La gobernanza de datos personales: retos desde una perspectiva internacional

La privacidad y la protección de datos se han convertido en uno de los principales desafíos de las empresas en un mundo cada vez más digitalizado. El desarrollo y el mantenimiento del procesamiento de datos, la correcta notificación y gestión de brechas de datos personales, la aplicación de las nuevas cláusulas contractuales tipo (Standard Contractual Clauses o SCCs) para la transferencia de datos a nivel internacional, las consecuencias del Brexit, la nueva legislación emergente en países como Brasil y China son solo algunos de los retos a los que se enfrentan hoy en día los Delegados de Protección de Datos (DPDs).

Todos estos temas se abordaron ayer el webinar "Addressing the hot topics in Privacy Governance" organizado por el despacho internacional de abogados Bird & Bird. Joaquín Muñoz, socio de Privacidad y Protección de Datos, y Vincent Rezzouk-Hammachi, Managing Director de Privacy Solutions, empresa del grupo Bird & Bird especializada en provisión de servicio de DPD y representante en la Unión Europea, comentaron todas estas cuestiones ante abogados in-house, asesores de privacidad, directores de privacidad y DPDs de empresas nacionales e internacionales.

Vincent Rezzouk-Hammachi comenzó el evento explicando la relevancia del DPD dentro de la empresa y cómo conviene organizar sus funciones dentro de la misma tras la experiencia de tres años desde la aplicación del Reglamento General de Protección de Datos (RGPD), destacando la necesidad de establecer controles y KPIs que permitan medir la eficacia de las medidas implementadas. El abogado considera que es de suma importancia partir de una "foto global para poder identificar potenciales lagunas en materia de compliance y así poder ajustar y actualizar adecuadamente los procedimientos y políticas de privacidad".

Por su parte, Joaquín Muñoz reconoció la necesidad de que el DPD esté bien integrado a todos los niveles en la empresa, adquiriendo la necesaria confianza de todos los departamentos para integrarle en el diseño de nuevos productos, servicios o procesos internos, pero recuerda que "las autoridades en materia de protección de datos están poniendo el foco no en el proceso de la implementación, sino en que las empresas realicen una labor de seguimiento con revisiones frecuentes de sus procesos", lo que significa un verdadero reto, pero algo que las empresas no pueden ignorar.

Nuevas cláusulas contractuales tipo (SCCs), clave en los procedimientos de seguridad

Otra de las cuestiones que se abordaron en la sesión son los nuevos modelos de cláusulas contractuales tipo propuestos por la Comisión para amparar la transferencia de datos fuera de la Unión Europea. Los ponentes los calificaron de "oportunidad para que los clientes puedan revisar estos procesos y los diferentes procedimientos de seguridad con los proveedores de servicios” y añadieron que, durante esa revisión, es aconsejable clasificar los contratos en categorías en función del riesgo y otras similitudes como el enfoque del mercado, para poder controlar un posible problema a tiempo.

El Brexit y su efecto sobre las políticas de protección de datos

La salida del Reino Unido de la Unión Europea y cómo ésta puede afectar al tratamiento de datos y privacidad fue otro de los temas clave que se trataron. Según Vincent Rezzouk-Hammachi, es posible que en un futuro la armonización de las normativas de protección de datos de la Unión Europea y el Reino Unido varíe. Actualmente el Reglamento General de Protección de Datos, integrado en la legislación británica, está siendo objeto de consulta y es de esperar que Reino Unido se desvíe en algunos aspectos fundamentales.

Prevención, esencial para tratar las filtraciones

Otro de los temas que suscitó interés fue las brechas de seguridad en materia de protección de datos, donde Joaquín Muñoz destacó la importancia de crear un procedimiento de reacción ante las mismas que pueda integrar a diferentes responsables dentro de la empresa, como los departamentos de sistemas, seguridad, marketing/comunicación o atención al cliente, y "no solo involucrar a la figura del DPD, ya que la coordinación interna es fundamental a todos los niveles para la gestión de este tipo de crisis". A este respecto, la formación a los empleados en la identificación de las brechas es algo que ambos expertos resaltaron ya que de esta manera se pueden llegar a conocer rápidamente cualquier incidente o incluso prevenirlo.

Legislaciones emergentes, más cerca del estándar internacional

Por último, se trató la aparición de nuevas leyes de protección de datos en países como China o Brasil. Esto es una muestra evidente de que el RGPD se está convirtiendo en un estándar internacional y los ponentes lo calificaron de buena noticia, aclarando, a su vez, que cada una de estas nuevas leyes requiere de un estudio individualizado, ya que cada una tiene sus particularidades.