Como ya sabrán, la ley de protección de datos personales en el Perú
entro en vigencia en Mayo del 2013 y surge de la necesidad de
legislar para fomentar y promover buenas prácticas en materia de privacidad
para protección de las personas y nuestros clientes, en caso de qué se esté
manejando información de carácter personal. El objetivo de la
ley es proteger los datos personales en posesión de las empresas y se encarga
de regular que dichos datos sean utilizados únicamente con la finalidad que
fueron entregados, se tenga un control de quién y para qué los tiene y que el
titular o dueño de los datos siempre esté informado del tratamiento que se
realice sobre dichos datos.
Actualmente, las empresas ya deben de contar con el Responsable del
Departamento de Datos Personales y el Aviso de Privacidad, éste último es un
documento físico, electrónico o en cualquier otro formato (visual o sonoro) que
es presentado al titular previo al tratamiento de sus datos personales, y
básicamente debe contener la siguiente información:
·
Quién recaba (Nombre del responsable)
·
Qué es lo que se recaba (Los datos que van a ser solicitados)
·
Para qué se recaban
·
Cómo limitar su uso o divulgación
·
Cómo revocar el consentimiento
·
Indicar los medios por los cuáles el titular puede ejercer sus derechos
ARCO (Acceso, Rectificación, Cancelación y Oposición)
·
Si se acepta o no que los datos se comuniquen a terceros
·
Cómo se van a comunicar cambios en el aviso de privacidad
·
Indicar si se están recabando datos sensibles (datos que en caso de ser
divulgados pueden afectar a la esfera más íntima del titular, o cuya
utilización indebida pueda dar origen a discriminación o conlleve un riesgo
grave para éste, ejemplos: creencias religiosas, afiliación sindical,
información genética, etc.)
Podemos mirar a países como España, Argentina y México que ya cuentan
con experiencia en esta ley, sin embargo en el Perú hay poca información de qué
pasos seguir para cumplir con la misma, y no sólo en el aspecto de contar con
el aviso de privacidad y un responsable del Departamento de Protección de
Datos, si no qué hacer para proteger la confidencialidad e integridad de dichos
datos.
A continuación, se presenta un esquema cíclico por fases de que hacer
para la protección de los datos personales, incluso se puede aplicar para
protección de cualquier tipo de información (propiedad intelectual, patentes u
otra información sensible de las organizaciones):
Descubrir y
clasificar
1. Conocer a la
organización, identificar todos los perfiles de los colaboradores, cuáles son
los alcances y funciones de cada tipo de colaborador. Tener claramente
identificado si la información o los datos personales los va a tratar un
tercero (ejemplo: callcenter, outsourcing de servicios, etc.) y que
obligaciones debe de cumplir para el cuidado de los datos. Ejem. Firmar un contrato
de confidencialidad.
2. Clasificación de los datos personales por criticidad en
Baja, Media o Alta, dicho nivel de prioridad se mueve en función de la
publicidad del dato hacia la intimidad del mismo. Por ejemplo, en el nivel bajo
podemos considerar los datos generales como nombre, apellido, fecha de
nacimiento, en un nivel medio pudiera se el perfil profesional de un empleado o
candidato, antecedentes legales y finalmente en el nivel alto se encuentran todos
los datos que ya invaden la privacidad, es decir los datos sensibles. Se
recomienda la intervención de un experto en el tema para que apoye identificar
y clasificar los datos a la organización.
3. Realizar un inventario de los activos y sistemas de tratamiento de
los datos de la organización. Contar con la lista de dispositivos móviles tales
cómo laptops, smartphones, tablets, equipos de almacenamiento, discos duros
externos, USB’s, servidores, workstations, impresoras, etc. Y no sólo ello si
identificar quienes tienen o deberían tener acceso a dichos activos y sistemas,
preguntarse ¿qué tipo de información se almacena y procesa por equipo,
dispositivo o sistema? ¿cómo está controlando el acceso a los mismos? ¿Quiénes
manejan esos datos?
Evaluar y asegurar
1. El análisis de vulnerabilidades es un componente
crítico de cualquier infraestructura de seguridad, ya que representa un
diagnóstico de las debilidades que puedan tener o tienen las organizaciones en
sus sistemas de información y en sus equipos, permitiendo la detección
proactiva y remediación de vulnerabilidades de seguridad.
2. Análisis de comportamiento del flujo de los datos ¿quién accede o qué tipo de usuarios acceden a ellos y cómo?, con la
finalidad de identificar una intrusión o mal uso de la información.
3. La evaluación de riesgos supone imaginarse lo que puede ir mal
y a continuación estimar las consecuencias que supondría tanto
cuantitativamente como cualitativamente. ¿Qué puede ir mal?, ¿Con qué
frecuencia puede ocurrir? ¿Cuáles serían sus consecuencias? ¿Qué se intenta
proteger? ¿Cuál es su valor para la organización? ¿Frente a qué se intenta
proteger (amenazas internas y externas)? ¿Cuál es la probabilidad de un ataque?
Monitorear y
fortalecer
1. Visualizar en tiempo real qué es lo que está
pasando con la información, que nos ayude a determinar si es usuario
privilegiado, cómo se está teniendo acceso a la información. Para ello, nos
tendríamos que contar soluciones que nos ofrezcan dicha visibilidad y que nos
permita tomar medidas preventivas con base en la información que nos está mostrando.
2. El cumplimiento de
gran parte de los nuevos procedimientos estará basado fundamentalmente en la concientización y la participación de los colaboradores sobre el trato que dan a la información de sus clientes, proveedores y a
su mismo personal, y la cultura que en materia de
seguridad tenga la organización.
3. Bloquear el acceso
a los datos con base en alertas en tiempo real, y a la par contengan
información que apoye en la educación de los usuarios del uso apropiado de la
información confidencial.
4. Contar con una
solución que permita el monitoreo de flujo de datos.
Auditar y Generar
reportes
1. Revisión constante y periódica de las políticas o reglas implementadas para la protección de la información y prevención
de su fuga.
2. Verificaciones o
auditorías externas para verificar las políticas de privacidad.
3. Generar reportes de cumplimiento para el
fortalecimiento de la seguridad en los datos.
4. Identificar,
preservar, analizar y presentar datos que sean válidos dentro de un proceso
legal. Utilización de ciertas técnicas para la obtención de la evidencia.
A partir de la identificación,
análisis, monitoreo y generación de reportes se debe realizar un análisis de
las diferencias del estado actual versus el estado de cumplimiento y
desarrollar un plan de trabajo para subsanar
dichas deficiencias en materia de seguridad. Así como crear políticas, procesos, procedimientos, implementar tecnologías que mantengan al
día la protección de datos personales. El proyecto debe abarcar a toda la
organización, lo que sólo puede lograrse con un fuerte respaldo de los
directivos para su seguimiento y por lo tanto cumplimiento.
Finalmente, considero muy importante
el ver a la ley desde una perspectiva positiva para nuestras
organizaciones y no sólo por imposición, en el sentido de que le está
transmitiendo a sus clientes la experiencia de que están trabajando o haciendo
negocios con una empresa seria y confiable, y que puede ser un diferencial
frente a su competencia y mejorar su imagen como organización.
Fuente: Jazmín Ortíz
