RGPD, el comienzo de una nueva etapa

Hoy comienza una nueva etapa para todos nosotros y las distintas organizaciones. Hoy se convierte de obligado cumplimiento la aplicación del nuevo Reglamento General de Protección de Datos (RGPD). Paramos a echar la vista atrás para revisar el trabajo realizado, reflexionar sobre las lecciones aprendidas y planificar nuestros siguientes pasos. Sin duda, se trata de la normativa que ha tenido mayor impacto en las organizaciones durante los últimos años si bien es verdad que no partíamos de cero. Desde las Conferencias Internacionales de Autoridades de Protección de Datos y Privacidad, cuya primera edición se desarrolló en el 79, pasando por las directrices de la OCDE sobre protección de la privacidad y flujos transfronterizos de datos que datan de los 80, hasta llegar a las españolas LORTAD y LOPD que nos traen hasta el punto en el que estamos.

Bajo mi punto de vista, tenemos que analizar los requerimientos de RGPD no solo desde la obligatoriedad, si no desde la conveniencia. El abaratamiento en el coste de la recopilación, almacenamiento y tratamiento de datos y su valor como activo central en la nueva economía hace que la innovación impulsada por los datos sea un pilar clave de crecimiento. Lo cual no está exento de riesgos. Esta es la nueva economía de los datos pero lo es también de la confianza. De todos es de sobra conocido las recientes perdidas en bolsa por un mal uso de los datos en algunas organizaciones. Por lo que siempre es muy conveniente poner en una balanza oportunidad y riesgo y actuar en consecuencia.

Durante estos meses hemos constatado que:

• No existe una única forma de cumplir con el RGPD. Hecho que hemos comprobado tanto por nuestra propia experiencia como por la de nuestros clientes. La tecnología nos puede ayudar pero es una normativa con un impacto tan grande en las organizaciones que dependerá mucho de nuestras circunstancias. Se trata de aplicar una combinación de procesos, personas y tecnología, sin olvidar aspectos tan importantes como la formación y la concienciación.
• Hemos ido implementado los nuevos requerimientos aprovechando aquello que ya teníamos porque, como decíamos antes, no partimos desde cero.
• Es necesario un enfoque integral y el trabajo conjunto de múltiples departamentos (Legal, Seguridad, Sistemas, Negocio, Marketing…) además del apoyo de la dirección. A partir de ahora tenemos que aprovechar para seguir trabajando de forma coordinada ya que esto repercutirá en una mejora en la privacidad y seguridad de los datos.
• El enfoque basado en riesgos ha sido muy acertado de cara a poner atención allí donde ha sido necesario. Esto nos ha permitido una racionalización de los recursos para poner foco en aquellas áreas que mayor atención requerían.

Y a partir de ahora, ¿en qué nos centramos?

• Sigamos interiorizando desde todos los ámbitos de la organización la privacidad desde el diseño y, por defecto, la cultura del enfoque basado en riesgos. Esto tiene que ser una parte esencial en el ciclo de vida de todos los productos y servicios.
• Estemos preparados para demostrar todas las medidas que se han tomado y las acciones que se están llevando a cabo. Esto implica tener tanto nuestros procedimientos bien documentados como trazabilidad de las acciones.
• Pongamos foco en mantener todo el trabajo realizado. De otro modo, pronto podría quedar desactualizado y no habrá servido el esfuerzo de adecuación. Sin el mantenimiento oportuno se podrían degradar tanto la seguridad como la privacidad de los datos. Para esto será muy útil apoyarnos en la tecnología que nos puede ayudar en aspectos como: mantener nuestro registro de actividades de tratamiento actualizado, obtener informes automatizados que nos faciliten el trabajo, hacer descubrimiento y clasificación de datos personales tanto estructurados como no estructurados e independientemente de su ubicación (nuestras instalaciones o en la nube), monitorización y generación de alarmas, entre otros…
• No debemos descuidar algo tan importante como nuestra cadena de suministro. Si tenemos encargados de tratamiento, el RGPD nos indica que únicamente debemos recurrir a aquellos que ofrezcan suficientes garantías, en particular en lo que respecta a conocimientos especializados, fiabilidad y recursos, de cara a la aplicación de medidas técnicas y organizativas que cumplan los requisitos del Reglamento, incluida la seguridad del tratamiento.
• Aunque el RGPD es de aplicación directa, en España se está tramitando el Proyecto de la nueva Ley Orgánica de Protección de Datos, que ajusta nuestro ordenamiento a este nuevo Reglamento. Deberemos estar atentos a su aprobación y a las modificaciones que se vayan produciendo sobre el proyecto presentado y lo que esto nos pueda implicar.

En definitiva, ahora es el momento de establecer un sistema de mejora continua que se incorpore en los procesos diarios de las organizaciones y que será garantía de un nivel elevado de protección efectiva de los datos de carácter personal