No dejemos que la COVID-19 haga descarrilar dos años de esfuerzos del RGPD

El Reglamento General de Protección de Datos (RGPD) obligó a que cualquier organización que hiciera negocios con los ciudadanos europeos implementara para mayo de 2018, toda una batería de medidas. Impulsadas por la nueva legislación, organizaciones de todo el mundo y no solo europeas, pasaran por el doloroso y a veces costoso ejercicio de garantizar contar con una visión integral de la información personal y, lo que es más importante, pusieran en práctica herramientas para procesar y almacenar esos datos de forma segura.

Al cumplirse los primeros dos años, las organizaciones se enfrentan a una nueva tarea: tener que revisar sus esfuerzos iniciales. ¿Por qué? Las normas de confinamiento, impuestas por numerosos gobiernos para frenar contagios, han obligado a una parte importante de las plantillas de las empresas a trabajar desde sus domicilios.

Aquellas organizaciones que ya contaban con procesos y políticas establecidos para el trabajo en remoto, sienten que ya ha hecho su trabajo. Están en la envidiable posición de simplemente hacer que esas políticas y normas se utilicen por toda su plantilla de trabajadores a distancia. Sin embargo, aquellas que cuentan con una fuerza de trabajo exclusivamente presencial o con una fuerza de trabajo en remoto limitada, pueden tener ahora que hacer públicos los registros de sus actividades de procesamiento de datos, así como sus evaluaciones de impacto de la protección de datos (DPIA) para ver cómo el trabajo desde casa afecta o cambia su nivel de riesgo.

La diligencia debida es un elemento esencial para el cumplimiento del RGPD. Es fundamental evaluar las diferentes infraestructuras y sistemas que utiliza la plantilla cuando trabaja desde casa, para comprender si los datos sensibles fluyen sin protección a través de las redes. ¿Se procesan estos datos de manera diferente a cuando el personal trabaja en las instalaciones de la empresa?

Es responsabilidad de cada organización asegurarse de que se aplican los controles adecuados cuando se accede o se procesa información personal desde un entorno doméstico, tal y como ya se hacía con los empleados en la oficina. Dado que la DPIA tiene que identificar y analizar la forma en que la privacidad de los datos puede verse afectada por las diferentes acciones o actividades cuando se trabaja desde el hogar, las empresas están obligadas a garantizar que se apliquen los controles adecuados en función de la sensibilidad de esos datos.

La privacidad de los datos y el trabajo desde el hogar

Cuando las organizaciones se enfrentaron por primera vez a un nuevo conjunto de normas de privacidad y seguridad de datos, muchas necesitaron implementar con rapidez herramientas de seguridad de última generación para mantener la seguridad de los datos. Hace dos años, el foco de ese ejercicio inicial se limitaba muy probablemente a los límites de las empresas. Mantener protegidos los datos confidenciales mientras se trabaja desde casa, está demostrando ser todo un reto que puede introducir riesgos adicionales para los datos confidenciales.

Con la crisis mundial de COVID-19, que en muchos países como España ha obligado a todos los integrantes de un mismo domicilio a permanecer recluido siempre que sea posible, hay que evaluar cada entorno individual. ¿Cómo es el puesto de trabajo cuando se trabaja desde casa? ¿Hay disponibilidad de una especie de oficina física? ¿Hay un armario u otro lugar que pueda cerrarse con llave para garantizar la privacidad de los datos y los dispositivos?

Y lo que es más importante para las familias con niños, ¿el dispositivo técnico utilizado para el trabajo se emplea exclusivamente para fines laborales o los niños pasan tiempo en él? Es muy lógico que la familia pueda utilizar el ordenador portátil corporativo de vez en cuando, aunque solo sea para tener un poco de paz y tranquilidad, o para navegar de forma informal y privada. Por otra parte, los problemas de seguridad también pueden presentarse de forma inversa, cuando para el trabajo se utiliza un dispositivo privado que puede no estar debidamente equipado con herramientas de seguridad.

Gracias a la tecnología actual, no hay lugar a dudas de que los empleados pueden ser productivos mientras se encuentran fuera de la oficina. Sin embargo, las organizaciones deben asegurarse de que sus empleados en un entorno de trabajo privado, mantienen los datos a los que acceden y procesan con la misma seguridad que en una oficina corporativa. Por ello, las organizaciones tienen que revisar su postura de seguridad para proporcionar una experiencia de trabajo en remoto segura que evite las filtraciones de datos.

No sólo deben hacer frente a las vulnerabilidades de sus propias redes y al almacenamiento físico de datos, sino que se enfrentarán al hecho de que la mayoría de los trabajadores remotos tendrán que transferir datos entre la red corporativa, la nube y el portátil personal. Para proteger los datos personales en tránsito de un lugar a otro, el RGPD sugiere el cifrado para proteger la privacidad y la seguridad, así como para evitar la filtraciones.

La gestión de los datos en la nueva normalidad – lo que sea que esto signifique

Las organizaciones deben entender que revisar el cumplimiento del RGPD puede no es un esfuerzo inútil. A medida que vayamos emergiendo de la pandemia mundial, lo previsible es que el trabajo desde casa se convierta en la nueva normalidad y la idea de una fuerza de trabajo remota ha llegado sin duda alguna para quedarse se consolide. Incluso si un gran porcentaje de los empleados regresa a la oficina, éstos van a poder disfrutar más que nunca, de ahora en adelante, de la flexibilidad de trabajar a distancia.

Si bien el cumplimiento de la normativa del RGPD se centra en la protección de la privacidad, desde Zscaler aconsejamos que las organizaciones mantengan el control de sus datos personales y sensibles independientemente del entorno de trabajo. Una política de trabajo en remoto es imprescindible para gestionar los datos y mantenerlos seguros mientras hacemos la transición hacia una nueva situación de momento desconocida.

Firmado: Miguel Ángel Martos, Sales Director, Iberia e Italia de