Día Europeo de la Protección de Datos: casi 40 años de evolución de salvaguarda de la información

Hoy, 28 de enero, es el Día Europeo de la Protección de Datos, una fecha que se comenzó a celebrar en 2007 para conmemorar que justo hoy hace casi 40 años, 39 para ser exactos, se firmó el convenio encargado de la regulación de la protección de datos personales. Las medidas que se encargan de esta protección no han permanecido inalterables desde entonces, sino que han experimentado grandes cambios. De ellos, quizá el mayor y también el más reciente, es la entrada en vigor de la RGPD, que supuso un cambio drástico para las empresas en materia de almacenamiento y protección de datos de sus clientes y usuarios.

A lo largo de estos años, el compromiso de empresas y entidades con la privacidad ha evolucionado de manera notable, según apuntan desde Entelgy. Sobre todo, gracias a la tecnología, en los últimos años. La llegada de los smartphones, del Internet de las Cosas, de la Inteligencia Artificial o del machine learning ha facilitado a empresas, pero también a lo delincuentes online, acceso a gran cantidad de información personal. Esto ha llevado a abusos en muchas ocasiones, contra lo que las autoridades han estado un tiempo luchando.

Precisamente para combatirlo llegó la RGPD, el Reglamento General de Protección de Datos, que está vigente para todos los países miembros de la Unión Europea desde hace casi dos años. En España, además, también entró en vigor la Ley de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). En ella están los nuevos derechos digitales que tenemos los ciudadanos ty entidades.

Todas estas medidas son beneficiosas y de obligada implantación. Las empresas han contado con bastante tiempo para su implementación, pero hay muchas organizaciones y compañías que a pesar de todo tienen todavía dificultades para cumplir las normas. Las que presentan carencias en el cumplimiento de la normativa de protección de datos personales las tienen sobre todo en cuatro aspectos:

• Uso de cookies: creadas en 1994, las empresas llevan prácticamente desde entonces utilizándolas para conseguir datos e información de los usuarios, identificarlos y almacenar su historial de actividad en una web. Varias leyes han querido regular la manera en que se recogen los datos a través de las cookies. Pero no ha sido hasta la entrada en vigor de la RGPD cuando las empresas han sido conscientes de los procedimientos que debían cumplir. Al menos, de la mayoría, y aún así, no lo han interiorizado. ¿La consecuencia? Según un estudio de la Universidad de Cornell, en EEUU sólo el 11,8% de las webs que analizaron empleaban técnicas que cumplen con los requisitos de la RGPD. En el caso de España, un año después de la entrada en vigor de la RGPD, solo el 14% habían adaptado el uso de cookies a la normativa.
• Nuevas amenazas: la tecnología evoluciona casi al mismo tiempo que las amenazas online y los sistemas de los atacantes para conseguir información personal de la que sacar partido. Por eso hay que tener actualizados los sistemas de defensa y estar atentos ante las novedades que pueda haber en seguridad. Por propia protección, y en el caso de las empresas porque si trabajan con un sistema operativo que no está actualizado, incumplen la RGPD.
• Dificultades para ejercer los derechos ante las empresa: si un consumidor quiere ejercer sus derechos ante una empresa en cuanto al uso de sus datos, no siempre recibe respuesta en el tiempo establecido por la ley. Según una investigación de hace un tiempo, el 70% de compañías de todo el mundo no contestan a los que piden el ejercicio de sus derechos. Un año después, se repitió el estudio, y las cifras seguían siendo bastante mejorables: solo el 42% de las empresas encuestadas cumplía con los plazos en cuestión.
• No tienen política de privacidad interna: no solo hay que tener controlada la recopilación de datos para hacer que cumpla la normativa. También es importante definir el uso que se va a hacer de la información. Si una empresa usa datos para fines no permitidos incluso en el seno de la compañía, puede ser sancionada.

Pero las empresas no solo utilizan los medios digitales para obtener información de los consumidores. También siguen utilizando el teléfono. En ocasiones, con métodos poco ortodoxos. Aunque el teléfono sirve para comunicarse con empresas, recibir información o contactar con el servicio técnico, pero también se han dado casos de fraude telefónico. Para evitarlo, según masvoz, hay varias medidas que los consumidores pueden tomar. Por ejemplo, evitar las llamadas con numeración sospechosa, como las que tienen prefijos internacionales. O no devolver llamadas de desconocidos, sobre todo si la numeración es extraña.

También es aconsejable comprobar siempre el origen de la llamada al recibir una comercial. Es decir, verificar que quien llama es quien dice ser. Si se es cliente, la empresa puede tener ya acceso a ciertos datos, por lo que basta con preguntar por algunos que la compañía debería conocer, con el objetivo de comprobar su identidad. Si no somos clientes, es aconsejable pedir el nombre completo y el teléfono de quien llama, o contactar con la empresa por otro medio, como un teléfono de atención al cliente o redes sociales, para confirmar que son ellos quienes llaman.

En cualquier caso, nunca hay que compartir datos sensibles. Así, el banco o la compañía telefónica no llama por teléfono para comprobar datos. Sobre todo en el caso de las contraseñas de acceso a cuentas de clientes. Online también hay que proteger los datos, para lo que podemos tomar diversas medidas. Para empezar, comprobar si nuestro correo electrónico ha sido robado en la web haveibeenpwned.com y si está en él, tomar medidas y cambiar las contraseñas correspondientes.

Además, es importante contar con software de seguridad actualizado y utilizar una contraseña distinta, y robusta, para cada cuenta. En caso de que sea posible, utilizar el sistema de autenticación en dos pasos, y solo conexiones wifi de confianza. No hay que olvidarse de hacer copias de seguridad con frecuencia ni de actualizar el sistema operativo y las aplicaciones en cuanto sea posible.

Pero también las empresas deben revisar sus políticas de protección de datos y comprobar si hacen lo suficiente para mantener seguros los datos de sus clientes. Según Adenike Cosgrove, Estratega de Ciberseguridad de Proofpoint, «Mientras que las leyes y regulaciones sobre protección de datos, como el Reglamento General de Protección de Datos de la UE, han ayudado a incluirlo en las principales agendas y han obligado a las organizaciones a pensar de forma diferente sobre cómo mantener los datos seguros, éste es sólo el punto de partida. El hecho de que una empresa cumpla con la normativa no significa necesariamente que esté haciendo todo lo posible para proteger los datos personales de sus clientes.».

Cosgrove también recuerda que no queda clara la definición de protección de datos adecuada en la RGPD, por lo que esto queda un poco al libre albedrío de las empresas. Así, «una organización podría argumentar que implementar una protección antivirus básica y formar al personal en materia de protección de datos es lo ‘adecuado’. Esto puede ser técnicamente conforme a la normativa, pero ¿es realmente suficiente para mantener los datos personales de los consumidores, clientes y proveedores a salvo de ataques maliciosos y filtraciones de datos? El panorama actual de las ciberamenazas ha cambiado drásticamente, y los ciberdelincuentes utilizan ataques sofisticados y selectivos basados en ingeniería social para sacar provecho de las vulnerabilidades humanas. Una seguridad simplemente «adecuada» no es suficiente. La defensa contra estas amenazas requiere de una estrategia igualmente sofisticada para la dotar de seguridad permanente a las personas, los procesos y la tecnología».