Disrupción tecnológica, transformación y sociedad

– Establecer una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable, para la adopción e implementación de políticas de tratamiento de datos.

– Adoptar mecanismos internos para poner en práctica las políticas, incluyendo herramientas de implementación, entrenamiento y programas de educación. De esta forma, debe comprometer recursos económicos y humanos para el desarrollo de estos mecanismos internos.

– Designar personal, o acudir a un área encargada –oficial de protección de datos– con el fin de vigilar el cumplimiento de las políticas y programas, y de informar a la dirección de la organización empresarial su estatus. Adicionalmente esa área se encargará de cumplir obligaciones concretas, tales como mantener un inventario de las bases de datos –con especial cuidado de las referentes a menores de edad–, inscribir en el registro nacional de bases de datos la información, revisar los contratos de transmisión con encargados del tratamiento, integrar las políticas de protección de datos personales con las políticas de la organización empresarial.

– Contar con la autorización del titular para la recolección de los datos personales, así como preservar copia de la misma.

– Adoptar una política de tratamiento de datos en la que se expongan aspectos tales como, la finalidad, la forma en que se realizará, los mecanismos de acceso y corrección del titular de la información, los mecanismos de quejas, denuncias y reclamos, entre otros.

– Exigir a los terceros encargados el cumplimiento de su política de tratamiento de datos particularmente en el ejercicio de las actividades de marketing, mercadotecnia y publicidad 38.

– Desarrollar una evaluación de impacto en la privacidad del ejercicio de actividades de marketing, mercadotecnia y publicidad, con el fin de poner en funcionamiento un sistema efectivo de manejo de riesgos y controles internos 39.

– Adoptar procesos para la atención y respuesta de las consultas, peticiones y reclamos de los titulares de los datos personales con respecto a cualquier aspecto del tratamiento.

Este grupo de medidas se caracteriza por ser de carácter preventivo y constituye los requisitos mínimos administrativos y estructurales con los que una organización empresarial debe contar para lograr el adecuado tratamiento de los datos personales. Como se observa, se enfocan en la mitigación de los riesgos derivados de un indebido tratamiento, en contar con políticas de tratamiento de datos personales, en un proceso claro de autorización de los titulares, en un sistema de reclamos adecuado, así como en la designación de un área que monitoree su tratamiento al interior de la organización. Lo anterior permite que, ante una eventual investigación administrativa, prima facie , la organización empresarial pueda demostrar una debida diligencia desde el punto de vista administrativo. Sin embargo, como se expuso al inicio de este apartado, es necesario no solo demostrar la adopción de estos requisitos, sino una aplicación debida de cada uno de los procedimientos implementados por la organización empresarial.

De otra parte, existen medidas operacionales y técnicas llamadas a proteger de manera efectiva los datos personales 40, pues de nada sirve para una organización empresarial contar con un equipo que se encargue de monitorear el tratamiento de la información, con políticas de tratamiento adecuadas y con un sistema de reclamos y quejas, si no adopta medidas técnicas que garanticen la protección de los datos personales y que respondan a un sistema de administración de riesgos propio del tratamiento de datos y acorde con la estructura organizacional, los procedimientos internos asociados, la cantidad de bases de datos y los tipos de datos personales tratados 41.

Este sistema de gestión de riesgos debe permitir a la organización empresarial identificar, medir, controlar y monitorear todas aquellas circunstancias que puedan constituir amenazas digitales 42. En el proceso de identificación la guía de la Superintendencia Industria y Comercio indica que es necesario documentar los procesos que se implementan para el ciclo de vida de los datos personales, la metodología de identificación de los riesgos, así como los riesgos e incidentes ocurridos. Así las cosas, la identificación y clasificación de los riesgos, así como la adopción de las medidas técnicas para mitigarlos constituyen los fundamentos del principio de responsabilidad demostrada 43.

De otra parte, la medición se refiere a la probabilidad de ocurrencia de los riesgos y al impacto de su concreción, y el control se relaciona con las acciones positivas que se toman para mitigar y/o controlar los riesgos 44, específicamente las medidas operacionales, técnicas y tecnológicas que se adoptan al interior de la organización empresarial, tales como 45:

– Limitar el acceso autorizado a la información, a las instalaciones físicas, a los equipos y a la información en general;

– Asegurar que los equipos de la compañía que contienen o almacenan datos cuenten con un debido registro con el fin de garantizar la disponibilidad, integralidad y confidencialidad de la información 46;

– Implementar un sistema que permita que el acceso a las bases de datos lógicas, o a la información en formato lógico, lo realicen usuarios identificados y autorizados, y utilizar mecanismos de autenticación 47. En estos casos las contraseñas se deben almacenar de manera cifrada y de forma segura;

– Limitar el acceso al usuario que conoce la información al ejercicio de sus actividades;

– Adoptar acciones para la adquisición, operación y mantenimiento de sistemas seguros 48;

– Contar con certificaciones de seguridad para productos específicos de distintos fabricantes;

– Cifrar los datos en tránsito cuando se autentique a los usuarios o se transfiera información personal 49;

– Poner a disposición de los usuarios un test de solidez de las contraseñas (comprobación de entropía) 50;

– Mantener los datos de producción (información real) separados de los datos de prueba (información ficticia utilizada para desarrollar y probar aplicaciones de los sistemas TI) 51, y

– Contar con certificados SSL/TLS en los sitios web 52.

La etapa final en el sistema de gestión de riesgos consiste en medir, monitorear y verificar la efectividad de los mecanismos adoptados durante la etapa de control de los riesgos de las amenazas digitales. Es una etapa de auditoría interna que, mediante el establecimiento de indicadores de gestión efectiva, le permite a la organización empresarial detectar y corregir las deficiencias en la gestión del riesgo para el tratamiento de los datos personales. Esta etapa de auditoría se concreta en las siguientes obligaciones para el responsable del tratamiento:

– Desarrollar un plan de revisión, evaluación y control del PIGD mediante la presentación de informes al responsable del tratamiento al interior de la organización, así como a los accionistas y miembros de junta directiva, dejándolos documentados. Esta obligación también permite identificar cuáles han sido las últimas amenazas digitales y si se han adoptado mecanismos que respondan a ellas. Lo anterior conlleva también un análisis de las brechas de información, la diferencia de las medidas de seguridad existentes y aquellas faltantes, así como su implementación 53.

– Reportar a la autoridad de tratamiento de datos 54los incidentes de seguridad que se presenten al interior de la organización, que impliquen una vulneración de las medidas de protección y que hayan generado una posible fuga o escape de los datos personales a cargo del responsable del tratamiento.

De esta forma, la implementación de medidas de carácter preventivo, tales como la adopción de políticas de tratamientos de datos, la aplicación de medidas operacionales y técnicas para la protección de los datos personales, y las medidas tendientes a evaluar el modelo de gestión de las amenazas digitales conforman el principio de responsabilidad demostrada. Así, una aplicación adecuada de estas medidas le permite al responsable demostrar el cumplimiento de la normativa que regula el tratamiento de datos personales a pesar de haberse presentado una amenaza digital al interior de su organización empresarial 55. De esa manera, bajo algunas circunstancias, esta situación le permite probar su exoneración en el campo de la responsabilidad administrativa, pero representa un gran reto para el estudio de la responsabilidad civil cuyo riesgo busca disminuir la organización empresarial mediante la adopción de seguros de responsabilidad civil, los cuales serán objeto de estudio más adelante.