Oficiales de Protección de Datos: ¿Sobre Buenos Cimientos?

Foto Ref:

El consejero global de privacidad de Google, Peter Fleischer, ya ha sufrido en sus carnes lo que implica estar en primera línea de fuego en el mundo de la privacidad; un mundo donde las muy diversas leyes pueden encontrar como cabeza de turco a la persona que ostente el título de encargado de privacidad en una gran empresa multinacional. 

Traducción libre del post de Peter Fleischer 20111123

He trabajado en el campo de la privacidad desde hace lo bastante tiempo como para recordar una época en la que casi ninguna empresa en el mundo tenía oficiales de privacidad. Ahora, casi todas las grandes empresas los tienen. Y pronto las leyes europeas de privacidad seguramente van a ser modificadas para hacerlos obligatorios, o al menos proporcionar grandes incentivos para su nombramiento; lo cual conllevará un inmenso crecimiento de esta profesión.

Pero, ¿qué es un oficial de protección de datos? O ¿siquiera podemos ponernos de acuerdo sobre cómo denominarlos? “Oficial de Protección de Datos” o “DPO” [DPO = Data Protection Officers] es un título eurocéntrico, puesto que Europa hace mucho que inventó el concepto de “protección de datos” como alternativa (no sinónima) de “privacidad”. Personalmente hace mucho que uso el título de “Consejero Global de Privacidad”, puesto que pienso que es útil para expresar tres cosas que definen mi trabajo. esto es: el tema (privacidad); el ámbito geográfico (global), y la perspectiva funcional (es decir, consejero o abogado). Pero los líderes de privacidad a menudo no son abogados, de aquí que usen diversos motes, que van desde Oficial Jefe de Privacidad a Director de Ingeniería de Privacidad, o Director de Cumplimiento de Privacidad, o Jefe Evangelista de Privacidad, en cada caso enfatizando una perspectiva funcional diferente.

Para las compañías muy grandes, la privacidad tiene que ser un esfuerzo cros-funcional, implicando seguridad, ingeniería, legal, cumplimiento, política y comunicaciones. Personalmente, yo me enfoco hacia las facetas legales/regulativas y de políticas de la privacidad. En las compañías muy grandes de Internet basadas en la información, hay literalmente cientos de personas trabajando en privacidad a lo largo de estas diversas funciones. En las compañías más pequeñas debería haber, en mi opinión, al menos una persona que sea responsable de la privacidad, en cierta medida, aunque no fuera un trabajo a tiempo completo.

Puesto que Europa está a punto de imponer como obligatorios a los “oficiales de protección de datos”, necesitamos comprender las responsabilidades que tendrán estas personas. Primero es importante hacer notar que la propuesta europea seguramente va a seguir el modelo de las funciones existentes en Francia ("correspondent") y Alemania ("Datenschutzbeauftragte"). En estos países el DPO es responsable de supervisar la creación y uso de bases de datos que contengan datos personales por parte de sus empresas, actuando de enlaces con los reguladores gubernamentales de privacidad, y proporcionando buen asesoramiento y guía sobre privacidad. En la práctica, los DPOs en Alemania y Francia a veces están enfocados sobre la faceta legal, y a veces en el aspecto técnico y de seguridad.

En Estados Unidos los líderes de privacidad tienen una visión diferente. En la mayoría de las empresas americanas los abogados desempeñan este papel, así como yo entré en la privacidad por medio de la profesión legal. Y nosotros desempeñamos este papel por nuestra cualificación como abogados, es decir: proporcionar asesoramiento legal sobre privacidad a nuestras empresas. Como abogados de privacidad, proporcionamos asesoramiento, pero no tenemos poderes para adoptar las decisiones finales sobre si nuestras empresas siguen o no nuestros consejos. Los ejecutivos de la empresa son los decisores a fin de cuentas, no los abogados de privacidad. Por supuesto hay otros modelos en algunas empresas estadounidenses, pero todavía son una minoría.

Así que, cuando Europa institucionaliza el papel del DPO, va a ser importante definir cuáles van a ser exactamente las responsabilidades de estas personas, tanto a nivel interno como externo a sus compañías. Para las multinacionales, va a hacer falta algún tiempo hasta ajustar cómo apoyar a sus líderes de privacidad bajo estos diversos regímenes legales que abarcan diversas jurisdicciones. Y cuando a los DPOs se les haga responsables de ciertas áreas, ellos mismos necesitarán protección e indemnidad por parte de sus empresas respecto a su riesgo personal, al igual que en otras profesiones, como los delegados financieros en jefe que son obligatorios bajo diversas legislaciones con áreas específicas de responsabilidad.

Yo doy la bienvenida a las leyes europeas que ayudarán a fortalecer el papel de los DPOs en sus empresas, y contribuirán a hacer más prevalentes los DPOs en el sector. Esto en la práctica será un paso adelante para la privacidad. Pero al mismo tiempo, será importante definir nuestras responsabilidades, a nivel interno y externo, especialmente en un campo donde la propia noción de “privacidad” es altamente subjetiva; y donde las visiones sobre lo que un líder de privacidad debería hacer difieren dramáticamente, según el país, según el sector, y según la función.

o0o

Un Torrente de Burocracia

El consejero global de privacidad de Google, Peter Fleischer, con su habitual agudeza y sencillez, nos aporta su visión “global” sobre el rumbo actual de la regulación de la Privacidad.
Traducción libre del post de Peter Fleischer  20120525.

Mientras Europa se desliza hacia la recesión y el declive económico, ¿cómo se está cambiando la normativa de privacidad en Europa? Lamentablemente, el debate sobre privacidad aquí, al igual que los otros debates políticos en Europa, no versa sobre cómo impulsar la economía digital, sino sobre cómo regularla. Tributación y regulación: ¿es ese el plan europeo para construir su economía digital?

Mientras los legisladores a lo largo y ancho del mundo están cultivando frenéticamente sus economías digitales, ¿qué está pasando en Europa?

Montones y más montones de papeleo están por venir. Los políticos andan por ahí dando ruedas de prensa furiosamente sobre cómo esto va a meter en cintura a Facebook o a Google, como si todas las leyes europeas de privacidad tuvieran que ser redactadas para una o dos empresas. Los bromistas han empezado a denominar a las nuevas propuestas legislativas europeas “Lex Google” o “Lex Facebook”. Pero intentar redactar una ley de privacidad para “meter en cintura” a Google o a Facebook es una receta segura para redactar una mala ley de privacidad que se va a aplicar a todas las compañías en Europa.

Pocas personas han observado realmente cómo está Europa planeando cambiar las leyes fundamentales sobre privacidad. Mientras los politicos están adoptando la postura de que esto es una reducción de los trámites burocráticos, la realidad es que está en camino de convertirse en el mayor aumento del papeleo y de las obligaciones del proceso de cumplimiento en toda la historia del derecho de privacidad de todo el planeta. Más aún, aquí va un juicio que puede que sorprenda a algunos: yo pienso que Facebook y empresas similares podrían arreglárselas muy bien con las nuevas propuestas, de una u otra manera. Pero no hay la menor oportunidad de que la Pequeñas y Medianas Empresas de Europa puedan arreglárselas.

Las PYMES ya son un grupo acosado en Europa, que soportan los mayores costes impositivos laborales y regulatorios de todo el mundo. Los Oficiales de Protección de Datos en las grandes empresas generalmente tienen un montón de recursos, y pueden resolver la burocracia y el papeleo, por más que esto cueste unos cuantos millones de euros más. Para las grandes compañías no es cosa grave si el “impuesto de cumplimiento de protección de datos” se eleva unos pocos de millones de “nuevas pesetas” o de “nuevas liras”. Francamente, me pregunto cómo una PYME podría arreglárselas con este torrente de papeleo y de procesos, y de dónde podrían sacar para pagarlo.

  

 Considera los detalles de este torrente regulatorio y hazte la pregunta de cómo impactarían sobre una PYME las nuevas obligaciones legales como estas a continuación:

• 1)  Multas aterradoras por descuidos rutinarios en el papeleo de protección de datos.  Se proponen grandes multas para violaciones de protección de datos, algunas de las cuales no son más que descuidos formales o “faltas de pie” [tenis] en la documentación. ¿Alguien piensa en serio que las PYMES europeas están preparadas para ser capaces de informar una brecha de seguridad de datos en menos de 24 horas? Me conmociona ver cómo los legisladores pueden proponer imposición de multas de 1 o 2% de la facturación global de una empresa por no rellenar “adecuadamente” el papeleo, como por ejemplo las “evaluaciones de impacto de privacidad” o “documentación de procesamiento de datos”, especialmente por cuanto ni siquiera existe ningún acuerdo sobre el aspecto que debería tener ese papeleo.
• 2)  Delegados de Protección de Datos.  ¿Qué pasa si obligamos a todas las empresas de más de 250 trabajadores a nombrar a un Delegado de Protección de Datos? En términos prácticos, ¿de dónde van a salir todas estas personas, por cuanto hoy en día sólo hay un puñado? ¿Pueden las PYMES permitirse el coste de estos nuevos empleados, o externalizar esta función en caras firmas de abogados? ¿O sobrecargar a otros empleados, como el encargado de Recursos Humanos, para que intente llevar este puesto también? Y, no hace falta decirlo, algunas compañías con 250 trabajadores (como empresas de Internet o de salud) tienen pero que muy diferentes impactos en la privacidad que otras (como las empresas de construcción); así que las leyes con reglas fijadas arbitrariamente raramente se adaptan bien a las diferentes realidades del mundo real.
• 3)  Evaluaciones obligatorias de impacto de privacidad.  ¿Qué tendrán que hacer las PYMES si se las obliga a elaborar informes de impacto de privacidad en todo nuevo proyecto? Por más que yo pienso que tales evaluaciones de impacto de privacidad pueden ser una una valiosa herramienta de cumplimiento de privacidad para algunos proyectos, también sé que resultan costosas en tiempo y dinero. ¿Pueden manejar las PYMES este coste adicional? Aunque las “evaluaciones de impacto de privacidad” todavía no están definidas, yo estimo que hacer una costaría, a groso modo, entre 10.000 y 100.000 euros. Me imagino que la mayoría de las PYMES tendrán varios proyectos, y las empresas grandes muchos de ellos, que requerirían tales evaluaciones de impacto de privacidad.
• 4)  Documentación obligatoria de proceso de datos.  Documentar tales procesos de manejo de datos es difícil y consume tiempo. ¿Cuánto costaría a las PYMES documentar sus prácticas de proceso de datos? Así por lo alto yo diría que la carga de cumplir con este requisito sería comparable al tiempo/dinero empleado en cumplir con las leyes tributarias. Nadie sabe lo que significa documentar “adecuadamente” un proceso de datos, pero sin embargo, estas confusas normativas de privacidad que se proponen amenazan con multas gigantescas el incumplimiento de un estándar no definido.

Confío en que se escuche la voz de las PYMES en el venidero proceso político. En tanto en cuanto las leyes se aprueben para “meter en cintura” a Google y a Facebook, puedes estar seguro de que las PYMES van a quedar atrapadas en unas reglas que no tienen sentido para ellas. Pero me pregunto si los políticos pueden limitar un sobrepeso regulatorio que sería mortífero para las PYMES. Me preocupa el impacto de una excesiva regulación de la economía digital en Europa; la cual sin duda va a ser la más prometedora del mundo para crear los trabajos del futuro. Toda empresa tecnológica de éxito comienza como PYME. Europa está cometiendo un crimen contra su juventud, cuando el 50% de los jóvenes de muchos países aquí están sin trabajo. Las PYMES crean trabajo, especialmente para los jóvenes. Aunque los políticos pueden revolotear por ahí y sacar titulares sobre cómo estas nuevas multas propuestas van a meter en cintura a Facebook y similares compañías, la realidad es que toda Ley se aplica a todas las empresas, incluyendo a las PYMES. Sin duda podemos resolver cómo aplicar las obligaciones documentales de protección de datos de una manera más sensata, más adaptada a la sensibilidad y a la escala de los procesamientos de datos, que la que se incluye en la actual propuesta de ley. No asfixiemos a las pymes europeas como daño colateral desafortunado al tratar de “meter mano” a las grandes empresas americanas de Internet.

¿Está Europa a punto de amenazar a las empresas con unas multas tan elevadas que las va a poner en quiebra por nimios errores burocráticos y de documentación?  Cuando países de todo el mundo comienzan la competitiva carrera para construir sus economías digitales, ¿nosotros en Europa estamos comenzando la carrera pegándonos un tiro en el pie? Es posible estar profundamente comprometido hacia la privacidad sin tener que ahogarse en un torrente de burocracia de privacidad.

o0o

Delegados de Protección de Datos

El Consejero Global de Privacidad de Google, Peter Fleischer, reflexiona en su post sobre la nueva ola que nos viene de Europa.
Como siempre, me impresiona la sencillez y la potencia expositiva de este personaje, así que me tomado la molestia de traducirlo para aquellos de vosotros que no lo podais leer en inglés:
http://peterfleischer.blogspot.com/

Traducción libre del post de Peter Fleischer  20120312

Delegados de Protección de Datos: obligatorios según la ley en Europa
Europa ha liderado al mundo desde hace mucho en la creación de normas de privacidad. Dentro de poco, Europa seguramente va a hacer obligatorio que las empresas de más de 250 empleados nombren un Delegado de Protección de Datos [DPO=Data Protection Officer]. A continuación expongo unas pocas ideas prácticas sobre los DPO en las corporaciones modernas.

1) Necesitamos entrenar más DPOs. El universo de los profesionales de privacidad todavía es bantante pequeño, a día de hoy. Sencillamente no hay bastantes DPOs con experiencia para cubrir el inminente requisito legal. Pronto, muchos miles de empresas operando en Europa se verán buscando DPOs para nombrarlos en cumplimiento de las obligaciones legales; y puesto que no existe una reserva de tales personas, las empresas tienen que empezar a pensar ahora sobre cómo van a reclutar, entrenar y dotar a un DPO o a todo un equipo de DPOs en  las grandes empresas.
2) Las empresas deberían dictaminar si su tratamiento de datos es sencillo o complicado, y reclutar a sus DPO en función de ello. Dependiendo del tipo de empresa que seas, podrías adoptar libremente tres distintos enfoques:
A) La función del DPO se añade a las funciones ya existentes. Algunas empresas pueden tener operaciones de procesamiento de datos que sean bastante simples y sin problemas. Para ellas, pudiera ser perfectamente razonable pedirle a alguien del Departamento de Recursos Humanos o de Marketing que se entrenase y llevase este puesto también.
B) La función de DPO está externalizada. Algunas empresas pueden decidir externalizar esta función a Consultores-DPO que proporcionen servicios a muchos clientes. Aviso para profesionales de privacidad empresarial: crear tales servicios de consultoría-DPO seguramente va a ser una boyante oportunidad de negocio en el futuro. De una manera realista, pienso que externalizar la función de DPO solamente es una opción para empresas con operaciones de tratamiento de datos que sean sencillas, si bien hay millones en esta categoría.
C) DPOs de gran calibre. Algunas compañías tienen procesos complicados y sensibles de  tratamientos de datos. Estas van a necesitar que sus DPOS sean administradores estratégicos de los datos, guiando a sus empresas en el uso y la protección de los datos de modo responsable, navegando entre la maraña de normativas reguladoras, y representándolas ante los tribunales y organismos de control. Pienso que los empresas grandes y complicadas van a tener que tener DPOs senior y experimentados o equipos completos de ellos, en el caso de las grandes compañías. Pero a día de hoy, asombrosamente, algunas de las más grandes compañías de procesamiento de datos del mundo, con mega bases de datos de billones de piezas de datos personales, no tienen ni un solo DPO de gran calibre en su plantilla.

3) Las empresas tienen que dar autoridad a sus DPOs y unos recursos adecuados. Me parece obvio, a mi que llevo mucho en esto, que la privacidad será bien servida por una creciente profesión de DPOs en la empresas. Para tener éxito los DPOs necesitarán dos cosas, que son esenciales para hacer que se hagan las cosas en las grandes organizaciones: recursos y autoridad. Hace falta considerables recursos para vigilar/asesorar/documentar las operaciones de tratamiento de datos en una gran corporación (como seguramente se hará obligatorio bajo las nuevas normativas europeas) y hace falta gente con auténtica autoridad para implementar las metas del puesto de DPO, como las proyectan las leyes. En cuanto a la autoridad, no creo que la autoridad siempre fluya de las líneas de mando corporativas (superemos esa visión simplista de que cada DPO debería estar al mando del Director de la compañía). Yo pienso que la autoridad se deriva de un conocimiento sustantivo de las leyes de privacidad y de las metas del negocio; del criterio; de la persuasión; credibilidad, y quizás lo más importante de todo: resolución para defender la preciada meta de la privacidad. Las propuestas legales europeas van incluso más allá al intentar proteger la independencia del DPO, proporcionándole algunas protecciones legales frente a despidos injustos.
Europa, una vez más, lidera al mundo en la creación de normas sobre privacidad. Europa propone que se lleven a efecto muchas reglas que son unas chaladuras: por ejemplo, que los riesgos de seguridad se notifiquen obligatoriamente a los consumidores ¡en el plazo de 24 horas!, como se  está proponiendo en estos momentos. Pero Europa a veces lidera al mundo al crear normas que con todo sentido mejoran las protecciones de privacidad. En esta década por delante, trabajemos juntos para reforzar y difundir el papel del Delegado de Protección de Datos.

o0o