Activos de información valiosísimos, eso son los datos personales. La ley chilena N° 21719 los define como cualquier información vinculada o referida a una persona natural identificada o identificable. Estos datos podrían ser: el nombre; el número de cédula de identidad; y los derivados del análisis de elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. 

Por otro lado, los datos sensibles se refieren  – de acuerdo con la ley citada – a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural. En el mundo organizacional se hace esta distinción para definir controles que prioricen y protejan cada una. Así se asignan recursos y levantan defensas. Pese a que es una tarea de gran envergadura, las empresas no están solas en la labor de salvaguardar la información, cuentan con estándares como ISO/IEC 27701 – Sistemas de gestión de la privacidad, una norma que se enfoca en mostrar responsabilidad, gestionar los riesgos relacionados con la información personal identificable (PII) y mejorar continuamente sus prácticas de privacidad.

Es mejor no escatimar

¿Es necesario leer las normas de la familia ISO/IEC 27000? ¿De verdad vale la pena implementar un sistema de gestión basado en ISO/IEC 27001? ¿Se justifican los esfuerzos hechos por proteger los datos personales? En GACS estamos seguros de que sí. Lo más valioso que tenemos como individuos es nuestra identidad. Los datos personales son partes de la propiedad individual con la que se pueden llevar a cabo distintas transacciones, ejecutar acciones, acceder a permisos…  La identidad, incluso, está consagrada como Derecho Humano. Entregar los datos relacionados con ella para comprar, acceder a bienes y servicios, entre otros, solo es seguro cuando el responsable garantiza la confidencialidad, disponibilidad e integridad de la información. 

Si en la organización un colaborador se equivoca, la organización omite controles o su gestión de riesgos es deficiente, las consecuencias pueden ser devastadoras. Hablamos de:

• Daño reputacional: Muchas veces puede ser irreparable. Es muy difícil construir la confianza, pero perderla requiere solo segundos. Si una empresa pierde los datos de sus clientes, puede enfrentar un éxodo masivo de usuarios hacia la competencia.
• Sanciones legales y multas altas: Las leyes no avanzan tan rápido como la tecnología, pero ya hay esfuerzos importantes para resguardar la protección de datos (GDPR en Europa, LGTDP en México, PIPEDA en Canadá, LGPD en Brasil, entre otros). Estas regulaciones van de la mano de sanciones y multas, algunas de estas ascienden a montos tan altos que son capaces de comprometer la viabilidad financiera de la empresa.
• Suplantación de identidad y fraude: al acceder a los datos personales, los cibercriminales disponen de numerosas opciones para perjudicar a la organización.  Algunas posibilidades son las estafas bancarias o creación de perfiles falsos que pueden destruir la vida financiera y personal de los afectados.
• Extorsión: La vida está llena de espacios privados. Si un atacante accede a esta información es posible recibir amenazas relacionadas con la exposición pública de los datos, si no se paga el rescate que designe el extorsionador. De esta forma la organización puede entrar en una espiral de perjuicios y daños graves. 
• Interrupción de la continuidad del negocio: Una fuga o incidente relacionada con datos suele interrumpir las operaciones durante días o semanas, lo que genera pérdidas operativas masivas.

¿Cómo proteger la información personal?

El primer paso es ser conscientes de lo relevante que es la información y compartirla lo menos posible. Es decir, entregar solo los datos necesarios. Antes de dar información preguntémonos: ¿para adquirir este producto o servicio hace falta ceder los datos que piden? Entre menos datos facilitemos, menos riesgos corremos. Esto aplica para comprar o adquirir suscripciones, entre otros… La segunda acción pasa por proteger los accesos digitales al utilizar contraseñas fuertes y variadas en cada servicio. Es conveniente preferir servicios que contengan doble factor de autenticación. Además, recomendamos no compartir las contraseñas ni las técnicas para crear claves (combinación del nombre con el nombre de mi mascota y alguna fecha especial, por ejemplo). Y, por último, es importante mantenerse informado sobre cuánto tiempo las organizaciones conservarán los datos entregados, si los usarán terceros… Y si los motivos para dar los datos no son claros, es mejor no entregarlos, el usuario necesita saber las condiciones y consecuencias del manejo de datos. Al final de cuentas, esta información es una extensión de nuestra identidad y protegerla es una obligación de toda empresa transparente y ética.