunado a lo anterior, el mercado de datos crece en valor, debido al potencial en el uso de esta información. Basta recordar el caso de Cambridge Analytica, donde científicos de datos fueron capaces de transformar encuestas y alterar la intención del voto a partir de la elaboración de perfiles psicográficos de usuarios de Facebook”, indica Miguel Ángel Mendoza, especialista de seguridad de ESET Latinoamérica.

Cristián López, VainaTec.

A juicio de Cristián López Urbina, CEO de VainaTec, el tratamiento de los datos personales ha adquirido una particular importancia con el creciente avance de las tecnologías y el continuo traspaso de información, siendo una materia de regulación permanente en diferentes países. “El cumplimiento de esto se basa en las responsabilidades que una empresa puede tener y que se rige por dos figuras: titular de los datos de carácter personal y responsable del registro o banco de datos. Así, las entidades que puedan ser calificadas como responsables del registro de datos, de acuerdo con la legislación vigente, están determinadas con base en los principios de: Licitud, Finalidad, Proporcionalidad, Exactitud, Actualidad o Calidad, Seguridad de los datos, Información y Temporalidad. El panorama actual exige que se garantice con evidencia el cumplimiento de los principios y se implementen los mecanismos suficientes y necesarios manuales o tecnológicos para ello”, advierte.

Consejos para cumplir con las regulaciones

En opinión de algunos expertos, las compañías en general no son capaces de proteger fielmente los datos de usuarios y clientes, o lo hacen de manera insuficiente. Por esta razón, Mendoza, de ESET Latinoamérica, sostiene que para lograr el ejercicio efectivo de los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición): “Se debe contar con la infraestructura, los procedimientos y el personal idóneo para estas tareas. En otras palabras, se debe apuntar a que las organizaciones cuenten con sistemas de gestión de seguridad de datos personales (SGSDP). El objetivo de estos sistemas es organizar los esfuerzos e iniciativas en materia de protección de datos. Como resultado, también pueden impulsarse otras acciones, como implementar sistemas de gestión de seguridad de la información (SGSI), donde se protege toda la información que es de interés para las empresas, no solo los datos personales. De este modo, se incrementa el nivel de seguridad dentro de la organización, al mismo tiempo que se da cumplimiento a las legislaciones y reglamentos”.

Otra demanda de la industria se relaciona con la necesidad de modernizar la legislación en la materia. En este sentido, Gutiérrez, de CoasinLogicalis, resalta que se requiere una reforma integral a la ley actual. “La normativa GDPR para la protección de datos personales conlleva el cambio más profundo hasta la fecha en lo que a protección de datos de ciudadanos se refiere. Define claramente los mecanismos de almacenamiento, procesamiento, acceso, transferencia y divulgación de datos, y lo más importante: define “responsables” y altas multas para quienes no cumplan. Sin embargo, esto no aplica a la generalidad de Chile, dado que afecta a organizaciones con presencia física en al menos un país miembro de la Unión Europea; organizaciones que procesan o almacenan datos sobre individuos que residen en la UE; y organizaciones que utilizan servicios de terceros que procesan o almacenan información sobre individuos que residen en la Unión Europea. Muchos países han tomado GDPR como modelo para la construcción de una sólida regulación para la protección de datos personales. En Chile, necesitamos de una regulación similar que obligue a las organizaciones y al mundo empresarial a tomar medidas profundas que garanticen la protección de datos, algo que a la fecha no ocurre”, dice.

Marcelo Díaz, MAKROS.

Respecto del factor humano y empleo de las tecnologías, existe también un consenso entre los ejecutivos acerca de la importancia de contar con personal calificado, estándares y herramientas que aseguren a clientes y usuarios un correcto manejo de su información privada. “Sin duda, hay que invertir en tecnologías y capacitación. Por el lado de las tecnologías, hay que implementar sistemas de clasificación de información; herramientas de análisis de datos e invertir en seguridad sobre la información que exponen los servicios que se liberan hacia internet (ethical hacking, pentest, análisis de código y vulnerabilidades). De igual forma, hay que hacer evaluaciones de seguridad y compliance que permitan llevar a cabo el cumplimiento”, destaca Marcelo Díaz, CEO de MAKROS.

En concordancia, Cabezas, de NTT Ltd, dice las empresas deben contar con un encargado de protección de datos que gestione la documentación de los procedimientos internos de la acción de recibir, procesar, almacenar y compartir los datos. “Además, garantizar el análisis del riesgo del tratamiento de los datos, así como las medidas y controles de seguridad para garantizar el correcto uso de estos respecto a la base jurídica y la prevención ante eventuales ciberataques”, concluye.