A mediados de febrero de , el Tribunal Supremo de Illinois dictaminó que White Castle System Inc. debe responder a las acusaciones de haber infringido repetidamente la Ley de Privacidad de la Información Biométrica del estado al escanear las huellas dactilares de casi 9,500 trabajadores sin su consentimiento. El gigante de la comida rápida ha afirmado que la sentencia podría suponerle un coste superior a los 17 000 millones de dólares.
Y el año pasado, Meta Platforms , propietaria de Facebook, acordó pagar 650 millones de dólares para resolver las demandas en las que se le acusaba de infringir la legislación de Illinois al recopilar y almacenar los datos biométricos de los usuarios del sitio web sin su permiso.
Estos enormes costes y consecuencias han servido de llamada de atención para que un mayor número de consejos de administración den prioridad a la protección de datos, aumenten la financiación destinada a ella e impulsen la «privacidad desde el diseño», según el informe de ISACA « » (La privacidad en la práctica 2023), una encuesta realizada a 1,890 miembros con formación certificada en ciberseguridad o protección de datos.
Alrededor del 55 % de los encuestados afirmó que su consejo de administración presta la atención adecuada a la privacidad. Esto se refleja en el aumento del número de empresas que aplican el principio de «privacidad desde el diseño» —que pasó del 28 % del año anterior al 30 %— y en la media de empleados a tiempo completo que realizan tareas relacionadas con la privacidad en una organización, que ascendió de 25 a 26 .
«Las leyes y normativas en materia de privacidad están teniendo un impacto realmente generalizado», afirma Safia Kazi, asesora especializada en privacidad de ISACA, la Asociación de Auditoría y Control de Sistemas de Información. Los consejos de administración se están dando cuenta de que «las organizaciones que no cumplan con la normativa podrían acabar en los titulares por no haber actuado correctamente».
«: La gente empezó a recibir cheques de Facebook debido a un uso indebido de la información biométrica». Y dicen: «Un momento…». «¿Qué ha ocurrido exactamente con mis datos?»»Safia Kazi, asesora profesional en materia de privacidad, ISACA
Kazi considera que las leyes y normativas están dando mayor importancia a la seguridad, no solo debido a las posibles responsabilidades en que pueden incurrir las empresas, sino también porque están haciendo que los consumidores sean más conscientes de lo vulnerable que puede estar su información personal.
«La gente empezó a recibir cheques de Facebook debido a un uso indebido de la información biométrica». Y dicen: «Un momento: he recibido un cheque de 300 dólares de Facebook». ¿A qué se debió eso? «¿Qué ha ocurrido exactamente con mis datos?», explica.
Con esa creciente concienciación, los consumidores podrían tomar decisiones más informadas sobre a qué empresas confían su negocio —y sus datos—, afirma Kazi. «Cuando tienen varias opciones, es posible que elijan aquella que saben que está haciendo un buen trabajo de forma activa».
En lo que respecta a la seguridad de los datos, «hacer un buen trabajo» implica implementar tanto una gestión eficaz de la privacidad de los datos (que se basa en software para analizar redes, sistemas en la nube, terminales y aplicaciones con el fin de localizar dónde residen los datos sensibles) como la privacidad desde el diseño (una práctica cada vez más importante a medida que almacenamos y compartimos mayores cantidades de datos personales en línea).
[Véase también: La gestión del riesgo en la era de la normativa sobre protección de datos]
Las empresas que no den prioridad a la protección de datos se verán relegadas en el mercado. «Es posible que sus competidores lo estén haciendo mejor, y usted se encontrará en una desventaja significativa si no toma medidas», afirma Kazi.
Entonces, ¿en qué consiste exactamente la «privacidad desde el diseño»?
La «privacidad desde el diseño» consiste en aplicar prácticas seguras a lo largo de todo el ciclo de desarrollo y mantenimiento de un proyecto, empezando por la participación de profesionales especializados en privacidad en la selección de proveedores.
Para ello se necesita personal, por supuesto. Además, según indicaron los encuestados, las empresas que aplican el principio de «privacidad desde el diseño» suelen contar con una plantilla más numerosa. La mediana del número de empleados era de 19, frente a los 10 del conjunto de todas las empresas. Sin embargo, es posible que algunos consejos de administración no deseen financiar ese nivel de dotación de personal, ya que consideran que las iniciativas en materia de privacidad suponen una carga económica. De hecho, el 42 % de los encuestados afirmó que el presupuesto de su empresa destinado a la protección de datos es, en cierta medida o de forma significativa, insuficiente.
Las posibles responsabilidades legales y la mala prensa deberían bastar para que las empresas den prioridad e incorporen una seguridad de datos desde el principio; sin embargo, dejar la privacidad para el final también puede encarecer considerablemente un proyecto. Si los profesionales de la protección de datos intervienen en una fase avanzada del proceso y detectan fallos graves, afirma Kazi, «esto supondrá mucho trabajo adicional, y es posible que haya que buscar nuevos proveedores o modificar de forma significativa el funcionamiento de los sistemas».
Persiste la escasez de personal especializado en protección de datos
Aunque el número medio de profesionales especializados en protección de datos en una empresa ha aumentado ligeramente, la falta de personal sigue siendo un problema importante.
Los puestos técnicos relacionados con la privacidad siguen teniendo mayor falta de personal que los puestos jurídicos o de cumplimiento normativo, ya que el 53 % de los encuestados ha indicado que, en el ámbito técnico, la falta de personal es moderada o significativa. En comparación, el 44 % afirma que carece de personal suficiente en el ámbito jurídico y de cumplimiento normativo.
«Muchas organizaciones desean contratar a ese “unicornio” perfecto que cuente con años de experiencia jurídica, que quizá tenga una licenciatura en Derecho y que comprenda todas las leyes y normativas, pero que además posea un alto nivel técnico», afirma Kazi. «Creo que las organizaciones deben ser realistas».
Aproximadamente la mitad de los encuestados está formando a empleados que no se dedican a la protección de datos para cubrir esa carencia, mientras que casi el 40 % está recurriendo cada vez más a trabajadores contratados o consultores externos.
Kazi considera que la mejor forma de cubrir esa carencia sería que los trabajadores actuales que deseen orientarse hacia el ámbito de la protección de datos acompañaran a los consultores durante varios proyectos o durante un periodo de tiempo determinado, de modo que, cuando los consultores se marchen, los trabajadores cuenten con los conocimientos y la experiencia necesarios para continuar en su lugar.
Aunque la «privacidad desde el diseño» pueda requerir más personal y/o prestar mayor atención a la formación del personal, las ventajas son notables. Según ISACA, las empresas que aplican el principio de «privacidad desde el diseño» cuentan con una ventaja. Según la encuesta, casi dos tercios de esas empresas se muestran totalmente o bastante seguras de su capacidad para garantizar la privacidad de los datos sensibles, en comparación con el 40 % del total de encuestados.
La seguridad de los datos comienza por proteger la información más sensible
Mientras tanto, los profesionales de la protección de datos que trabajen en una empresa con falta de personal deberían priorizar su tiempo y centrarse en aquellas áreas en las que los datos sean especialmente sensibles.
«Quizá haya algo que afecte a la información sanitaria», afirma. Es más importante que los profesionales de la protección de datos se impliquen en eso que, por ejemplo, en una campaña de marketing destinada a recopilar direcciones de correo electrónico. Aun así, afirma que los profesionales de la protección de datos «deberían examinar detenidamente todos los proyectos que se están llevando a cabo».
Una cosa que probablemente no resolverá la escasez de personal es la inteligencia artificial. En la encuesta 2022 de ISACA, aproximadamente uno de cada cinco encuestados afirmó que tenía previsto empezar a utilizar la inteligencia artificial en los próximos 12 meses. Pero esta vez la cifra fue solo del 11 por ciento.
«No sé si los profesionales de la protección de datos se sienten aún cómodos delegando esa tarea a un sistema automatizado», afirma Kazi. Puede que la inteligencia artificial sea ideal para las respuestas automáticas a los correos electrónicos, pero, en lo que respecta a la privacidad, puede que haya demasiado en juego.
«Si no se hace correctamente», afirma, «las consecuencias podrían ser catastróficas».
