12 minutos de lectura 
Un número sin precedentes de empresas online recopilan y almacenan enormes cantidades de datos de los usuarios. ¿Qué pueden hacer para mantenerlos protegidos? Kristina Drigotaitė, directora de Riesgos de ConnectPay, nos ha hablado de lo que las empresas deben saber sobre la protección de datos, cómo minimizar las filtraciones de datos y por qué es recomendable recopilar la menor cantidad de datos posible.
¿Qué debe saber toda empresa online sobre la protección de datos?
Es muy importante que todas las empresas en línea, independientemente de su tamaño, comprendan qué son los datos personales y qué abarcan. A grandes rasgos, los datos personales incluyen información de identidad, datos de contacto, información financiera, datos de cuentas en línea, datos de localización, datos de comunicación, historial de navegación web, datos de redes sociales, datos sanitarios y médicos, datos biométricos y datos de uso de aplicaciones y dispositivos. En un mundo cada vez más digital, los usuarios comparten cada vez más datos de este tipo con diferentes empresas.
¿En qué situación quedan las empresas? En primer lugar, las empresas online deben conocer la normativa básica en materia de protección de datos personales que deben cumplir. Pero también es importante tener la mentalidad adecuada. Al fin y al cabo, estar al día en materia de protección de datos no solo tiene que ver con el cumplimiento normativo, sino también con ganarse y mantener la confianza de los clientes.
Y este consejo es válido para negocios online de cualquier tamaño, ¿verdad?
Sin duda. Creo que es importante que todas y cada una de las empresas que operan en Internet presten cierta atención y sean conscientes de la importancia de proteger los datos personales. Y prácticamente no hay ninguna empresa en Internet que no recopile datos personales.
En cualquier caso, la transparencia es fundamental. Tienes una conexión directa con tus usuarios o, como se les denomina en este contexto, “interesados”. Ser transparente y abierto sobre qué datos recopilas y conservas, con qué fines y durante cuánto tiempo: todo ello debe presentarse de forma comprensible para el usuario final.
¿Incluso si los datos están disponibles públicamente en otro sitio?
Aun así, si el usuario final comparte algún dato conmigo, eso no significa que pueda utilizarlo para lo que me apetezca.
¿Se clasifican los datos según su nivel de confidencialidad?
El término “datos personales sensibles” abarca los datos relativos a las opiniones políticas, la religión, la orientación sexual, los datos biométricos y otros similares de una persona. Se trata de datos más sensibles que, por ejemplo, una dirección de correo electrónico, por lo que el RGPD los regula de forma más estricta.
¿Qué consejo darías a las empresas online que gestionan este tipo de datos?
Como empresa en línea, siempre debes justificar adecuadamente la necesidad de recopilar datos personales. Debes dedicar tiempo y recursos suficientes para definir con claridad y comprender qué datos personales necesitas, con qué fines y qué fundamento jurídico tienes para tratarlos efectivamente. En este sentido, la minimización es clave: recopila lo menos posible. Y cuando decidas recopilar y tratar datos para poder ofrecer el mejor producto o la mejor experiencia a tu usuario final, debes estar totalmente preparado para explicar en qué fundamento jurídico te basas para tratarlos y para demostrar para qué utilizas dichos datos. Por ejemplo, si recopilas mis datos de identificación para verificar mi identidad, tal y como te obliga la ley, no puedes en ningún caso utilizar esos mismos datos con fines de marketing u otros fines ajenos a ese propósito.
Otro aspecto importante es establecer un plazo de conservación para cualquier actividad de tratamiento de datos. Ningún dato personal puede tratarse ni conservarse indefinidamente. Los datos deben almacenarse únicamente durante el tiempo que sea necesario para alcanzar el objetivo fijado inicialmente. Una vez cumplido ese objetivo, los datos deben eliminarse. Las empresas que están poniendo en marcha sus operaciones suelen dejar esta cuestión para más adelante. Sin embargo, si no se siguen los principios de «privacidad desde el diseño» y no se sientan las bases adecuadas desde el principio, puede resultar complicado implementar y garantizar los períodos de conservación de los distintos conjuntos de datos personales más adelante.
¿Es el RGPD el único conjunto de normas que deben tener en cuenta las empresas online?
El RGPD es un reglamento que protege los derechos de los ciudadanos de la UE. Aunque una empresa esté ubicada fuera de la UE, si dirige sus actividades a personas de la UE y recopila datos personales relacionados con ellas, debe cumplir con el RGPD. Y, por supuesto, el RGPD no es la única normativa que deben cumplir las empresas. El RGPD es simplemente más estricto que muchas normativas locales, y por eso, en algunos países, se considera la norma por excelencia. No obstante, cada país puede tener sus propias normativas locales en materia de protección de datos. Por lo tanto, el cumplimiento depende del mercado al que se dirija la empresa y de la ubicación geográfica de sus clientes.
¿Se somete a empresas como los neobancos a un mayor escrutinio en lo que respecta a la protección de datos? ¿O todos los que operan en el ámbito digital se encuentran, más o menos, en igualdad de condiciones?
Creo que las obligaciones son las mismas. De hecho, para las entidades financieras autorizadas, podría resultar incluso más fácil justificar la recopilación de una gran cantidad de datos, ya que, por ejemplo, las leyes contra el blanqueo de capitales les obligan a ello.
Otra cosa que distingue a neobancos es su complejidad. Como plataformas, los neobancos pueden tener una gran idea de negocio, pero carecer de la tecnología o la licencia necesarias para llevarla a cabo. Por ello, pueden asociarse con entidades autorizadas o recurrir a otros proveedores y subcontratistas externos para externalizar la solución tecnológica. Esto significa que, a menudo, los neobancos cuentan con terceros que participan en la configuración de su modelo de negocio y con socios que prestan una parte de los servicios.
Esto hace que la protección de datos resulte bastante compleja, ya que la normativa establece que hay que definir con mucha claridad las responsabilidades de las distintas partes. Es posible que algunas partes tengan una base jurídica para recopilar datos, mientras que otras quizá no. Incluso cuando los datos pueden compartirse entre las distintas partes, esto supone automáticamente un riesgo adicional.
Por eso, al crear una plataforma, hay que pensar desde el primer momento en los datos personales, con quién se van a compartir y quién será su titular. Y, en función de ello, hay que determinar cómo se van a transmitir los datos de una parte a otra. También es imprescindible contar con los acuerdos de tratamiento de datos adecuados con dichas partes, garantizar una supervisión continua y ser transparente con los interesados en lo que respecta a la transferencia de sus datos a terceros.
¿Hay alguna forma de garantizar que, en caso de que se produzca una filtración de datos en la empresa externa que gestiona los datos de mis clientes, yo no sea responsable legalmente?
Ojalá tuviera una solución mágica para este problema. Sin embargo, cuando una empresa en línea es, por ley, la responsable del tratamiento de datos —es decir, la que define qué datos personales deben recopilarse, por qué, etc.—, pero tiene contratos con terceros prestadores de servicios que tratan esos datos, dicha empresa es responsable incluso si un encargado del tratamiento comete un error o algo sale mal. Como responsable del tratamiento, no puede eludir su responsabilidad, ya que fue quien eligió al proveedor de servicios y contrató sus servicios. Ambas partes son responsables.
Por supuesto, la responsabilidad podría minimizarse si se establecen límites claros y se definen funciones y responsabilidades claras en relación con los datos, y si tu socio, en su calidad de responsable del tratamiento, es el único culpable cuando algo sale mal. Pero en el caso de los neobancos, diría que esto es muy difícil de distinguir. Porque, a ojos del usuario final, se trata de una única plataforma: es un paquete de soluciones al que facilitan sus datos. Así que, aunque es importante que la plataforma facilite información sobre el intercambio de datos con terceros, eso no la exime de responsabilidad. Si un socio cercano, que presta servicios a tu plataforma, sufre una filtración de datos, tu empresa se verá afectada en términos de reputación. Y la reputación es algo que puede causar mucho daño. En última instancia, no se trata únicamente de las multas.
En la mayoría de los casos de filtraciones de datos, solemos oír hablar de la filtración de datos de miles e incluso millones de usuarios. ¿Existen formas de minimizar el alcance de las filtraciones de datos, de modo que, si se produce una, solo se vea afectada una pequeña parte de los usuarios?
Depende realmente de las operaciones de cada empresa en concreto, del tipo de datos que recopile y del uso que haga de ellos. No obstante, una forma de minimizar las filtraciones de datos es la gestión inicial de riesgos, es decir, aplicar de forma proactiva ciertas medidas para proteger los datos desde el inicio de la actividad empresarial. Esto puede implicar controles estrictos de acceso a los datos, cifrado de datos, altos estándares de privacidad en el software y otras medidas técnicas de seguridad de la información.
Por otro lado, están las medidas organizativas que hay que abordar. La formación es importante, ya que existen numerosos riesgos para la seguridad de los datos relacionados con la ingeniería social. El error humano representa una parte enorme de las filtraciones de datos, por lo que es fundamental impartir una formación adecuada para garantizar que los empleados tengan responsabilidades claras y solo puedan acceder a los datos que necesitan. Otras medidas organizativas podrían incluir el establecimiento de políticas y procedimientos de seguridad de la información, así como un proceso claro para responder a las filtraciones de datos personales; la definición clara de las funciones dentro de la organización; la garantía de una gestión adecuada de los cambios, entre otras.
Aunque no se blanqueen fondos a través de tu neobanco, si tu sistema de prevención del blanqueo de capitales es deficiente, puedes ser multado. ¿Ocurre lo mismo con la protección de datos? ¿Puedes ser objeto de una inspección incluso sin que se hayan producido filtraciones de datos?
Sí, puedes. Por suerte, en todos los países hay una autoridad de protección de datos, y su función es supervisar cómo gestionan las empresas los datos personales. Y si te fijas en las inspecciones programadas de la Inspección Estatal de Protección de Datos de Lituania, estas abarcan muchos sectores diferentes y no se limitan únicamente a investigar las filtraciones de datos.
Pero si se produce una filtración, debes informar a la SDPI en un plazo de 72 horas, indicando de forma muy explícita qué ha ocurrido, por qué ha ocurrido, qué has hecho, qué medidas preventivas puedes adoptar, etcétera. A veces esto puede dar lugar a una investigación, como en el caso de CityBee.
Otro aspecto importante son las reclamaciones. Si no se actúa con transparencia, si se hace un uso indebido de los datos, si no se garantizan los derechos de los usuarios finales o si se ignoran sus consultas, estos podrían presentar una reclamación directamente ante el organismo regulador. Esto también podría dar lugar a una investigación.
Independientemente de que se produzca o no una infracción, es muy importante mantener una buena relación con el organismo regulador, ¿verdad?
Sí. Porque eso es lo que queremos hacer con todos los organismos reguladores, ¿no? Queremos estar abiertos a sus preguntas, mostrarnos cooperativos, cumplir con nuestras obligaciones legales y respetar de verdad la privacidad de los datos y a los clientes con los que trabajamos.
¿Cómo ayudan los organismos reguladores a las empresas a cumplir la normativa sobre protección de datos?
Ofrecen directrices e interpretaciones claras del RGPD. He participado en múltiples sesiones de formación para el sector privado organizadas por el organismo regulador lituano. Y si estás planeando un cambio en tu empresa, como la incorporación de nuevos productos o tecnologías, y ello implica el tratamiento de datos personales, debes evaluar los riesgos. En los casos en que la evaluación de riesgos que realices revele una exposición bastante significativa, incluso tras aplicar una serie de medidas de mitigación, siempre puedes acudir directamente al organismo regulador y consultar con él sobre actividades específicas de tratamiento de datos.
¿Revisan las empresas periódicamente sus bases de datos en busca de datos de usuarios que puedan eliminar, por ejemplo, cuando un cliente lleva mucho tiempo sin utilizar su servicio?
Eso es algo que hay que definir desde el principio. Ninguna empresa puede utilizar los datos personales de una persona concreta de forma indefinida. Sea cual sea la actividad de tratamiento de datos para la que la empresa recopile datos personales, debe establecer un plazo concreto en el que dichos datos deban eliminarse.
Si eres una entidad financiera y te encargas de la incorporación de clientes, existen ciertas obligaciones legales: la ley establece que debes conservar los datos de un usuario durante ocho años, incluso después de que finalice tu contrato con él. Pero, si usted hubiera querido convertirse en cliente, aunque finalmente no lo hiciera —por ejemplo, si retiró su solicitud o simplemente envió algunas consultas pero luego cambió de opinión—, la entidad financiera no podría justificar la conservación de sus datos durante ocho años. Tendría que eliminar esos datos mucho, mucho antes.
¿Cuáles son los derechos de los usuarios en lo que respecta a los datos? ¿Tienes derecho a preguntar qué datos conserva la empresa, si puedes modificarlos o solicitar que se eliminen?
Sí, a todo eso. También puedes solicitar, por ejemplo, que tus datos se transfieran de una empresa a otra. Existen más derechos, pero aún no se ejercen con mucha frecuencia, ya que no todos los usuarios conocen ni comprenden cuáles son sus derechos.
Lo que hay que tener en cuenta aquí es que, a veces, la gente cree que tiene derecho a pedirle a cualquiera, en cualquier lugar, que borre sus datos. Pero en realidad no es así. Si una empresa tiene una base legal para conservar los datos, es posible que no atienda plenamente esa solicitud. Por ejemplo, como entidad financiera, necesito conservar tus datos, pero tú me has pedido que los elimine. Eliminaré todos los datos de nuestra comunicación, por ejemplo, pero conservaré los datos esenciales que exige la legislación. No obstante, las empresas en línea deben respetar y cumplir los derechos de los interesados, y responder a sus inquietudes de manera oportuna y respetuosa, proporcionando todas las justificaciones necesarias sobre por qué, por ejemplo, no se pueden eliminar determinados datos. Al fin y al cabo, los interesados también tienen derecho a presentar una reclamación directamente ante la autoridad reguladora.
