El cifrado: una herramienta indispensable para el DPO
Cultura tecnológica
Una nueva profesión para nuevas necesidades.
El Delegado de Protección de Datos (DPD, DPO en inglés), cargo creado hace unos años, combina el sentido de la organización y de la responsabilidad. Debe utilizar toda la gama de herramientas de protección de datos personales exigidas por el Reglamento General de Protección de Datos (RGPD). Para ello, puede recurrir, entre otras cosas, al cifrado, lo que le permite desempeñar sus funciones con mayor tranquilidad.
RGPD: un nuevo paradigma en el mundo de los datos
El RGPD, acrónimo que significa «Reglamento General de Protección de Datos» (en inglés «General Data Protection Regulation» o GDPR), fue adoptado a escala europea en 2016. Entró en vigor en España en mayo de 2018. Su objetivo es permitir a todo ciudadano europeo controlar la difusión y el uso de sus datos personales. La definición es muy amplia: comienza por un nombre y un apellido, o cualquier número, texto o fecha que permita identificar a una persona.
Toda persona debe poder:
- aceptar o rechazar, con carácter previo, la comunicación de datos personales relativa a su persona (en función de la legitimidad de su recogida, que debe demostrarse);
- eliminar, modificar, conservar todos estos datos recopilados.
En España, es la Agencia Española de Protección de Datos (AEPD) quien supervisa el RGPD. En caso de problema, y en particular de filtración de datos, es obligatorio notificarle el incidente en un plazo de 72 horas. Si se demuestra que la responsabilidad de la empresa está comprometida (por falta de protección, por ejemplo), se pueden imponer sanciones administrativas muy graves.
En 2021, la AEPD impuso multas por un importe total de 35.074.800 euros, frente a los 8.018.800 euros de 2020. Entre las sanciones más elevadas de ese año figuraron, entre otras, una multa de 8,15 millones de euros a Vodafone España y otra de 5 millones de euros a BBVA. Estas cifras muestran la importancia de que las empresas adopten medidas adecuadas para garantizar la protección de los datos personales y cumplir con las obligaciones establecidas por el RGPD
El RGPD se aplica a toda organización, pública o privada, que trate datos personales por cuenta propia o no, siempre que esté establecida en el territorio de la Unión Europea o que su actividad se dirija directamente a residentes europeos.
El RGPD está en constante evolución (y se vuelve, en particular, cada vez más complejo y exigente). Cumplir con él es una obligación permanente, que debe ir de la mano de la evolución de los sistemas, las herramientas y los recursos humanos de la empresa.
Una empresa, incluso pequeña, no está exenta del cumplimiento del RGPD. Los datos están en todas partes: el fichero del personal, el fichero de clientes y prospectos son buenos ejemplos. Algunos contienen información sensible, como referencias bancarias.
El DPO: guardián y responsable
Ante esta nueva obligación normativa, las organizaciones se han dotado de herramientas; sin embargo, muchas empresas, entidades locales y administraciones aún no cumplen: en 2019, sólo el 28 % de las organizaciones encuestadas en España afirmaba cumplir la normativa.
Más allá de las medidas organizativas, a menudo se ha creado un servicio dedicado al cumplimiento del RGPD, dirigido por el DPO. De hecho, pronto quedó claro que los responsables de sistemas de información (SI) no podían añadir esta función a sus misiones habituales.
El DPO es la persona clave de la transparencia, de la confianza y de la responsabilidad de la organización. También deben dirigirse a él los particulares que deseen conocer, modificar, suprimir o solicitar la portabilidad de los datos que les conciernen.
Es el responsable ante la sociedad y ante la ley de la conformidad y de la protección de datos: un cargo de pleno derecho, cercano a los órganos directivos de la empresa.
El DPO interviene también en la sensibilización y formación de los equipos – y esta formación es prioritaria.
El riesgo de sanciones
Ninguna empresa está a salvo de una filtración de datos. Este tipo de incidentes genera notificaciones a la AEPD por parte de víctimas descontentas y conlleva, casi automáticamente, una investigación y sanciones.
Si se detecta el más mínimo fallo en la protección perimetral (antivirus, protección contra intrusiones…), la sanción será inevitable. Aunque la filtración se debiera a un error humano, se cuestionará la responsabilidad de la empresa y del delegado de protección de datos.
Cuando se le notifiquen incumplimientos del RGPD o de la ley, la AEPD puede:
- Emitir un apercibimiento;
- Exigir que el tratamiento de datos se ajuste a la normativa, incluso bajo pena de multa coercitiva;
- Limitar temporal o definitivamente el tratamiento de datos;
- Suspender los flujos de datos;
- Ordenar que se atiendan las solicitudes de ejercicio de los derechos de las personas, incluso con la imposición de medidas coercitivas;
- Imponer una multa administrativa.
Antes de una violación de la seguriad de los datos, la AEPD aplicará sus sanciones de forma progresiva, comenzando por un apercibimiento y una orden de corrección con un plazo corto, pero razonable. Comprueba que su dictamen haya sido seguido por el DPO. Tras un siniestro, la sanción es sistemática.
Implementar una solución de cifrado: el SANTO GRIAL para un DPO
La protección de datos es el hilo conductor de la reflexión en torno al RGPD y, posteriormente, de las medidas para cumplir con él.
No se puede reducir a cero el riesgo de una brecha de datos: entonces es el cifrado el que se convierte en la solución más completa. De hecho, aunque los datos sean robados, resultan incomprensibles para el hacker: puede conseguir robarlos, pero no podrá leerlos.
El cifrado de datos forma, además, parte de las recomendaciones de la AEPD para la protección de datos personales.
Gracias a este tipo de protección de datos, la AEPD no podrá reprochar a la empresa víctima de una filtración que no haya protegido los datos personales “según el estado actual de la técnica”, es decir con el sistema de protección más eficaz conocido hasta la fecha. No podrá imponerse entonces ningún recurso ni sanción contra la empresa, su dirigente ni su DPO.
El cifrado debe, sin embargo, implementarse correctamente: un sistema «sobre la marcha» y transparente, para que cada dato se cifre instantáneamente desde su entrada en el sistema, sin que el usuario siquiera se dé cuenta. Un cifrado integral, un cifrado interno: es decir, no debe confiarse a una nube externa.
Ahí radica todo el interés de recurrir a un proveedor de cifrado acreditado y certificado al más alto nivel.
El Reglamento General de Protección de Datos introdujo una nueva obligación, muy ética y positiva, para las empresas: la necesidad de controlar los datos personales que poseen y procesan, y de protegerlos con las mejores técnicas disponibles. El DPO es el garante del cumplimiento de esta obligación —generadora de sanciones severas— y debe dotarse de herramientas para lograrlo, en particular mediante el cifrado.
