Protección de datos: de un enfoque reactivo a uno proactivo

La mayoría de los programas de protección de la privacidad se diseñan de forma errónea. Se centran en responder a las violaciones de seguridad en lugar de prevenirlas, y en atender las solicitudes de acceso a datos (DSAR) en lugar de reducir al mínimo el volumen de datos que complica la tramitación de dichas solicitudes. Es hora de darle la vuelta a la situación.

La meseta del cumplimiento

A pesar de los años que lleva en vigor el RGPD, alrededor del 30 % de las empresas europeas siguen sin cumplir con la normativa. Las empresas estadounidenses están mejorando poco a poco: el 30 % cumple plenamente con la normativa en el segundo trimestre de 2024, lo que supone un aumento respecto al 28 % registrado en el primer trimestre. Pero «poco a poco» es la clave. Se prevé que, para 2026, las organizaciones del segmento medio operen, como mínimo, en el Nivel 3, con documentación estandarizada, prácticas proactivas y funciones de gobernanza bien definidas. Las empresas se fijan como objetivo alcanzar los niveles 4 y 5 mediante una automatización que incorpora métricas avanzadas, entre las que se incluyen las tasas de finalización de las evaluaciones de impacto en la protección de datos y el seguimiento de las infracciones.

Entonces, ¿a qué se debe este estancamiento? Porque la mayoría de las organizaciones intentan resolver un problema de gobernanza mediante herramientas de cumplimiento normativo. Actúan de forma reactiva cuando deberían hacerlo de forma proactiva. 

En qué consiste la protección proactiva de la privacidad

Los programas de protección de datos más avanzados no esperan a que se produzcan incidentes. Ellos:

• Supervise de forma continua posibles fugas de datos e incumplimientos de las políticas
• Clasifique automáticamente los datos para identificar cuáles son sensibles y dónde se encuentran
• Detectar anomalías en los patrones de acceso a los datos antes de que se conviertan en filtraciones
• Garantice la privacidad incorporándola en los sistemas desde el principio, y no como una medida de última hora

La brecha en materia de inteligencia

La gestión de los riesgos relacionados con la privacidad requiere visibilidad, no solo sobre dónde se almacenan los datos, sino también sobre cómo se transfieren, quién tiene acceso a ellos y cuándo se vuelven vulnerables. El 68 % de los profesionales de la protección de datos ha asumido responsabilidades en materia de gobernanza de la inteligencia artificial. Las organizaciones que se ven desbordadas por equipos con una dotación de personal cada vez más reducida, por el volumen de datos y por la fragmentación de los sistemas no podrán detectar los riesgos ni cumplir los plazos de forma sistemática.

Replanteamiento del problema

El cumplimiento de la normativa de privacidad es, en esencia, un problema de búsqueda y gobernanza. Las organizaciones no pueden proteger, minimizar ni producir aquello que no pueden localizar. No pueden detectar la exposición si no saben dónde se encuentran los datos sensibles. Y no pueden evitar las filtraciones si su única estrategia consiste en reaccionar ante ellas una vez que se han producido.

El imperativo estratégico

La privacidad reactiva es una privacidad costosa. Cada notificación de una violación de seguridad conlleva sanciones económicas, gastos legales y daños a la reputación. Cada retraso en la respuesta a una solicitud de acceso a datos (DSAR) conlleva el riesgo de que se apliquen medidas coercitivas por parte de las autoridades reguladoras. Cada vez que no se aplique la minimización de datos, su superficie de ataque aumenta.

Las organizaciones que obtienen buenos resultados en materia de privacidad no son aquellas que cuentan con los equipos de cumplimiento normativo más numerosos. Son los que cuentan con la mejor infraestructura de inteligencia de datos y gobernanza.

La siguiente pregunta

La protección de la privacidad debe pasar de ser un mero ejercicio de cumplimiento normativo a convertirse en una disciplina de gestión continua de riesgos. Esto comienza con la visibilidad, requiere automatización y se logra mediante la integración entre los ámbitos de seguridad, TI, asuntos jurídicos y operaciones empresariales. La pregunta que toda organización debería plantearse: ¿Somos nosotros quienes gestionamos la privacidad, o es la privacidad la que nos gestiona a nosotros?

Detecte posibles fugas de datos o incumplimientos de las políticas antes de que afecten a sus finanzas y a su reputación.

MÁS INFORMACIÓN