Los cinco mitos del RGPD.
Por Frank Krieger, vicepresidente de gobernanza, riesgo y cumplimiento, iland
Mayo de 2019 marcará el primer aniversario del Reglamento General de Protección de Datos (GDPR), y los primeros números dejan en claro que su implementación ha sido un éxito como ley de notificación de incumplimiento. Como tal, GDPR ha afectado a múltiples aspectos de una empresa. Ha creado mayores requisitos para que las empresas aborden cuestiones como la seguridad, el cumplimiento, la propiedad de los datos, la formación y la gestión de datos. La nueva regulación requerirá, para muchas empresas, un cambio fundamental en sus procesos internos y un enfoque continuo en el cumplimiento.
Existen varios mitos sobre quién administra los datos dentro de una organización que han sido cuestionados como resultado de las regulaciones de GDPR. Desde el cambio de un modelo centrado en TI a un modelo de propietario de procesos comerciales, hasta la educación de los equipos internos y las herramientas de revisión, estos son los cinco mitos principales en torno a la gestión de datos que el GDPR eliminó de manera efectiva.
La gestión de datos es una función de TI
La gestión de datos solía ser únicamente una función de TI pero, desde que entró en vigor el RGPD, las organizaciones se han dado cuenta cada vez más de la importancia y el valor de sus activos de datos. Es por eso que la función de gestión de datos se ha convertido en una función empresarial y de TI. Requiere un compromiso total por parte de cada organización para incorporar la protección de datos en su cultura y todos los aspectos de sus operaciones, desde el soporte a través de la contabilidad hasta el desarrollo de productos. El GDPR no es específico solo para TI, debe impregnar todos los aspectos de la organización para garantizar que se construya una cultura de privacidad de datos.
Las organizaciones empresariales siempre han estado familiarizadas con la gestión de datos.
Dado que la nueva regulación hizo de la gestión de datos una preocupación empresarial, no solo de TI, era necesario ampliar la conciencia sobre el RGPD a diferentes departamentos de una organización. Muchas partes de las organizaciones empresariales no estaban familiarizadas con la gestión de datos y debían recibir formación y gestionar el tema. Sin embargo, un artículo reciente de Osterman Research mostró que solo el 42 por ciento de las organizaciones han capacitado a sus empleados sobre la gestión de datos y GDPR, lo que significa que el 58 por ciento dejó a sus empleados en la oscuridad.
Todos los departamentos entienden cómo administrar y controlar los datos
Como se mencionó anteriormente, la gestión de datos solía ser exclusivamente una función de TI y los equipos de TI tenían una buena comprensión de la forma en que los datos deberían ser gestionados y controlados. Aquellos en funciones comerciales tendían a acumular datos y carecían de control de acceso, poniendo en riesgo esos datos. Hoy, la responsabilidad del cumplimiento se comparte entre las diferentes funciones. Los empleados que no son de TI no pueden simplemente cerrar los ojos ante los riesgos que corren al manejar los datos de su empresa. Sensibilizar es fundamental para evitar filtraciones de datos e impactos en las finanzas y la reputación de la organización.
GDPR no es relevante para todos
Los departamentos se han visto afectados de diferentes maneras y en diferentes grados: algunos llevan varios años viviendo y respirando la regulación, para otros puede ser nueva. Pero tener en cuenta la protección de datos ya no es opcional, es fundamental y está regulado. Un programa de educación continuo y continuo, desde la iniciación hasta las sesiones de actualización periódicas, es esencial. Esto ayuda a que el conocimiento de los datos sea relevante para todos, desde el Presidente de la Junta hasta el equipo de servicio al cliente y más allá.
La protección de datos se detiene en el perímetro de la organización
De repente, las empresas se dieron cuenta de que eran responsables no solo de su propio cumplimiento de protección de datos, sino de todos los eslabones de su cadena de suministro. La computación en la nube es un ejemplo en el que los gerentes comerciales y de TI se dieron cuenta de que su CSP tenía que ser tan compatible como ellos para evitar una gran brecha de seguridad. De cliente-proveedor, la relación pasó a la de una asociación de seguridad colaborativa a medida que aumentaba el grado de confianza y diligencia necesarios entre las partes.
Del mito a la realidad
En general, la comprensión del valor y los riesgos en torno a los datos personales tuvo que propagarse a través de las organizaciones y monitorearse activamente. GDPR no actuó como un recordatorio de lo que debería hacerse, sino como una nueva regulación adecuada. Ha cambiado la forma en que las organizaciones recopilan y administran datos e información personal, rompiendo el mito de que la administración de datos vivía en el silo del departamento de TI y haciéndola relevante para todos. Eso ha requerido una gran inversión en personas y herramientas para supervisar, y una reevaluación de las relaciones comerciales con proveedores y clientes por igual.