GDPR: una ley para proteger a las personas

Y si no hubiera sanciones, ¿deberíamos cumplir con el GDPR?

Durante los últimos meses estamos leyendo a diario noticias sobre la entrada en aplicación el día 25 de mayo del Reglamento Europeo de Protección de Datos (GDPR por sus siglas en inglés) y las millonarias sanciones a las que las organizaciones pueden verse expuestas en el caso de que no cumplan con el mismo. Esta razón económica está siendo la principal motivación de las empresas para adecuar sus procesos y sistemas tecnológicos.

Sin embargo, yo me hago la siguiente pregunta: si nos encontrásemos en un universo utópico en el cual no existieran ni el GDPR ni la LOPD, ¿les interesaría a las empresas proteger los datos de carácter personal?

Tras múltiples años de experiencia asesorando a organizaciones, de diversa índole y envergadura, sobre el cumplimiento de la Ley Orgánica de Protección de Datos, me he dado cuenta de que la mayoría no contempla la protección de los mismos como un elemento que les aporte valor. Ven la protección de datos personales como unos trámites a realizar que suponen más un obstáculo y un gasto para la compañía que una oportunidad de mejorar la seguridad interna y, derivado de ello, la imagen que la empresa proyecta al exterior.

Por ejemplo, se presta en ocasiones más atención (y muchísimas veces de manera totalmente justificada) a la protección de información interna sobre proyectos o ficheros de facturación.

GDPR desde el punto de vista de la persona

Ahora quitémonos el traje y la corbata de empresario y veamos esto desde el prisma de lo que somos todos los lectores de este post: personas. Hagámonos alguna de estas preguntas:

• ¿Me gustaría que mis compañeros pudiesen acceder a mis datos salariales por una falta de permisos en el acceso a los mismos?
• ¿Qué pasaría si me ingresan de urgencias en el hospital y no tienen mi historial clínico con las sustancias a las que soy alérgico debido a que tienen los sistemas caídos?
• ¿Y si alguien no autorizado modifica mi expediente académico y no estamos guardando registro del mismo?
• ¿Estoy cómodo si me bombardean a llamadas telefónicas ofreciéndome servicios sin haber dado yo mis datos de contacto?
• ¿Qué ocurriría si se filtrasen todas las ubicaciones geográficas donde yo he estado los últimos meses que estaba almacenando mi teléfono móvil?

No son preguntas descabelladas y, en mayor o menor grado, nos pueden preocupar a todos. Algunas ponen en peligro nuestra intimidad, nuestros logros e incluso, en ejemplos extremos, nuestra integridad como personas. Por razones como éstas es por lo que las empresas deberían preocuparse en cumplir con el GDPR.

Volviendo a la reflexión inicial, ¿qué razones podrían llevar a una empresa a implantar medidas de seguridad para proteger los datos si no es estrictamente necesario? Principalmente, la imagen.

Una pérdida reputacional, por una incidencia como las que he nombrado anteriormente, puede ser muchísimo peor que una multa y llegar a ser incluso el fin de esa empresa. Ganar la confianza de los clientes es vital y llegar a recuperar un cliente perdido puede suponer años de esfuerzos increíbles.

Por lo tanto, no tengamos miedo a invertir en seguridad, siempre nos va a aportar mejoras. Y la seguridad no se ciñe únicamente a medidas técnicas de salvaguarda de los datos, sino también a la implantación de políticas de seguridad, procesos y procedimientos que permitan a todo el personal de la organización proteger los datos de la manera más adecuada.

Después de este alegato, y siguiendo en el universo utópico que hemos planteado, volved a formularos la pregunta inicial. Y os dejo poneros de nuevo el traje y la corbata de empresarios, pero recordad lo que hay debajo de vuestro atuendo, y poneos en la piel de la persona: “Y si no hubiera sanciones, ¿debería también cumplir con el GDPR?”

Si queréis obtener información actualizada sobre la nueva ley y las medidas para cumplir con ella, podéis descargaros la grabación del último webinar Usa Microsoft Office 365 y Azure para cumplir con el GDPR.

Más información sobre servicios y consultoría en www.efor.es/gdpr

Artículo redactado por Miguel Ibáñez