Durante años, buena parte de la conversación sobre protección de datos ha girado alrededor del cumplimiento.
Y era lógico que así fuera. La consolidación de un marco normativo exigente, especialmente a partir del Reglamento General de Protección de Datos, obligó a empresas, administraciones y organizaciones de todo tipo a revisar procedimientos que hasta entonces habían recibido una atención muy desigual. Había que identificar tratamientos, determinar sus bases jurídicas, revisar cláusulas, regular las relaciones con encargados, establecer procedimientos para el ejercicio de derechos, analizar riesgos y ser capaces, además, de acreditar que todo ese trabajo se había realizado.
El resultado ha sido una indudable profesionalización de la protección de datos. Pero también ha producido una cierta identificación entre protección de datos y gestión documental.
En demasiadas organizaciones, la pregunta «¿cómo estamos en protección de datos?» sigue conduciendo casi automáticamente a otra: «¿tenemos los documentos?».
La documentación es necesaria. El problema empieza cuando creemos que es suficiente.
El mapa no es el territorio
Una organización puede disponer de un registro de actividades de tratamiento perfectamente elaborado, contratos de encargado, cláusulas informativas, políticas internas y procedimientos para atender el ejercicio de derechos y encontrarse, sin embargo, bastante desorientada ante muchos de los problemas de privacidad que surgen en su actividad cotidiana.
¿Qué ocurre cuando un trabajador comienza a utilizar una herramienta de inteligencia artificial con información de clientes?
¿Puede Marketing incorporar una determinada plataforma a una campaña?
¿Qué información puede compartirse con un nuevo proveedor?
¿Hasta dónde puede llegar la empresa en el control de los dispositivos utilizados por sus trabajadores?
¿Qué hacemos cuando alguien ejerce un derecho de acceso en mitad de un conflicto laboral o comercial?
¿Y cuando descubrimos que una aplicación que llevamos meses utilizando trata los datos de una forma que nadie se había detenido realmente a analizar?
Ninguna de estas situaciones se resuelve preguntando simplemente dónde está la carpeta del RGPD.
Precisamente porque la protección de datos funciona, en la práctica, de una manera bastante menos ordenada que nuestros documentos.
Las organizaciones toman decisiones. Contratan herramientas. Cambian proveedores. Incorporan trabajadores. Lanzan campañas. Automatizan procesos. Reciben reclamaciones. Sufren incidentes. Empiezan a utilizar tecnologías que seis meses antes ni siquiera formaban parte de su actividad.
El tratamiento de datos ocurre dentro de todas esas decisiones.
Y ahí es donde debe estar también el Derecho.
Del cumplimiento a la decisión
Quizá haya llegado el momento de hablar de una protección de datos «post cumplimiento».
La expresión puede resultar deliberadamente provocadora. No significa, por supuesto, que el cumplimiento haya dejado de importar. Tampoco que podamos prescindir de las obligaciones documentales o de los mecanismos de responsabilidad proactiva que establece el RGPD.
Significa exactamente lo contrario: asumirlos como presupuesto y preguntarnos qué viene después.
Porque una organización no protege realmente los datos personales por disponer de una documentación jurídicamente correcta. Los protege cuando es capaz de incorporar criterios de privacidad a las decisiones en las que esos datos intervienen.
Esto obliga también a modificar el punto de partida del asesoramiento.
La pregunta inicial deja de ser «¿qué documentos necesita esta empresa?» para convertirse en algo bastante más elemental:
¿Qué quiere hacer la organización? ¿Cómo lo está haciendo? ¿Qué problema necesita resolver?
Sólo después tiene sentido preguntarse qué consecuencias jurídicas tiene esa actividad, qué riesgos genera y qué instrumentos debemos utilizar para ordenarla.
Puede que al final necesitemos una cláusula. O modificar un contrato. Realizar un análisis de riesgos. Revisar una base de legitimación. Establecer un procedimiento interno. Limitar determinada funcionalidad. Cambiar la configuración de una herramienta. Exigir garantías adicionales a un proveedor.
O puede que descubramos que lo importante no era producir un documento nuevo, sino cambiar una decisión.
El documento deja entonces de ser el producto del asesoramiento jurídico para convertirse en una de sus posibles consecuencias.
Empezar por la organización, no por el formulario
Existe una tendencia comprensible en cualquier sistema de cumplimiento: convertir obligaciones jurídicas complejas en procesos replicables.
Tiene ventajas evidentes. Permite sistematizar, comprobar, documentar y acreditar.
Pero también tiene un riesgo: que terminemos observando organizaciones diferentes a través de una misma plantilla.
Dos empresas con el mismo número de trabajadores pueden presentar riesgos de privacidad completamente distintos. Una pequeña compañía tecnológica puede desarrollar tratamientos más complejos que una organización diez veces mayor. Un proceso aparentemente secundario puede concentrar más riesgo que la actividad principal. Y una herramienta incorporada por un departamento sin ninguna apariencia de trascendencia jurídica puede modificar sustancialmente la forma en que se tratan determinados datos.
Por eso nuestra forma de trabajar en protección de datos intenta recorrer el camino en sentido inverso.
Primero entendemos la actividad.
Después identificamos el problema.
Y sólo entonces construimos la respuesta jurídica.
No se trata de sustituir el cumplimiento por una suerte de asesoramiento intuitivo. Se trata de conseguir precisamente un cumplimiento más real, porque las obligaciones jurídicas se proyectan sobre procesos que conocemos y no sobre una representación abstracta de la organización.
En cierto sentido, ésta debería haber sido siempre la lógica de la privacidad desde el diseño: no añadir posteriormente una capa jurídica a una decisión ya tomada, sino incorporar las preguntas adecuadas mientras esa decisión se está formando.
La tecnología ha hecho visible el problema
La transformación tecnológica de los últimos años ha convertido esta cuestión en especialmente evidente.
Durante mucho tiempo fue relativamente sencillo imaginar el tratamiento de datos como un conjunto de procesos razonablemente estables. Una empresa tenía determinados programas, determinados proveedores y determinados circuitos de información. Se analizaban, se documentaban y periódicamente se revisaban.
Ese mundo es cada vez menos reconocible.
Las organizaciones incorporan servicios en la nube, plataformas de terceros, sistemas de automatización y herramientas de inteligencia artificial con enorme rapidez. En ocasiones, la propia dirección desconoce algunas de las aplicaciones que están utilizando sus trabajadores.
La inteligencia artificial generativa ha llevado este fenómeno al extremo.
Prohibir su utilización suele ser tan poco realista como ignorarla. Pero redactar una política de uso y guardarla en la intranet tampoco resuelve el problema.
Hay que saber qué herramientas se utilizan, para qué se utilizan, qué información reciben, qué decisiones apoyan, qué proveedores intervienen, qué garantías ofrecen y en qué casos el riesgo aconseja establecer límites.
Y, sobre todo, hay que conseguir que alguien dentro de la organización sepa reconocer cuándo una utilización aparentemente cotidiana merece detenerse y preguntar.
Ése es probablemente uno de los grandes retos actuales de la protección de datos: desarrollar capacidad jurídica dentro de la propia organización.
Cuando la privacidad deja de ser un departamento
Una buena política de protección de datos no debería conseguir que todos los trabajadores se conviertan en especialistas en RGPD.
Debería conseguir algo bastante más útil: que determinadas preguntas aparezcan en el momento adecuado.
Antes de contratar una herramienta.
Antes de entregar una base de datos.
Antes de reutilizar determinada información.
Antes de poner en marcha una campaña.
Antes de automatizar una decisión.
Antes de responder precipitadamente a una solicitud de un interesado.
La organización no necesita que cada decisión cotidiana termine encima de la mesa de un abogado. Necesita criterios para distinguir las decisiones ordinarias de aquellas que requieren una segunda mirada.
Paradójicamente, una protección de datos verdaderamente integrada debería hacerse menos visible.
No porque haya desaparecido, sino porque empieza a formar parte de la manera normal de trabajar.
La organización deja de «hacer protección de datos» como actividad separada y comienza sencillamente a tomar mejores decisiones sobre la información que utiliza.
Una protección de datos orientada a problemas
Ésa es la filosofía con la que intentamos trabajar en VMA.
No concebimos la protección de datos como una colección de documentos que haya que entregar periódicamente al cliente para certificar que algo se ha hecho.
Los documentos importan. Las evidencias importan. Los procedimientos importan. El cumplimiento formal importa.
Pero el verdadero trabajo empieza muchas veces después.
Empieza cuando una empresa llama antes de implantar una herramienta y no después de que haya surgido el problema. Cuando podemos entender qué pretende conseguir y buscar una forma jurídicamente segura de hacerlo. Cuando una incidencia sirve para corregir un proceso y no únicamente para cerrar un expediente. Cuando la protección de datos participa en una decisión empresarial sin convertirse innecesariamente en un obstáculo para ella.
En definitiva, cuando el Derecho deja de observar la organización desde fuera y empieza a formar parte de su sistema de decisión.
A eso podemos llamarlo protección de datos post cumplimiento.
No porque hayamos superado el cumplimiento.
Sino porque cumplir era sólo el principio.
