Imagínese que está construyendo una casa. Antes de empezar a clavar clavos o pintar paredes, necesitas unos cimientos sólidos.
Lo mismo ocurre con su programa de privacidad, y el primer paso crucial para crear ese plan es realizar un inventario de datos.
Un inventario de datos es la base de un programa integral de privacidad para su organización.
Le permite comprender el alcance y la complejidad del tratamiento de datos dentro de su organización y abordar los riesgos para la privacidad de forma proactiva.
Al saber qué datos posee, dónde residen y cómo se recopilan, procesan y comparten, obtiene una comprensión completa de su panorama de datos.
Exploremos por qué un inventario de datos debe ser el punto de partida de su programa de privacidad.
¿Qué es un inventario de datos?
Un inventario de datos es un mapa global de los datos personales que circulan por su organización.
Actúa como un catálogo de todos los datos que posee su empresa, incluyendo detalles actualizados sobre los datos y sus fuentes, y puede estar sujeto a las leyes de privacidad de datos aplicables.
Si se realiza correctamente, el inventario de datos debe indicar dónde se encuentran los datos de su organización de forma segura y cómo se obtuvieron, así como explicar los fines para los que se procesó la información en primer lugar.
¿Cómo debe realizarse un inventario de datos?
Entonces, ¿cómo debe realizarse un inventario de datos? ¿Es mejor adoptar un enfoque de sistemas o de procesos empresariales?
Veamos los posibles pros y contras de ambos métodos para ayudarle a determinar cuál es el mejor enfoque para su empresa.
Enfoque sistémico
Algunas empresas empiezan con un enfoque sistémico, que implica crear una lista de todos los lugares donde se almacenan los datos, como software, bases de datos y unidades de red.
Aunque este enfoque proporciona una visión general de las ubicaciones de almacenamiento de datos, puede quedarse corto desde el punto de vista de la privacidad.
Por ejemplo, para comprender realmente las prácticas de tratamiento de datos, es crucial profundizar en su comprensión:
- Cómo se recogen los datos
- Cómo se utilizan los datos
- Dónde se almacenan los datos
- Con quién se comparten los datos.
Sin embargo, si utiliza un enfoque sistémico, es posible que no pueda determinar la respuesta de su empresa a estas preguntas concretas.
Por eso recomendamos encarecidamente realizar un inventario de datos desde un enfoque de procesos empresariales, que es mucho más exhaustivo y eficaz.
Enfoque del proceso empresarial
Un inventario de datos que utilice un enfoque de procesos empresariales va más allá de la simple enumeración de las ubicaciones de almacenamiento. Va más allá y se centra en comprender las distintas actividades de procesamiento que tienen lugar en su empresa.
Por ejemplo, podría explorar actividades de marketing como:
- Marketing por correo electrónico
- Análisis digital
- Publicidad dirigida
- Encuestas a los clientes
- Seminarios web.
Cada una de estas actividades recoge y utiliza datos personales de forma diferente, aunque estén almacenados en el mismo sistema.
Al realizar el inventario de datos y documentarlo a nivel de procesos empresariales, podrá comprender mejor cómo su empresa recopila y utiliza los datos.
Esta comprensión es especialmente importante a la hora de redactar un aviso de privacidad.
Debemos ser capaces de enumerar los distintos fines para los que se utilizan los datos en nuestro aviso de privacidad, y debemos ser capaces de entender cómo se procesan los datos cuando se atienden solicitudes de derechos individuales.
Evaluaciones de impacto sobre la privacidad
Otra razón por la que recomendamos adoptar un enfoque empresarial es que proporciona los conocimientos necesarios para atender las solicitudes de derechos individuales y determinar cuándo se requiere legalmente una evaluación del impacto sobre la privacidad o una PIA.
Evaluar los riesgos para la privacidad y mitigarlos resulta más fácil cuando se cuenta con los conocimientos adquiridos a partir del inventario de datos.
Este proceso le permite identificar eficazmente las vulnerabilidades potenciales y priorizar sus esfuerzos en materia de privacidad. También puede minimizar la probabilidad de que se produzcan filtraciones de datos y otros incidentes relacionados con la privacidad aplicando salvaguardias y controles específicos.
Cómo pueden beneficiarse las empresas de la creación de un inventario de datos
Las empresas se benefician de la creación de inventarios de datos de varias maneras, como la asistencia en el cumplimiento legal y la creación y el mantenimiento de la confianza de los clientes.
Analicemos en detalle las ventajas específicas a lo largo de la siguiente sección.
Visibilidad y responsabilidad
Un inventario de datos le ofrece una visión clara de todos los datos que circulan por su empresa.
Puede ver de dónde proceden, qué tipo de datos son y cómo se mueven.
Esta mayor visibilidad no sólo le ayuda a comprender los riesgos para la privacidad asociados a cada conjunto de datos, sino que también fomenta una cultura de responsabilidad.
Cuando todo el mundo en su organización conoce la importancia de la gestión responsable de los datos, puede generar confianza con sus clientes y partes interesadas.
Cumplimiento de la normativa
Las leyes de protección de datos establecen directrices estrictas que las empresas deben seguir para recopilar, procesar y utilizar los datos personales de los usuarios.
Un inventario de datos le ayuda a cumplir algunos aspectos de estas leyes.
Por ejemplo, normativas sobre privacidad como el Reglamento General de Protección de Datos (rgpd) y la Ley de Privacidad del Consumidor de California(CCPA) exigen que las empresas tengan un conocimiento exhaustivo de cómo procesan sus datos.
Al cotejar su inventario de datos con estos diversos requisitos normativos, puede identificar posibles áreas de riesgo y rectificarlas de forma proactiva.
Es como tener una brújula que te guía por la jungla de la privacidad.
Generar confianza en el cliente
La confianza del cliente es la piedra angular del éxito de cualquier empresa.
Tiene un valor incalculable, y cuando sus clientes saben que salvaguarda sus datos con cuidado, se sienten más cómodos haciendo negocios con usted.
Al comenzar su programa de privacidad bien estructurado con un inventario de datos, envía un mensaje contundente a sus clientes de que su privacidad es una prioridad absoluta.
Estos mensajes generan fidelidad a largo plazo, creando una situación en la que tanto usted como sus clientes salen ganando.
Optimización de recursos
Comprender y cartografiar sus flujos de datos le proporciona información valiosa sobre el ciclo de vida de los datos y los patrones de uso.
Al centrar sus esfuerzos de protección de datos donde más se necesitan, puede optimizar sus operaciones, asignar recursos de forma más eficiente y minimizar los riesgos.
Ventaja competitiva
Demostrar un compromiso con la privacidad de los datos puede ser un potente elemento diferenciador en el mercado actual, lo que le proporcionará una ventaja competitiva.
Es más probable que los clientes elijan su empresa frente a la competencia si creen que sus datos están en buenas manos.
Si demuestra su compromiso con la privacidad de los datos a través de un programa integral de privacidad, destacará entre la multitud y obtendrá una ventaja competitiva.
Cómo iniciar un inventario de datos
Entonces, ¿cómo documentar o empezar un inventario de datos? Existen varias opciones, cada una con sus pros y sus contras.
Enfoque "hágalo usted mismo
Para un enfoque sencillo y rentable, puede utilizar un método manual, como una hoja de cálculo o un programa similar como:
- Mesa de aire
- Campamento base
- Google Docs
- Hojas de cálculo de Google
- Microsoft Excel
La opción del bricolaje permite empezar fácilmente, pero hay que tener en cuenta algunos contras.
Por un lado, puede tener limitaciones en términos de información.
Y dos, puede llevar mucho tiempo mantener actualizado el inventario, ya que captura datos en un momento concreto.
Utilizar software específico
La siguiente opción, y un paso más allá del enfoque DIY, es utilizar software que utilice evaluaciones en línea para recopilar información durante el proceso de entrevista.
Este enfoque agiliza el proceso, facilita la elaboración de informes y ofrece la flexibilidad necesaria para realizar actualizaciones, como añadir nuevas preguntas u opciones de respuesta.
Implantar un proceso totalmente automatizado
Por último, existe la opción de un proceso totalmente automatizado en el que los sistemas están conectados a herramientas de automatización del inventario de datos.
Estas herramientas pueden extraer los elementos de datos utilizados en cada sistema y estimar cómo podrían procesarse los datos.
Un enfoque totalmente automatizado ofrece una mayor precisión, pero sigue siendo esencial que un experto en privacidad revise y valide el inventario y compruebe lo siguiente:
- Precisión
- Riesgos para la intimidad
- Coherencia lógica (es decir, asegurarse de que lo documentado tiene sentido).
Actualización y auditoría del inventario de datos
Hacer un inventario de datos es sólo el primer paso. También hay que crear un plan continuo para volver a visitar y revisar el inventario de datos en un futuro previsible.
Actualizar y auditar periódicamente el inventario de datos es esencial para mantenerse al tanto de cualquier cambio en el uso de los datos y le ayuda a cumplir la normativa más reciente sobre privacidad.
La frecuencia de las actualizaciones depende del nivel de cambio dentro de su organización.
Una revisión anual o semestral puede ser suficiente para algunas empresas, mientras que otras pueden requerir actualizaciones mensuales.
Un sistema automatizado puede ayudar a establecer una cadencia regular para actualizar los elementos de datos, con miembros del equipo que revisen e identifiquen cualquier riesgo o cambio según sea necesario.
Resumen
Los inventarios de datos son esenciales para crear y aplicar un programa de privacidad eficiente y eficaz para su empresa.
Apoyarse en un inventario de datos para ejecutar un programa de privacidad facilita enormemente el cumplimiento de la legislación aplicable en materia de privacidad de datos.
Pero un programa de privacidad no consiste sólo en cumplir las obligaciones legales. También es el primer paso para generar confianza entre sus clientes.
Si adopta la privacidad de los datos como un valor fundamental y realiza un inventario de datos exhaustivo, podrá establecer una base sólida para generar esa confianza y prosperar como empresa.
Es buena idea empezar hoy mismo.
Más sobre el autor
Escrito por Jodi Daniels, CIPP/US
Jodi Daniels es fundadora y consejera delegada de Red Clover Advisors, una consultoría de privacidad que simplifica el cumplimiento de la privacidad de los datos, ayuda a las empresas a generar confianza entre sus clientes y actúa como responsable de privacidad subcontratado para las organizaciones. Jodi es Profesional Certificada en Privacidad de la Información (CIPP), conferenciante nacional, copresentadora del podcast She Said Privacy / He Said Security, coautora del best seller de Wall Street Journal y USA Today Data Reimagined: Building Trust One Byte at a Time.
Más sobre el autor
