Protección de datos personales: más tiempo para actuar, no para esperar

David Pereira
Gerente general de Inside Security

La propuesta del Gobierno de postergar en un año la entrada en vigencia de la nueva Ley de Protección de Datos Personales ha abierto una discusión comprensible en la industria. Para muchas organizaciones, contar con más tiempo para prepararse es una excelente noticia. Sin embargo, otros actores apuntan a una óptima menos positiva; lo ven como una ventana de tiempo más amplia que deja a la información desprotegida, a pesar de la sensibilidad de su naturaleza.

En este nuevo periodo de “gracia” para la implementación de la ley, creo que la clave es hacer una distinción importante: tener más tiempo para implementar una normativa no es bueno en sí mismos. Todo depende de cómo se aproveche. El peor negocio que podrían hacer las empresas que han avanzado en la materia es detener sus procesos o, incluso, postergar la protección de la información que ya manejan.

El proyecto presentado por el Ejecutivo está en discusión legislativa en el Senado con suma urgencia y debiera entrar en vigencia antes del 1 de diciembre, para lograr activar el atraso a la misma fecha del próximo año. Ahora bien, desde el punto de vista de la ciberseguridad, el desafío no comienza cuando una ley entra en vigencia.

Cada vez más datos personales circulan dentro de las organizaciones, independiente de su tamaño y la naturaleza del negocio. Se recopilan a través de sitios web, procesos comerciales, contratos, plataformas digitales, sistemas internos y servicios externos, entre otros. Muchas veces, el principal problema no es la falta de tecnología para protegerlos, sino el cómo administrarlo: su contenido, dónde está almacenada, para qué se utiliza o quién puede acceder a ella.

La protección de datos requiere revisar procesos que, en algunos casos, llevan años funcionando de manera poco documentada. En este sentido, el desafío pasa más por la gobernanza de los datos que ya existen, antes incluso de levantar estructuras complejas. Debemos comenzar por ordenar lo esencial.

En este punto, la integración con todas las áreas de la organización es decisiva. La protección de la información no puede depender exclusivamente de las áreas de tecnología o ciberseguridad. Quienes trabajan con datos personales –desde frentes tan disímiles como ente comercial, facturación, RRHH– forman parte de esta cadena y necesitan contar con capacitación y criterios claros.

Si finalmente se aprueba la postergación, las organizaciones no deberían interpretarla como una pausa sino como una oportunidad. El regulador da espacio a las compañías para identificar brechas, ordenar procesos, limitar accesos innecesarios y fortalecer controles antes de que las nuevas obligaciones sean plenamente exigibles: o antes de que se conviertan en el sujeto de una vulneración o ataque. En este punto, es importante tener en cuenta que el riesgo no conoce de plazos. Las vulnerabilidades tampoco esperarán a que la ley entre en vigencia. Actuar hoy es la única forma de blindar la confianza que sostiene a cualquier organización.