A medida que las economías avanzadas comienzan a salir de la pandemia, son cada vez más las empresas que anuncian que reanudan su actividad. Esto nos lleva a preguntarnos: ¿Están también abiertos a la actividad empresarial los organismos reguladores? ¿Es que alguna vez se fueron?
Pues bien, al igual que muchas otras empresas, los organismos reguladores y de supervisión pasaron a trabajar a distancia y adaptaron sus protocolos, pero no desaparecieron.
Quizás una pregunta más acertada, en medio de la crisis provocada por la COVID-19 y los retos que ha planteado a las empresas, sería: ¿Han flexibilizado las autoridades reguladoras algunas normas para dar un respiro a las empresas durante la pandemia?
Tomemos como ejemplo el Reglamento General de Protección de Datos de la Unión Europea , que entró en vigor hace tres años. La ley, concebida para regular la transferencia de datos personales fuera de la UE y del Espacio Económico Europeo y para otorgar a las personas el control sobre su propia información, supuso un cambio radical para cualquier empresa que gestione la información de las personas y mantenga relaciones comerciales con el bloque de 27 países.
La legislación allanó el camino para que los países de la UE pudieran imponer multas a las empresas de hasta el 4 % de su facturación anual por infracciones relacionadas con la protección de datos.
Asustadas por la amenaza de sanciones astronómicas, las organizaciones destinaron cantidades ingentes de recursos al cumplimiento normativo antes de la entrada en vigor del RGPD. Casi ocho de cada 10 empresas estadounidenses tomaron medidas para prepararse ante la entrada en vigor de la normativa, y el 27 % invirtió más de medio millón de dólares para cumplir con ella, según LegalJobs, , una plataforma de selección de personal para profesionales del ámbito jurídico.
Tema candente
A medida que la pandemia se fue extendiendo el año pasado, según Omer Tene , de , vicepresidente y director de conocimiento de la Asociación Internacional de Profesionales de la Privacidad (IAPP), las autoridades reguladoras reconocieron las circunstancias excepcionales a las que se enfrentaban las empresas, al verse interrumpidas las cadenas de suministro, trastocadas las relaciones comerciales y toda la plantilla pasando a trabajar desde casa. Sin embargo, a medida que las empresas vuelven a su funcionamiento habitual, cabe esperar que las autoridades de protección de datos «cambien de estrategia y aceleren los procedimientos de aplicación de la normativa, incluso en ámbitos candentes como la tecnología publicitaria y las transferencias internacionales de datos», afirma Tene.
«. Hacemos un seguimiento de las multas y, de hecho, hemos observado una tendencia al alza en las sanciones.»Hilary Wandall, vicepresidenta sénior de inteligencia en materia de privacidad y consejera jurídica de TrustArc
Por supuesto, ningún organismo regulador va a admitir que se hayan relajado las normas y los requisitos de cumplimiento durante la pandemia. Por su parte, la Oficina del Comisionado de Información del Reino Unido ( ) declaró que adoptaría un enfoque «flexible» y se centraría en «los riesgos más graves y las mayores amenazas para la ciudadanía» en su enfoque regulador publicado en June 4, 2021. El mes pasado, Dominic Cummings, el polémico exasesor principal del primer ministro Boris Johnson, declaró en una audiencia parlamentaria sobre el caso « » que ordenó a las agencias que hicieran caso omiso de la legislación de la UE en materia de protección de datos con el fin de ayudar a coordinar la respuesta del Reino Unido a la pandemia.pa
Hilary Wandall, vicepresidenta sénior de inteligencia en materia de privacidad y consejera jurídica general de TrustArc, una consultora especializada en gobernanza de la información y seguridad de los datos, afirma que, aunque pueda existir la percepción de que la aplicación del RGPD, en términos generales, se ha ralentizado, lo cierto es que se están imponiendo más sanciones.
«Llevamos un seguimiento de las multas y, de hecho, hemos observado una tendencia al alza en las sanciones», afirma Wandall.
Destaca la multa de 6 millones de euros impuesta a CaixaBank por la Agencia Española de Protección de Datos (AEPD) a principios de este año por no tratar los datos personales de forma lícita y no facilitar a los clientes información adecuada sobre las políticas de privacidad. El mes anterior, en December 2020, la AEPD impuso una multa de 5 millones de euros a otro banco español, el BBVA, por incumplimientos del RGPD.
A pesar de la pandemia, las empresas deben mantenerse alerta y prepararse para un escrutinio más riguroso y para posibles sanciones severas, afirma Rene Bentvelzen, responsable global de protección de datos de la empresa Unit4, con sede en los Países Bajos, que ofrece aplicaciones empresariales para servicios profesionales y que puso en marcha una iniciativa de cumplimiento normativo y sensibilización cuando entró en vigor el RGPD.
Asimismo, afirma que el RGPD va más allá de evitar multas devastadoras y que su cumplimiento es «simplemente una buena práctica empresarial y beneficioso para la imagen de la empresa».
La ira de las autoridades reguladoras
Existen una serie de medidas que las empresas pueden adoptar para cumplir con el RGPD y evitar así las sanciones de las autoridades reguladoras. «Un buen punto de partida es determinar qué normativa es aplicable», afirma Wandall. Las empresas deben analizar cómo se relacionan entre sí las normativas y, a continuación, elaborar un enfoque programático.
Wandall recomienda utilizar una estructura marco para sustentar la gobernanza. «Se necesita a personas que comprendan los requisitos legales, pero también es necesario que los ingenieros que desarrollan las soluciones de software sepan cómo integrar la protección de la privacidad», afirma. «Todo se reduce a cómo gestiona los datos para obtener el máximo valor y cómo gestiona el riesgo».
«. Todo gira en torno a cómo gestiona los datos para obtener el máximo valor y cómo gestiona el riesgo.»
Brian Spanswick, director de seguridad de la información y responsable de TI en Cohesity, una consultora especializada en datos, destaca que no hay nada nuevo bajo el sol en lo que respecta al cumplimiento del RGPD. Las empresas pueden mejorar la privacidad y la visibilidad cifrando los datos confidenciales tanto en tránsito como en reposo; limitando o eliminando las opciones que permiten a los usuarios descargar datos confidenciales a sus equipos personales; y utilizando redes seguras con redes privadas virtuales (VPN) al acceder a datos confidenciales.
«Hay que tener en cuenta que estas medidas de protección de la privacidad están ganando terreno por una razón, y no se trata únicamente de cumplir con la normativa», afirma Spanswick. «También se trata de gestionar adecuadamente los datos de nuestros clientes y socios».
Para ello, las empresas deben ir un paso por delante de los delincuentes, que buscan aprovechar las vulnerabilidades y los errores de configuración en los dispositivos finales y en las redes. El uso de una plataforma adecuada para la gestión de la configuración de seguridad de , que ofrezca datos en tiempo real y herramientas de corrección, puede ayudar a los CISO y a los responsables de operaciones de TI no solo a mejorar la higiene informática, sino también a obtener una visibilidad casi instantánea de decenas de miles de terminales en sus redes.
«: No se trata únicamente de cumplir con la normativa». También se trata de gestionar de forma responsable los datos de nuestros clientes y socios.»Brian Spanswick, director de seguridad de la información y responsable de TI en Cohesity
Estas plataformas también ofrecen métricas en tiempo real para la elaboración de informes clave y las auditorías de cumplimiento normativo, lo que mejora la seguridad y la productividad, ya que los trabajadores no tienen que recopilar manualmente datos procedentes de múltiples herramientas. Esto simplifica el flujo de trabajo, elimina la proliferación de herramientas « » y centraliza los datos de cumplimiento normativo en un único lugar.
Numerosos analistas coinciden en que, a medida que superemos la crisis de la COVID-19, las empresas se verán tentadas a hacer caso omiso del RGPD y otras normativas en materia de privacidad, y corresponde a sus asesores jurídicos y de seguridad hacerles comprender los riesgos que ello conlleva.
«Es muy probable que el cumplimiento del RGPD haya dejado de ser una prioridad para algunas organizaciones», afirma Oliver Cronk, arquitecto jefe para la región de EMEA en Tanium. «Creo que podrían producirse algunos descuidos que darían lugar a cuantiosas multas en virtud del RGPD durante el próximo año o los dos próximos años».
