Principales desafíos de las empresas de software en relación con la protección de datos personales

El cumplimiento del Reglamento General de Protección de Datos (RGPD) busca asegurar la privacidad de los datos personales (los que identifican o pueden identificar a una persona física).  En la “Resolución sobre la Privacidad por Diseño” (AEPD, 2019) se reconoce a la privacidad desde el diseño como un componente esencial en la protección de datos. Según se lee de la misma, tal reconocimiento se justificaría en razón a las siguientes circunstancias:  

• Los avances tecnológicos suponen nuevos desafíos a la privacidad y a la capacidad de las personas de ejercer sus derechos de información de manera efectiva;
• La regulación y las políticas existentes por sí solas no son suficientes para salvaguardar la privacidad;

Por esto, hay que tener en cuenta que es esencial que durante el todo el ciclo de vida de un proyecto software se realicen acciones específicas para garantizar la protección de datos personales, que pueden variar dependiendo de diversos factores, como el tamaño del proyecto, la cantidad y el tipo de datos personales que se recopilan y procesan, y el estado actual de las prácticas de protección de datos y ciberseguridad de la empresa desarrolladora.

Importantes obligaciones a los que se enfrentan las empresas de software en lo que respecta a la protección de datos personales

Por tanto, existen importantes obligaciones a los que se enfrentan las empresas de software en lo que respecta a la protección de datos personales. Algunas de las principales son:

1. Compliance: las empresas de software están sujetas a una variedad de leyes y reglamentos relacionados con la protección de datos personales, con diferentes requisitos según el país, como el Reglamento General de Protección de Datos (RGPD) en la UE o la Ley de Privacidad del Consumidor de California (CCPA) en los EEUU entre otras. Las acciones de cumplimento (o de Compliance) van encaminadas a asegurar que las normas pasen del texto legal a la acción en la empresa. 
2. Seguridad de los datos: Al tratar grandes cantidades de datos personales, que pueden ser objeto de ciberataques. Garantizar la seguridad de estos datos es un desafío importante, ya que requiere implementar salvaguardas técnicas sólidas, monitorizarlas y actualizarlas regularmente.
3. Capacitación de los empleados: brindar capacitación a los empleados sobre las mejores prácticas de protección de datos y ciberseguridad, como la identificación de estafas de phishing y la protección contra malware.
4. Incorporar la privacidad en la fase de diseño y por defecto: La privacidad debe estar integrada en el diseño y la arquitectura de los sistemas, aplicaciones o, así como en las prácticas de negocios y procesos de la organización. Convirtiendo la privacidad en un componente esencial de la funcionalidad principal que se entrega.
5. Minimización del tratamiento de los datos: La implementación de estrategias de minimización de los datos y/o de los tratamientos/personas que acceden a los datos para limitar la cantidad de datos recopilados y retenidos es un paso importante para proteger los datos personales.
6. Creación de barreras tecnológicas y procedimentales que impidan la vinculación no autorizada de fuentes de datos independientes, pues el cruce masivo de datos puede ofrecer datos muy sensibles.
7. La destrucción segura y garantizada de la información al final de su ciclo de vida.
8. Gobierno de datos: Establecer una política de gobierno de datos que defina claramente las prácticas de recopilación, almacenamiento y procesamiento de datos de la empresa, y garantizar que los empleados las entiendan y las sigan.
9. Transparencia: Ser transparentes sobre las prácticas de recopilación y procesamiento de datos, y otorgar a los interesados control sobre sus datos personales. Incluyendo la información de forma clara, proporcionando avisos de privacidad y facultando que las personas (los interesados) ejerzan los derechos que, sobre sus datos, tiene legalmente reconocidos.
10. Evaluación periódica de riesgos: Realización periódica de análisis de riesgos y, cuando se requieren de Evaluaciones de Impacto, para identificar vulnerabilidades y amenazas potenciales a los datos confidenciales de la empresa y tomar las medidas adecuadas para eliminarlas o mitigarlas en lo posible.
11. Plan de respuesta a incidentes: desarrollar de un plan de respuesta a incidentes para hacer frente a quieras en la seguridad de los datos personales y otros incidentes de seguridad cibernética, incluida la notificación de incidentes a la Autoridad de Protección de Datos y, cuando se requiere, a los interesados afectados.
12. Consideraciones éticas: las empresas de software deben considerar las implicaciones éticas de sus prácticas de recopilación y procesamiento de datos, incluidos los posibles sesgos en los datos y el impacto de la toma de decisiones basada en datos en los grupos vulnerables.

Todos estos trabajos tienen que ser tenidos en cuenta en el desarrollo de software y pueden ser causa de un aumento del coste de la solución final, pero son necesarias para proteger los datos de carácter personal y garantizar la privacidad de las personas.

Protección de datos personales y ODS

La protección de datos personales y los objetivos de desarrollo sostenible no están directamente relacionados, pero ambos son importantes para el bienestar de las personas y del planeta. Garantizar el manejo responsable de los datos personales puede ayudar a prevenir daños y generar confianza.

En los últimos años, la concurrencia de tecnologías como los smartphones, el acceso casi universal a las comunicaciones, los servicios nube han puesto a nuestra disposición un universo de servicios cuyo combustible principal son los datos.

Conclusión

Por tanto, nuestro consejo es que cuides tu “yo digital” de la misma manera que cuidas tu “yo físico”.

En el ámbito de tu actividad laboral, la trasformación digital que están viviendo muchas de las compañías del país, hacen que el valor de los datos sea uno de los principales activos para el crecimiento de una compañía, por lo que su protección frente a amenazas internas y externas sea, en muchos casos, clave para su supervivencia.

Para ello, junto con las medidas técnicas y organizativas de protección que nuestra empresa debe poner en marcha, es clave que cada uno desde el ámbito desde nuestro puesto de trabajo debemos colaborar en el esfuerzo conjunto de mantener los datos de la empresa protegidos y a salvo.

Por todo ello, desde CIC consideramos que las iniciativas de concienciación, como este Día de la Protección de Datos, son clave en la educación de los ciudadanos y trabajadores en este mundo digital que está comenzando.