La protección de datos personales es un básico de toda empresa y un aspecto clave para los negocios. Aunque no te suene muy familiar, no se trata de un concepto recién nacido ni mucho menos. ¿Recuerdas todos los titulares que nos regalaron Facebook y Cambridge Analytica en 2018?
¡Hagamos memoria!: El gigante de las redes sociales que hoy conocemos como Meta y la firma de análisis de datos comprometieron 87 millones de perfiles. El conflicto radicó en el acceso indebido a la información personal de usuarios, por medio de la desaparecida aplicación This Is Your Digital Life.
Durante 2013, esta aplicación desarrollada por Aleksandr Kogan se infiltró en la plataforma Open Graph de Facebook. Ahí recopiló datos de los usuarios que la utilizaron y sus contactos. Más tarde, Cambridge Analytica la explotó estratégicamente para influir en las elecciones presidenciales de Estados Unidos.
Como escándalo mediático mundial hizo entender a propios y extraños que la vulnerabilidad digital de los clientes es una responsabilidad primaria de las empresas. La resolución legal tuvo dos consecuencias directas para la red social:
- Una multa de 5000 millones de dólares.
- Las disculpas de su fundador a los usuarios.
Ese reconocimiento público de falla fue necesario para reducir los daños ocasionados a su imagen. Y es que perder la confianza de los clientes es sólo uno de los riesgos al no cuidar la protección de datos personales.
Las filtraciones no terminan
Parece que 2024 será recordado como el año que registró la mayor filtración de datos en el mundo, hasta el momento. Bautizada como la Madre de todas las filtraciones (MOAB, por sus siglas en inglés), y descubierta por Bob Dyachenko y Cybernews, consta de 26,000 millones de registros en 3800 carpetas. Cada una representando una violación separada.
Las 10 principales fuentes de estos registros son:
- Tencent QQ: 1,400 millones
- Weibo: 504 millones
- MySpace: 360 millones
- Twitter: 281 millones
- Deezer: 258 millones
- Linkedin: 251 millones
- AdultFriendFinder: 220 millones
- Adobe: 153 millones
- Canva: 143 millones
- VK: 101 millones
Aunque se dice que la mayoría son datos antiguos y que algunos pueden estar duplicados, la advertencia hacia la ciberseguridad es clara. Para verificar si tus datos están comprometidos en filtraciones, puedes acceder al verificador de Cybernews.
Tabla de contenido
Riesgos para la privacidad de tus consumidores
La negligencia en la protección de datos personales tiene un amplio abanico de consecuencias. Que la información de tus clientes sea explotada para la manipulación con propaganda política es sólo una de las posibilidades (como el caso de Facebook).
Si comercializas tu producto o servicio a través de comercio electrónico, no puedes pasar por alto que la confianza y la fidelización de tus compradores está estrechamente relacionada con tu capacidad para garantizar la privacidad. Cuando te autorizan tratar sus datos, asumes la responsabilidad de salvaguardarlos.
Dejar abierta una pequeña puerta al paso de terceros no autorizados es suficiente para ponerlos en riesgo. Su privacidad queda expuesta ante el spam, phishing (usurpación de identidad) y otras formas más sofisticadas de fraude. La información, en manos equivocadas, es una herramienta de ataque.
Por ejemplo, los datos específicos de una persona pueden servir como base para ajustar precios de forma abusiva. También los pueden convertir en blanco de discriminación a partir de aspectos raciales, religiosos, sexuales y más.
Proteger la privacidad de tus clientes es una responsabilidad y un compromiso con esas personas que confían en tu empresa.
Tecnología al rescate y protección de datos personales
La era digital que vivimos nos supone desafíos de seguridad, al mismo tiempo que nos brinda herramientas para hacerles frente. Es cuestión de conocer estas opciones tecnológicas y asumirlas como aliadas para garantizar la protección de datos personales en tu empresa.
Al tratarse de un aspecto tan sensible como el cuidado de la privacidad de tus compradores, la mejor opción es dejar que un equipo especializado en el área se encargue. Sin embargo, necesitas conocer las bases de lo que tu negocio puede necesitar. Por esto, aquí te presentamos algunas de las soluciones más efectivas:
Sistemas, equipos y software
Contar con sistemas y software especializados en seguridad es clave en toda estrategia especializada en la protección de datos personales. Con ellos se puede controlar el acceso a las bases de datos, registrar interacciones, administrar consentimientos y hasta medir riesgos.
Los podemos encontrar en forma de sistema de cuentas de usuario, antivirus, sistemas basados en privilegios, entre otros. Por lo general, se recomienda combinarlo para aumentar el grado de seguridad, pero lo ideal es contar con una asesoría especializada que establezca soluciones a la medida de tu empresa.
Cifrado y encriptado
El cifrado es un concepto de ciberseguridad que define a la conversión de datos de su formato natural y legible a un formato codificado. Este mecanismo garantiza que la información de un sistema no pueda ser procesada por un tercero que vulnere la seguridad, pues necesitan procesarse nuevamente para ser entendidos.
En el encriptado se ejecuta un proceso de protección de información con modelos matemáticos para que solo las partes que tengan la clave para descifrarlos puedan acceder. Para decodificar los datos se usa una clave de descifrado.
Copias de seguridad
Se trata de duplicados de la información, almacenadas en dispositivos físicos o en la nube. Así, garantizan la recuperación de datos en casos de pérdida o daño.
Esta medida preventiva para la protección de datos personales se implementa frente a las amenazas de hackeo o usurpación. Al tratarse de copias basadas en información que pueden irse transformando, es necesario establecerla como una tarea recurrente.
Aprende más al respecto: ¿Por qué debes crear una copia de seguridad para tu empresa? Estos son los riesgos (y soluciones)
Mecanismos de autenticación
Los mecanismos de autenticación son ideales para definir reglas de seguridad. Estos producen una representación interna de los usuarios, por lo que comprueba sus posibilidades de acceso.
Para cumplir su función ante el riesgo de fraudes suelen requerir factores que el usuario sabe o tiene. Es una verificación para descartar la suplantación o el robo de identidad.
VPN o red privada virtual
En el caso de empresas con esquemas de trabajo a distancia, la seguridad de los datos que alberga y sus conexiones remotas pueden fortalecerse con la tecnología VPN. En términos sencillos, una VPN o red privada virtual disfraza los datos en línea como protección contra accesos externos.
Estas conexiones ocultan la dirección IP y transforman la información para que no pueda ser comprensible frente a externos.
El marco legal en México
En México, contamos con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Su misión principal es cuidar el manejo que hacen las empresas privadas de la información personal de sus clientes.
Veamos los aspectos más relevantes que deben contemplar las organizaciones:
Conceptos básicos para entender la ley de protección de datos personales:
- Bases de datos: conjunto ordenado de datos personales.
- Consentimiento: permiso del dueño de la información para el manejo de sus datos personales.
- Datos personales: cualquier información concerniente a una persona física.
- Datos personales sensibles: datos personales que afecten a la esfera más íntima del titular; su uso indebido conlleva un riesgo grave.
- Responsable: persona física o moral de carácter privado que decide el tratamiento de datos personales.
- Tercero: persona física o moral, distinta del titular y del responsable.
- Titular: persona física a quien corresponden los datos personales
- Tratamiento: obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio.
- Transferencia: comunicación de datos a persona distinta del responsable.
Obtención y tratamiento a los datos personales
De acuerdo con el artículo 7, “la obtención de datos personales no debe hacerse a través de medios engañosos o fraudulentos”. Señala que en cualquier manejo de este tipo de información las personas confían en que los datos que comparten serán tratados con legalidad.
Por su parte, el artículo 8 establece que el tratamiento de estos datos está sujeto al consentimiento de su titular, por lo que se debe expresar esa voluntad “verbalmente, por escrito, por medios electrónicos, ópticos o por cualquier otra tecnología”.
Una vez dado el consentimiento, este puede revocarse en cualquier momento sin efectos retroactivos. Únicamente se contempla necesario que el responsable establezca los mecanismos y procedimientos necesarios en el aviso de privacidad.
Datos personales sensibles
En el noveno artículo de la ley se especifica que para obtener datos personales sensibles, se necesita el “consentimiento expreso y por escrito del titular”, ya sea con una firma autógrafa, electrónica, o cualquier mecanismo de autenticación.
Además, prohíbe la creación de “bases de datos que contengan datos personales sensibles, sin que se justifique” su finalidad legítima, concreta y coherente con los fines explícitos que persigue el responsable.
Aviso de privacidad
En términos de la ley vigente en nuestro país, se trata de un “documento físico, electrónico o en cualquier otro formato generado por el responsable que es puesto a disposición del titular, previo al tratamiento de sus datos personales”. Por medio de él, el responsable tiene la obligación de especificar qué información se recaba y con qué fines.
El documento debe contener:
- La identidad y domicilio del responsable que los recaba.
- Las finalidades del tratamiento de datos.
- Las opciones y medios que el responsable ofrece para limitar el uso de datos personales.
- Los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición.
- Las transferencias de datos que se efectúen.
- El procedimiento y medio por el cual el responsable comunicará a los titulares de cambios el aviso de privacidad.
Infracciones y multas por incumplir la ley de protección de datos personales
El artículo 63 establece como infracciones las siguientes conductas llevadas a cabo por el responsable:
- No cumplir o actuar con negligencia con la solicitud del titular para el acceso, rectificación, cancelación u oposición al tratamiento de sus datos personales.
- Declarar dolosamente la inexistencia de datos personales, cuando exista.
- Mantener datos inexactos que resulten imputables al responsable.
- Incumplir el deber de confidencialidad.
- Cambiar sustancialmente la finalidad originaria del tratamiento de los datos.
- Transferir datos a terceros sin comunicarlo.
- Obstruir los actos de verificación de la autoridad.
- Recabar datos en forma engañosa y fraudulenta.
De acuerdo con artículo 64, las multas para este tipo de infracciones van de los 100 a los 320,000 días de salario mínimo vigente.
5 acciones para garantizar la protección de datos personales
1. Comunicar y transparentar
Actuar con claridad frente a tus clientes fortalece tu relación con ellos. Adquirir la transparencia como un elemento habitual en tu empresa, te da la oportunidad de construir relaciones sólidas.
Para la protección de datos personales, este principio no puede cambiar. Al contrario, comunica de manera clara y comprensible qué datos estás recabando. Asegúrate de poner al alcance de tus clientes todos los detalles de tus políticas de privacidad.
Un compromiso real, implica mantener actualizados a tus clientes sobre sus derechos de privacidad. Desde tus comunicaciones, hasta el material de marketing que pueda verse relacionado con la obtención de información personal.
Comunicar quién recopila los datos, qué información se recoge, para qué se utiliza, quiénes acceden a ella y cómo se protege son los mínimos que puedes ofrecerles.
Leer: Dirección IP, hosting y dominio ¿qué son y cómo se relacionan?
2. Elaborar un protocolo interno para la privacidad
Una guía confiable para que tu empresa cumpla con las normativas de protección de datos personales es básico. Precisamente estos son los protocolos internos de privacidad, idealmente elaborados por expertos.
De nada te servirá construir uno si no garantizas las directrices para cubrir las necesidades en tu empresa y respetar la legalidad.
Un protocolo interno establecerá las normas que tú y tu equipo deben seguir para evitar pérdidas, filtraciones o fugas de datos. Abarca todos los aspectos del tratamiento de datos, desde el inicio de cualquier proceso, hasta el lanzamiento de servicios o productos.
3. Colaborar con especialistas
Si en tu empresa no cuentas con un área especializada en la materia, la opción es acudir con expertos externos. Las asesorías suelen ser excelentes opciones para cubrir este tipo de necesidades.
La protección de datos personales es una tarea especialmente delicada, que exige la participación activa de especialistas. Y como ya te diste cuenta, no sólo involucra el manejo de tecnología digital sino del conocimiento de normativas legales.
Por ello, se aconseja la participación interdisciplinaria para las tareas relacionadas con la privacidad.
4. Auditar la protección de datos
Cuidar los datos que te confían es un trabajo continuo con riesgos constantes, por lo que es necesario medirla cada cierto tiempo. Conocidas como auditorías, estas revisiones se encargan de verificar la eficacia de tus medidas de seguridad.
Tu deber es programar estas revisiones estratégicas, contemplando cualquier cambio significativo en los sistemas de tu empresa.
5. Cuidar y renovar las contraseñas
Las contraseñas son la primera línea de defensa en la protección de datos personales. Cuidarlas es clave, tanto las de tus clientes como las de tu equipo. La autenticación segura, la comunicación cifrada y el almacenamiento protegido son complementos para esta tarea.
Para aquellos con acceso a información sensible, la renovación periódica de contraseñas es una práctica fundamental. Establece un protocolo que garantice la seguridad constante.
No olvides asegurar las contraseñas y datos sensibles de tus clientes, especialmente números de tarjetas.
Un entorno empresarial más seguro
Deja de postergar el crecimiento de tu empresa y empieza por comprometerla con la protección de datos personales. Haz uso de la tecnología y cumple con todos los requisitos legales.
Acércate a WORTEV y asegura la confianza de tus clientes con la participación de nuestros expertos en Tecnologías de la Información y Legal. El trabajo conjunto entre nuestros diferentes perfiles hará que tu empresa se desempeñe en conformidad con la normativa y construya una mejor relación con consumidores, proveedores y aliados.
