Capacitación en Privacidad: El Costo de la Ignorancia Empresarial
La Ilusión del Castillo Digital Inexpugnable
Existe una fe ciega, casi religiosa, en la tecnología como panacea. En las salas de reuniones, los directivos respiran aliviados tras firmar un cheque con varios ceros para la adquisición de un sistema de seguridad impenetrable. Se habla de ‘endpoints’, ‘machine learning’ para detección de amenazas y ‘nubes híbridas seguras’. Se construye un fuerte digital, un bastión tecnológico supuestamente a prueba de todo. Pero se comete un error de cálculo fundamental, uno que delata una profunda ingenuidad sobre la naturaleza del riesgo: se olvida al ser humano que opera dentro de ese fuerte. Se gasta una fortuna en la cerradura más compleja del mercado, pero no se invierte un solo peso en enseñar a los guardias a no entregarle la llave al primero que se la pide con amabilidad.
El personal de una empresa es el sistema operativo de toda la estructura. Puede tener el mejor ‘hardware’ del mundo, el auto más rápido y caro, pero si quien conduce no sabe para qué sirve el pedal de freno, el desenlace es predecible. En el ámbito de los datos, este conductor es cada empleado que tiene acceso a una computadora. Desde el gerente que descarga un informe en su pendrive personal ‘para verlo en casa’, hasta el administrativo que abre un correo electrónico con el asunto ‘Factura Urgente Vencida’ sin reparar en que el remitente es un galimatías de letras y números. Estos no son escenarios hipotéticos, son la crónica diaria de incidentes de seguridad que nunca debieron ocurrir.
La Ley 25.326, en su artículo 9, es meridianamente clara: el responsable de la base de datos debe adoptar las medidas técnicas y organizativas que resulten necesarias para garantizar la seguridad y confidencialidad de los datos personales. La palabra clave aquí es ‘organizativas’. No alcanza con instalar un antivirus. La organización, como ente, debe funcionar de manera segura. Y eso, inevitablemente, implica educar a sus componentes. Implica crear una cultura de la privacidad. Sin esa cultura, cualquier medida técnica es inútil. Es como ponerle una alarma a una caja fuerte cuya combinación es ‘1234’. La tecnología está, pero la estupidez humana, incentivada por la falta de formación, la anula por completo.
El Eslabón Más Débil: Una Verdad Incómoda (y Rentable para los Abogados)
Seamos brutalmente honestos: el mayor vector de ataque para los datos de una compañía no es un hacker encapuchado en un sótano oscuro, sino un empleado bienintencionado pero desinformado. Es la persona que, por comodidad, utiliza la misma contraseña para su red social que para la base de datos de clientes. Es quien, apurado, envía un mail con un anexo lleno de información sensible –como números de tarjeta de crédito o diagnósticos médicos– a una lista de distribución incorrecta. El famoso ‘Reply to All’ ha causado más daño a la privacidad corporativa que muchos virus informáticos.
La ley argentina no contempla la buena fe del empleado como un atenuante para la empresa. La responsabilidad es objetiva. El artículo 5 de la Ley 25.326 define al ‘responsable de archivo, registro, base o banco de datos’ como la persona física o jurídica, pública o privada, que es titular del mismo. Es la empresa la que decide sobre la finalidad, contenido y uso del tratamiento de los datos. El empleado es un mero ‘operador’ que actúa bajo la autoridad del responsable. Por lo tanto, cualquier acción u omisión del empleado se considera, a efectos legales, una acción u omisión de la propia empresa. Intentar deslindar responsabilidades culpando a un individuo es una estrategia legal condenada al fracaso y, francamente, de una torpeza notable. Demuestra, precisamente, la falta de control y de procedimientos internos adecuados.
Consejos No Solicitados para Quienes Ya Están en el Banquillo
Si usted representa a una empresa que ya ha protagonizado una filtración de datos por un ‘error humano’, permítame ofrecerle una perspectiva realista. Su situación es delicada. La primera tentación, la de señalar con el dedo al empleado ‘culpable’, debe ser reprimida de inmediato. Legalmente, es el equivalente a pegarse un tiro en el pie. Estaría admitiendo ante la autoridad de control (la Agencia de Acceso a la Información Pública – AAIP) y ante cualquier juez, que sus controles internos son inexistentes.
La única defensa viable, aunque a menudo frágil, es la de la ‘diligencia debida’. Debe poder demostrar –y la palabra clave es demostrar, no afirmar– que la empresa hizo todo lo razonablemente posible para evitar el incidente. ¿Y qué significa esto en la práctica? Significa exhibir un programa de capacitación en protección de datos. No un correo electrónico enviado hace dos años con un PDF adjunto. Hablamos de un programa serio: con fechas, temarios, registros de asistencia firmados, evaluaciones de conocimiento, políticas de seguridad de la información claras y comunicadas fehacientemente. Debe poder construir la narrativa de que, a pesar de sus robustos y documentados esfuerzos preventivos, ocurrió un hecho aislado e imprevisible. Es construir un dique con papeles, sí, pero a veces es el único dique disponible. Si no tiene nada de esto, su mejor estrategia es buscar un acuerdo rápido y silencioso, asumiendo el costo como una ‘inversión’ en aprendizaje forzoso.
Guía de Supervivencia para el Justiciero de Datos (El Acusador)
Ahora, pongámonos del otro lado del mostrador. Usted es la víctima. Recibió un correo que no era para usted, vio sus datos personales expuestos en un lugar indebido, o sufre las consecuencias de que su información fuera tratada con una negligencia pasmosa. El sistema legal, aunque lento, está de su lado. Su principal herramienta es el derecho de habeas data, consagrado en el artículo 43 de la Constitución Nacional, y la Ley 25.326 es su manual de instrucciones.
Su primer paso no es contratar a un detective privado, sino documentar el hecho y presentar una denuncia formal ante la AAIP. Este organismo es la autoridad de aplicación y su intervención es gratuita. La denuncia inicia un procedimiento administrativo contra la empresa. La carga de la prueba recae, en gran medida, sobre la compañía denunciada. Es ella quien debe demostrar que cumplió con su deber de seguridad. Su rol es evidenciar la existencia de la filtración y el daño que le ha causado. ¿Qué es el daño? Puede ser material (si, por ejemplo, usaron sus datos para cometer un fraude) o moral. El daño moral es la angustia, la zozobra, la violación a la intimidad que genera saber que su información personal –su DNI, su dirección, su estado de salud, su situación financiera– está fuera de control.
En el marco de la denuncia, usted o su abogado pueden solicitar que la empresa informe qué medidas de seguridad y, específicamente, qué programas de capacitación tiene implementados para su personal. La respuesta evasiva, el silencio o la presentación de un ‘protocolo’ genérico copiado de internet son sus mejores aliados. Cada excusa de la empresa es una prueba más de su negligencia. La falta de formación del personal no es un detalle menor; es el incumplimiento flagrante de una de las obligaciones centrales de la ley. Es el argumento definitivo para demostrar que la empresa no trató sus datos con la diligencia que la ley le exige, abriendo la puerta no solo a sanciones administrativas, sino también a una posterior demanda civil por daños y perjuicios. Recuerde: la empresa no solo tenía sus datos; tenía la obligación de cuidarlos. Y falló.
