GDPR: ¿Cómo tratar bien los datos personales?

La entrada en vigor del Reglamento General de Protección de Datos fue el hilo inspirador para Hewlett Packard Enterprise, que se ha puesto manos a la obra para crear un marco de trabajo que ayude a las organizaciones a adaptarse a las nuevas exigencias de seguridad europeas. Uno de los principales implicados en esta tarea es Filipe Ribeiro, EMEA Director Security and Information Governance de HPE, quien considera que “va a ser un año duro y va a ser muy complicado para las empresas poder llegar al 25 de mayo de 2018 totalmente adaptadas”.

Por su experiencia, Ribeiro está convencido de que no es posible hacerlo todo, pero sí una parte: “Como dice un dicho portugués, un elefante no se puede comer entero, sino a trozos”. Lo más perentorio es mirar la información sensible (datos de clientes y empleados) y protegerla. Para el experto es importante tener un plan y ejecutarlo, poniendo como prioridad las aplicaciones críticas. El directivo también detecta contradicciones entre el GDPR y, por ejemplo, las exigencias legales que obligan a las compañías a guardar las facturas de sus clientes por un periodo de tiempo determinado, lo cual choca con el derecho al olvido que impone la nueva directiva. En cualquier caso, su implantación no es una “simple operación bikini”, como expresa gráficamente, sino “una nueva forma de tratar los datos personales de aquí al futuro”.

Frente a la preocupación general en lo referido a las onerosas multas que se van a imponer, Ribeiro prefiere valorar los aspectos positivos: “Una operadora europea ha sufrido una brecha de seguridad que le ha supuesto una sanción de 400.000 libras. Sin embargo arreglar el desaguisado le ha supuesto unos 42 millones de libras. La multa ha resultado irrelevante en comparación con los gastos que han conllevado las malas prácticas”. Un CIO de una empresa de seguros europea reconocía que tenían almacenados 25 años de información dentro de sus sistemas y que no tenía la más remota idea de qué datos contenía. “Desde HPE ayudamos a estructurar y gobernar la información dentro de las organizaciones, si se reduce la información, los sistemas rinden más, se mejoran las búsquedas y se reducen los gastos de CPD y de storage. Todo ello se traduce en eficiencia operacional”.

Otro aspecto positivo que destaca Ribeiro es la transparencia, “una empresa nórdica se mostraba satisfecha porque en su web han puesto un mensaje explicando que gestionan los datos de una manera efectiva y han tenido una buena respuesta por parte de sus consumidores. Una buena gestión de los datos puede ser un elemento diferenciador y una ventaja competitiva”. Otro aspecto crucial del GDPR es la exigencia de un Director de Protección de Datos, figura que debe reunir conocimientos jurídicos y técnicos, una mezcla de abogado y tecnólogo. Pero, ¿quién es el responsable del proyecto?: “Por nuestra experiencia para construir ese plan que requiere la compañía deben participar tanto el CISO, el CIO, el director de Seguridad y Operaciones, el CDO, el departamento de Legal y el propio DPO”.