Uno de los principios fundamentales de casi todas las leyes de privacidad de datos es la obligación de adoptar «medidas razonables» para proteger los datos personales cuando se transmiten, se procesan y se almacenan. Para cumplir con esto necesitas tanto políticas de protección de datos como las tecnologías que las hagan posibles.
Esta guía te ayuda a mejorar tus estrategias de cumplimiento de la CCPA y el RGPD y recoge las tecnologías y herramientas que suelen implantar los equipos de informática interna y los proveedores de servicios gestionados (MSP) de todo el mundo para salvaguardar los datos personales que manejan y cumplir con leyes de privacidad como la Ley de Privacidad del Consumidor de California (CCPA) y el Reglamento General de Protección de Datos (RGPD).
¿Qué es el cumplimiento del RGPD y la CCPA y por qué es necesario?
La CCPA y el RGPD son dos leyes de privacidad distintas que protegen la información personal de los residentes de California y de la Unión Europea, respectivamente. Aunque persiguen un objetivo parecido, presentan diferencias importantes. Eso sí, comparten un requisito común: debes adoptar ciertas medidas para proteger los datos personales, o la información de identificación personal (PII), y el incumplimiento conlleva sanciones severas.
Aunque no tengas sede en la UE, en California ni en ninguna otra región con sus propias leyes de privacidad, o no alcances los umbrales de facturación u otros requisitos que te obligarían a cumplirlas, a menudo sigue siendo beneficioso para las empresas cumplir: muchos marcos de privacidad se aplican en función de dónde se encuentra el titular de los datos protegidos, no de dónde está la empresa que los maneja. Además, no cumplir con las leyes de privacidad puede limitar tu capacidad de trabajar con otras empresas que sí están obligadas a hacerlo.
Por otro lado, contar con las políticas, los procesos y la infraestructura necesarios para cumplir con leyes internacionales de privacidad como la CCPA y el RGPD significa que, cuando sí estés listo para expandirte y crecer, ya lo tendrás todo preparado. Desatender tus responsabilidades en materia de protección de datos también puede dañar la confianza de tus clientes.
¿Qué necesitas para garantizar el cumplimiento del RGPD y la CCPA?
Diseñar las políticas que ayudarán a tu empresa a cumplir con las leyes internacionales de privacidad exige entender cada ley, el entorno legal en el que opera tu empresa y la relación con tus usuarios (incluidos los datos que manejas en su nombre y su conocimiento y consentimiento sobre el uso que haces de ellos). En general, estas políticas abarcarán aspectos como la clasificación, la conservación y el acceso a los datos.
Una vez creadas las políticas que responden a los requisitos legales aplicables, los administradores de TI y los proveedores de servicios gestionados son quienes están en mejor posición para aplicarlas y hacerlas cumplir, porque son los que mejor entienden dónde y cómo se usan esos datos. Para ello hay que elegir herramientas de TI con funciones que faciliten el cumplimiento, asegurarse de que ese software está bien configurado, formar al personal sobre sus propias responsabilidades y vigilar posibles filtraciones de datos o conductas indebidas.
La clave de todo esto es la visibilidad: tienes que saber dónde se encuentran todos los datos relacionados con un titular (ya estén on-premises, en el cloud o guardados en una copia de seguridad), para poder recuperarlos, eliminarlos, corregirlos o tratarlos de cualquier otra forma conforme a las leyes de privacidad de su región.
Categorías tecnológicas básicas para el cumplimiento en privacidad
Hacer todo esto en varias jurisdicciones y con distintos tipos de datos personales (especialmente cuando hay datos de salud de por medio) se convierte rápidamente en un reto técnico complejo, sobre todo para los MSP que atienden a clientes que operan en mercados distintos y que, a su vez, pueden tener una base de clientes global.
Estas son las categorías tecnológicas básicas que se implantan para responder a unos requisitos en constante evolución:
- Descubrimiento y clasificación de datos: para localizar y categorizar los datos personales en distintos entornos, como el almacenamiento on-premises y en el cloud, y en diferentes plataformas SaaS
- Gestión de accesos (IAM/MFA): aplica restricciones basadas en la identidad para limitar el acceso a los datos únicamente a quienes los necesitan para desempeñar su puesto
- Prevención de pérdida de datos (DLP): impide que se compartan, transfieran o expongan datos privados sin autorización
- Cifrado y gestión de claves: protege los datos en reposo y en tránsito con un manejo de claves listo para auditorías
- Gestión del consentimiento y las preferencias: registra las aceptaciones y rechazos del usuario, así como el historial de consentimiento, con fines de transparencia y auditoría
- Registro de auditoría e informes: aporta trazabilidad de los accesos, los cambios y las solicitudes de datos de los usuarios
- Automatización de las solicitudes de los titulares (DSR/SAR): ayuda a atender las solicitudes de acceso, eliminación y rectificación de los titulares dentro de los plazos legales
Es tu responsabilidad investigar e implantar herramientas que cubran las necesidades de tu empresa y tus obligaciones legales. Esto suele implicar combinar productos de distintos proveedores (después de realizar una evaluación de riesgos de proveedores y firmar los acuerdos de protección de datos correspondientes) para lograr una solución rentable y hecha a medida que se integre con tus herramientas y procesos de negocio actuales.
Descubrimiento y clasificación de datos
Para garantizar que todos los datos privados están protegidos y, además, poder encontrar todas las copias de los datos de un titular cuando solicite acceder a ellos o actualizarlos, esos datos tienen que ser localizables. Pueden estar en recursos compartidos de red, en correos electrónicos, en bases de datos y en plataformas SaaS (como CRM o tiendas online).
Mantener el control de todo ello exige documentar cómo y dónde se usan los datos, además de usar herramientas de descubrimiento y clasificación capaces de buscar identificadores (como nombres, direcciones o números de documentos oficiales), etiquetar y clasificar los datos según su finalidad y sensibilidad, e integrarse con herramientas de prevención de pérdida de datos.
Entre las herramientas de este tipo están Microsoft Purview, OneTrust, BigID y Varonis.
Un requisito del RGPD, y una recomendación de la CCPA, es la minimización de datos: almacenar solo los datos imprescindibles para la actividad consentida reduce el volumen de información que tienes que proteger. La anonimización y la pseudonimización también reducen los riesgos derivados de la sensibilidad de los datos.
Gestión de identidades y accesos (IAM)
La IAM abarca los mecanismos de autenticación (quién es alguien) y autorización (qué puede ver o hacer) para acceder a tu infraestructura de TI y a los datos sensibles que contiene. La IAM debería integrarse con tu conjunto de herramientas de TI para ofrecer control de acceso basado en roles (RBAC), autenticación multifactor (MFA) y gestión del ciclo de vida del usuario (aprovisionar y desaprovisionar usuarios cuando entran, salen o cambian de puesto) en tu infraestructura local y en el cloud.
Entre las herramientas más populares de esta categoría están Microsoft Entra ID (antes Azure AD), Okta y Ping Identity.
El zero trust y el principio del mínimo privilegio (PoLP) son conceptos importantes que conviene tener en cuenta al elegir e implantar tu solución de IAM.
Prevención de pérdida de datos (DLP)
Las plataformas DLP evitan que los datos protegidos salgan del control de tu organización, con tareas como inspeccionar el correo saliente, las transferencias de archivos y la actividad en el cloud en busca de posibles filtraciones. Si se detecta una posible fuga, la actividad puede bloquearse automáticamente y se avisa a los responsables para que tomen medidas.
Microsoft Purview Data Loss Prevention, Forcepoint, Symantec DLP y Proofpoint son plataformas DLP muy utilizadas.
Los calendarios de conservación de datos permiten forzar la eliminación automática cuando termina el ciclo de vida de la información, lo que reduce el volumen de datos que podrían filtrarse y que la DLP tiene que vigilar.
Cifrado y gestión de claves
Los datos cifrados de forma segura no puede leerlos nadie que no tenga la clave, por lo que el cifrado es imprescindible en cualquier estrategia eficaz de protección de datos. Resulta especialmente relevante para los datos almacenados en el cloud, ya que te permite seguir controlando quién puede leerlos.
En la práctica, las leyes de privacidad exigen que los datos estén cifrados en reposo (es decir, cuando se guardan en un disco duro) y en tránsito (es decir, cuando se envían de un dispositivo a otro, por ejemplo de tu almacenamiento on-premises a un almacenamiento en el cloud). Para ello hay varios requisitos técnicos, entre ellos el cifrado TLS y AES, compatibles con muchas soluciones de almacenamiento y red.
Los datos cifrados son tan seguros como los secretos que los protegen, así que es habitual desplegar herramientas como AWS KMS, Azure Key Vault y Thales CipherTrust para la gestión de claves.
Usar herramientas de gestión de claves facilita rotarlas con regularidad sin interrumpir el servicio, lo que ayuda a protegerte frente a filtraciones de datos.
Gestión del consentimiento y las preferencias
Los usuarios necesitan un mecanismo para dar su consentimiento a que tu empresa recopile y use sus datos, y ese consentimiento debe quedar registrado a efectos de cumplimiento.
Esto suele implicar una interfaz de usuario para aceptar o rechazar actividades de tratamiento de datos, y servicios de back-end que capturan y registran ese consentimiento. Normalmente se presenta en forma de los conocidos banners de cookies, ventanas de consentimiento de marketing y controles de privacidad en los perfiles de usuario.
Aunque esta funcionalidad se implementa a menudo de forma manual, plataformas como TrustArc, Cookiebot y OneTrust CMP la ofrecen como servicio, sin necesidad de un gran trabajo de desarrollo y manteniéndola actualizada conforme cambian las leyes.
Automatización de las solicitudes de derechos de los titulares (DSR/SAR)
Con el RGPD y la CCPA, los usuarios tienen derecho a saber qué datos tienes sobre ellos y a pedirte que los actualices o los elimines de todos tus sistemas (incluso si están almacenados en varias ubicaciones y, en algunos casos, en copias de seguridad históricas).
La automatización de DSR/SAR puede buscar en todos los sistemas para localizar los datos de un titular y ayudarte a responder dentro del plazo legal (30 días para el RGPD, 45 días para la CCPA). Las solicitudes y sus resultados pueden registrarse para demostrar el cumplimiento y auditar las respuestas automatizadas.
DataGrail, OneTrust y Microsoft Purview Compliance Manager pueden cumplir esta función.
Registros, informes y pistas de auditoría
Debes documentar tu cumplimiento mediante documentación y registros de auditoría para poder demostrar que has implantado las medidas técnicas y de proceso necesarias para proteger los datos. También tienes que documentar cualquier posible filtración y asegurarte de que los usuarios que solicitan acceder a sus datos o corregirlos han recibido una respuesta adecuada.
Las herramientas para documentar esta actividad deberían poder registrar quién ha accedido a los datos protegidos, detectar cambios de configuración y generar informes sobre las respuestas a DSR, los incidentes de DLP y el consentimiento de los usuarios. Además, puede ser necesario someter ciertos datos (como los correos electrónicos) a retención legal o conservarlos para investigaciones si así se notifica.
Entre las herramientas para estas tareas de informes están Splunk, Microsoft Defender for Cloud, Elastic SIEM y AuditBoard. Muchas plataformas y herramientas también incorporan sus propias funciones configurables de conservación de datos y registro (por ejemplo, las retenciones por litigio en proveedores de correo en el cloud, que impiden que los mensajes se eliminen de forma permanente).
El cumplimiento empieza por tus herramientas de gestión de TI
Aunque la elección de herramientas es clave, adoptar una sola herramienta no te hará cumplir de inmediato con la CCPA, el RGPD ni ninguna otra ley de privacidad. Lo mejor es comparar opciones y elegir las que tengan funciones que respondan directamente a las necesidades de tus usuarios y a las políticas que crees para cubrirlas.
Así reducirás la carga de trabajo de tus equipos de TI y te asegurarás de estar preparado para crecer en nuevos territorios o para la aparición de nuevas leyes en los mercados en los que ya operas.
NinjaOne ofrece un conjunto de herramientas de gestión de TI que cumplen con el RGPD y la CCPA como parte de una plataforma MSP completa que incluye acceso remoto, copia de seguridad, gestión de endpoints y de dispositivos móviles, y portales de soporte. También cumplimos con HIPAA, ISO27001, NIS2 y otros marcos emergentes de privacidad y seguridad de datos, y mantenemos nuestras plataformas al día con cada nuevo requisito a medida que cambian las leyes: aquí puedes consultar nuestra visión general completa de cumplimiento y confianza.
Si eres responsable de la seguridad de PII o de otra información confidencial de tu empresa, ponte en contacto con NinjaOne para hablar de cómo podemos ayudarte a que tus operaciones de TI cumplan la normativa.
