Protección de datos desde el diseño
¡Hola, lectores!
Con motivo de la décimo séptima celebración del Día Europeo de la Protección de Datos y, con el objetivo de fomentar el conocimiento de los derechos y responsabilidades en materia de protección de datos, hoy os traemos una publicación en la que se señala la importancia que tiene el concepto “privacidad desde el diseño”.
A este respecto, el Reglamento General de Protección de Datos (RGPD) indica en su Considerando 78 que “al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que están basados en el tratamiento de datos personales o que tratan datos personales para cumplir su función, ha de alentarse a los productores de los productos, servicios y aplicaciones a que tengan en cuenta el derecho a la protección de datos cuando desarrollan y diseñen estos productos, servicios y aplicaciones, y que se aseguren, con la debida atención al estado de la técnica, de que los responsables y los encargados del tratamiento están en condiciones de cumplir sus obligaciones en materia de protección de datos”.
Los principios de Privacidad por Diseño pueden ser aplicados a todos los tipos de información personal, pero deben ser aplicadas con vigor especial a datos delicados tales como información médica y datos financieros. La robustez de las medidas de privacidad tiende a ser correspondiente con la sensibilidad de los datos.
Los objetivos de Privacidad por Diseño –asegurar la privacidad y obtener control personal de la información propia, y para las organizaciones, obtener una ventaja competitiva sostenible – pueden ser logrados practicando los 7 Principios Fundamentales:
1. Proactivo, no reactivo; preventivo, no correctivo.
La Privacidad desde el Diseño implica anticiparse a los eventos que afecten a la privacidad antes de que sucedan.
En este caso, debemos concebir y diseñar ese producto o servicio identificando a priori, los posibles riesgos que pueden llegar a tener los titulares de los datos personales, por ejemplo: Una suplantación de identidad. En ese sentido, este principio nos permite minimizar dichos riesgos para que no se lleguen a concretar en daños a los titulares.
También, este principio establece que debemos entonces adoptar medidas proactivas que se anticipen a dichas amenazas identificando desde el inicio, las debilidades que pueden tener los sistemas para minimizar los riesgos, en vez de aplicar medidas correctivas para resolver incidentes de seguridad porque no tuvieron en cuenta este tipo de aspectos. Es decir, debemos adelantarnos a la materialización del riesgo.
- Recomendaciones:
- Compromiso por parte de la organización y que debe ser impulsado desde los escalones más altos de la Dirección.
- Desarrollo de una cultura de compromiso y mejora continua por parte de todos los trabajadores, ya que de nada sirve una política si esta no se traduce en acciones concretas que se realimentan de sus resultados.
- Definición y asignación de responsabilidades concretas, de modo que cada miembro de la organización sepa claramente cuáles son sus funciones en materia de privacidad.
- Desarrollar métodos sistemáticos en base a indicadores para la detección temprana de procesos y prácticas que estén ofreciendo resultados deficientes en la garantía de la privacidad.
2. La privacidad como configuración predeterminada.
La Privacidad por el Diseño pretende proporcionar el máximo grado de privacidad garantizando que los datos personales estén asegurados de forma automática en cualquier sistema de IT o en cualquier práctica de negocios. Si una la persona no adopta una acción, aun así, la privacidad permanece intacta. No se exige ninguna acción por parte de la persona para proteger la privacidad.
- Recomendaciones:
- Fijar criterios de recogida limitados a la finalidad que persigue el tratamiento.
- Limitar el uso de los datos personales a la(s) finalidades para la(s) que fueron recogidos y asegurarse de que existe una base legitimadora del tratamiento.
- Restringir los accesos a los datos personales a las partes implicadas en los tratamientos atendiendo al principio de “need to know” y según la función que realicen mediante la creación de perfiles de acceso diferenciados.
- Definir plazos estrictos de conservación y establecer mecanismos operativos que garanticen su cumplimiento.
- Crear barreras tecnológicas y procedimentales que impidan la vinculación no autorizada de fuentes de datos independientes.
3. Privacidad incorporada en la fase de diseño.
La privacidad debe formar parte integral e indisoluble de los sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y procesos de la organización. No es una capa adicional o módulo que se añade a algo preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales desde el mismo momento en el que se concibe y diseña.
- Recomendaciones:
- En cualquier nuevo producto o servicio, se debe considerar la privacidad por diseño, como un requisito obligatorio.
- Realizar un análisis de riesgos de los derechos de las personales así como evaluaciones de impacto relativas a la protección de datos personales.
- Documentar las decisiones que se adopten dentro de la iniciativa o por parte de la organización que protejan y garanticen la privacidad.
4. Funcionalidad total: pensamiento “todos ganan”.
Se debe abordar el pensamiento de todos ganan, debido a que normalmente las organizaciones tienen la percepción que cuando se incorpora funcionalidades para proteger la privacidad se sacrifican otro tipo de funcionalidades, por lo que se generen problemáticas de privacidad vs usabilidad, o privacidad vs funcionalidad, o privacidad vs beneficio empresarial, estas percepciones inicialmente son artificiales, por lo que se deben acercar y revisar en detalle, que permita un equilibrio entre dichas funcionalidades, así como explorar nuevas soluciones que permitan que los sistemas puedan coexistir con intereses diferentes.
- Recomendaciones:
- Asumir que pueden coexistir intereses diferentes y legítimos: los de la entidad y los de los usuarios a los que presta servicio; y que es necesario identificarlos, evaluarlos y balancearlos apropiadamente.
- Establecer canales de comunicación para colaborar y consultar a las partes interesadas con el objeto de comprender y hacer converger múltiples intereses, que aparentemente y en una primera aproximación, pueden parecer divergentes.
- Si la solución propuesta plantea amenazas a la privacidad, buscar nuevas soluciones y alternativas para alcanzar las distintas funcionalidades e intereses perseguidos, pero siempre sin perder de vista que deben gestionarse adecuadamente los riesgos para la privacidad del usuario.
5. Aseguramiento de la privacidad en todo el ciclo de vida.
Para integrar la privacidad a lo largo de todas las etapas del tratamiento de datos, se deben analizar detenidamente las distintas operaciones implicadas (recogida, registro, clasificación, conservación, consulta, difusión, limitación, supresión, …) e implementar, en cada una de ellas.
- Recomendaciones:
- Seudonimización temprana o técnicas de anonimización.
- Clasificación y organización de los datos y operaciones de tratamiento en base a perfiles de acceso.
- El cifrado por defecto de modo que el estado “natural” de los datos en caso de pérdida o robo sea “ilegible”.
- La destrucción segura y garantizada de la información al final de su ciclo de vida.
6. Visibilidad y transparencia.
Una de las claves para poder garantizar la privacidad es poder demostrarla, verificando que el tratamiento es acorde a la información dada. La transparencia en el tratamiento de datos se asienta como pilar para demostrar la diligencia y la responsabilidad proactiva ante la Autoridad de Control y como medida de confianza ante los sujetos cuyos datos son tratados.
- Recomendaciones:
- Generar y cumplir las políticas de tratamiento de datos personales.
- Generar y hacer cumplir cláusulas, contratos de transmisión de datos con terceros que hagan parte del proceso de gestión de los datos personales.
- Dar a conocer a los titulares de la información los derechos que tienen y los mecanismos que tienen para ejercer el derecho de hábeas data.
- Difundir los datos de contacto del responsable de la organización de hacer cumplir la política de tratamiento de datos personales.
- Establecer mecanismos de comunicación, compensación y reclamación accesibles, sencillos y efectivos dirigidos a los titulares de los datos.
7. Respeto por la privacidad de los usuarios: mantener un enfoque centrado en el usuario.
Sin obviar los intereses legítimos que persigue la organización con el tratamiento de datos que realiza, el fin último debe ser garantizar los derechos y libertades de los usuarios cuyos datos son objeto de tratamiento, por lo que cualquier medida adoptada debe ir encaminada a garantizar su privacidad. Ello supone diseñar procesos, aplicaciones, productos y servicios “con el usuario en mente”, anticipándose a sus necesidades.
El usuario debe tener un papel activo en la gestión de sus propios datos y en el control de la gestión que otros hagan con ellos. Su inacción no debe suponer un menoscabo a la privacidad, retomando uno de los principios ya mencionados y que propugna una configuración de privacidad por defecto que ofrezca el máximo nivel de protección.
- Recomendaciones:
- Adoptar configuraciones de privacidad por defecto, así mismo, informar al usuario de las consecuencias que puede generar para su privacidad la modificación de dichos parámetros.
- Generar y facilitar la autorización para el tratamiento de los datos personales en los procesos de recogida de información personal.
- Implementar mecanismos eficientes y efectivos que permitan a los interesados el ejercicio de sus derechos en materia de protección de datos
CONCLUSIONES:
Asegurar la privacidad y establecer un marco de gobernanza que garantice la protección de los datos personales no representa un obstáculo para la innovación.
Muy al contrario, ofrece ventajas y oportunidades para los distintos participantes:
- Para las organizaciones supone mejorar la eficiencia, optimizar sus procesos, establecer una estrategia de reducción de costes y obtener una ventaja competitiva.
- Para el mercado supone desarrollar modelos económicos sostenibles a largo plazo.
- Para la sociedad en su conjunto supone poder acceder a las ventajas de los avances tecnológicos sin comprometer la libertad e independencia de los individuos.
En cualquier caso, la protección de datos desde el diseño es una obligación del responsable, y es este quien debe velar por garantizarla sea cual sea la forma de desarrollo, adquisición o subcontratación del sistema, producto o servicio, no pudiendo delegar completamente en terceros (fabricantes y encargados) la responsabilidad de aplicación de este principio.
En cumplimiento de su deber de diligencia deberá participar activamente en las tareas de ingeniería de la privacidad definiendo los requisitos que tienen que ser contemplados, haciendo un seguimiento continuo de su correcta implantación y verificando su plena operatividad antes de la puesta en producción del sistema, de modo que la privacidad de los individuos cuyos datos son objeto de tratamiento quede garantizada.
¡Y aquí termina este artículo acerca del Día Europeo de la Protección de Datos! Si os ha gustado y resultado de utilidad, os agradeceríamos mucho que lo compartierais ;)
¡Nos vemos en el próximo post!
