Protección de datos

Si bien la mayor parte de las legislaciones iberoamericanas regulan el derecho de las personas a la protección sobre sus datos, en el marco del llamado habeas data, como garantía constitucional, cada vez son más los Estados que cuentan con normas específicas en materia de protección de datos, adecuando sus leyes, decretos y otra normativa para una mejor salvaguarda de este derecho fundamental, así como su tutela judicial efectiva.

La protección de la privacidad debe ser entendida como un derecho fundamental, tal y como reconoce Naciones Unidas en el marco de la protección de la libertad individual, la libertad de expresión, la intimidad y la dignidad personal. A mayor abundamiento, el Consejo de Europa lo define como un derecho humano fundamental, mismo sentido en que es tratado en la Declaración Universal de Derechos Humanos y el Pacto Internacional de las Naciones Unidas sobre los Derechos Civiles y Políticos, donde se define la privacidad como un derecho, afirmándose que “nadie será objeto de injerencias arbitrarias o ilegales en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques ilegales a su honra y reputación”…

Daniel López Carballo, Director del observatorio Iberoamericano de Protección de Datos / España, Fuente: http://es.calameo.com/read/002682399c9e17199b3dd

(El subrayado no es del original)

Hablar de la protección de datos hoy en día puede implicar una serie de conceptos que terminan complementando el tema de tal forma que la complejidad del mismo llega a ser significativa, como bien podemos ver en el texto introductorio tenemos si bien una serie de productos globales desde el punto de vista de las TI, de igual forma ahora tenemos normas locales.

La protección de los datos es un tema estrictamente relacionado con el insumo más importante de la compañía o institución en la cual estamos trabajando, hablamos de la INFORMACIÓN.

La información es sin duda uno de los insumos más importantes de las organizaciones, la protección de la misma implica una serie de buenas prácticas y políticas que a nivel general podemos encontrar dentro de COBIT y su universo, específicamente dentro del capítulo: Business Model for Information Security (BMIS).

Dentro de las características del Modelo de Negocio para la Seguridad de la Información (BMIS) que encontramos dentro del Cobit 5, podemos mencionar 3:

  • Nos presenta un enfoque integral y orientado al negocio para la gestión de la seguridad de la información dentro de la organización.
  • Establece una línea de parámetros bajo un lenguaje común para referirse a la protección de la información
  • Por ultimo describe de forma detallada el modelo de negocio para gestionar la seguridad de la información, en donde se invita a utilizar una perspectiva sistémica

Como podemos ver en un marco global tenemos el Cobit 5 como punto de partida, con mucha información que se puede aprovechar para el tema de la protección de datos, por otro lado cuando damos el siguiente paso y pensamos en una normativa, regulación o ley local no podemos dejar por fuera la: “Ley de protección de datos, 8968”.

Si bien es cierto la Ley 8968 “Protección de la Persona frente al tratamiento de su datos personales” viene a ser un marco regulatorio para garantizar la seguridad de los datos de las personas que son utilizados por las diferentes organizaciones, podemos tomarlo como punto de partida para establecer un entorno de seguridad dentro de la empresa o institución, es decir, partiendo de los derechos con los que cuentan los individuos relacionados a sus datos sensibles, como instituciones debemos de garantizar la protección y buen manejo de los mismos.

Desde la auditoria de TI:

Como auditores de TI tenemos dos responsabilidades muy grandes con respecto a este tema:

  • Debemos de procurar que la ley, normativa se vea aplicada de buena forma. Es decir, tenemos principios que nos invitan a evaluar que las organizaciones estén trabajando por hacer valer la ley, buscando que esas buenas practicas que manejan vayan de la mano de los reglamentos establecidos, recordemos que el valor de la información es indeterminable una vez que se ve expuesta o perdida.
  • Debemos de garantizar la privacidad de la información con la cual nosotros trabajamos. Para nuestro caso como funcionarios que trabajamos con la recopilación de información para respaldar los hallazgos es de suma importancia la seguridad, actualidad, veracidad y exactitud de la misma (Articulo 6. – Principios de calidad de información, Ley 8968, )

 

Cierre RVV:

Como vemos la  protección de datos implica una gran responsabilidad hacia el individuo principalmente, además que una serie de elementos que derivan del tema como lo son: Confidencialidad, Riesgos, Seguridad, Control Interno, tomando un rumbo incluso más técnico debemos de tomar en cuenta el anonimato y la Ciberseguridad.

Nuestra responsabilidad como auditores recae en la búsqueda de que se valide y rectifique este derecho que tienen los individuos y que las organizaciones debemos de garantizarlo, más aún para el caso de nuestro país donde tenemos una ley de por medio.

Bases Generales: Confidencialidad

Allá por el siglo III antes de Cristo existió un historiador y filósofo griego Diógenes Laercio de la ciudad de Laertes en Cicilia. Aunque muchos otros historiadores cuestionan dicha información, una de sus frases fue:

diogenes_laercioCallando es como se aprende a oír; oyendo es como se aprende a hablar; y luego, hablando se aprende a callar.

Lo que nos lleva al concepto de Confidencialidad: “La confidencialidad es la garantía de que la información personal será protegida para que no sea divulgada sin consentimiento de la persona. Dicha garantía se lleva a cabo por medio de un grupo de reglas que limitan el acceso a ésta información.Fuente. Definición.de

Entonces si consideramos la frase de Diógenes como regla moral, vamos por buen camino con el tema de la confidencialidad.

En la práctica de la auditoría:

Como profesionales que ejercemos la auditoria tenemos como regla de oro la confidencialidad, en el Manual de Normas Generales de Auditoria para el Sector Publico en su Capítulo I nos dice:

103. Naturaleza Confidencial y discreción sobre el trabajo: “El personal que participa en el proceso de auditoría en el sector público debe mantener la reserva y la discreción debidas respecto de la información obtenida durante el proceso de auditoría, y no deberá revelarla a terceros, salvo para los efectos de cumplir con requerimientos legales.

 

Por otro lado dentro del mismo manual en su Capítulo V sobre las Normas Generales sobre auditorio de carácter especial nos menciona el tema: 506. Resguardo de la confidencialidad de la información:

De conformidad con el marco legal existente, el auditor debe garantizar la confidencialidad de la información que respalde el contenido de las relaciones de hechos y denuncias penales que se tramiten, en resguardo de los derechos de los presuntos responsables, de la identidad del o los denunciantes y de la buena marcha del procedimiento jurídico que se lleve a cabo, hasta tanto esa información no pueda ser divulgada de acuerdo con la normativa correspondiente.

Sin embargo no podemos dejar de lado que a nivel general dentro de nuestro hermoso país la Ley General de Control Interno dentro de sus alcances menciona de igual forma la importancia de la confidencialidad para los estudios de auditoría.

Confidencialidad en el ámbito jurídico:

Cuando surgen dudas sobre el tipo de información y su relación con la confidencialidad se genera consultas judiciales, y para cada una de ellas se van generando criterios, desde este punto de vista al buscar dentro del Sistema Costarricense de Información Jurídica nos dan una serie de resultados que podemos considerar como fuente de información para temas de confidencialidad:

Resultados para: Confidencialidad.

A partir del año 2011 con la creación de la Prodhab, la ley 8968 y su reglamento el tema de la confidencialidad se me respaldado a nivel general como también en el ámbito de las tecnologías de información.

Así por ejemplo dentro de la ley 8968 en el Artículo 3 respecto a las definiciones nos menciona:

  • f) Deber de confidencialidad: obligación de los responsables de bases de datos, personal a su cargo y del personal de la Agencia de Protección de Datos de los Habitantes (Prodhab), de guardar la confidencialidad con ocasión del ejercicio de las facultades dadas por esta ley, principalmente cuando se acceda a información sobre datos personales y sensibles. Esta obligación perdurará aun después de finalizada la relación con la base de datos.

 

Por otro lado dentro de la misma ley tenemos la Sección III con el título: “Seguridad y Confidencialidad del Tratamiento de los datos”.

Artículo 11. – Deber de la Confidencialidad:

La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales están obligadas al secreto profesional o funcional, aun después de finalizada su relación con la base de datos. La persona obligada podrá ser relevado del deber de secreto por decisión judicial en lo estrictamente necesario y dentro de la causa que conoce.

En términos globales:

Sin bien es cierto lo normal es ir de lo global a lo especifico en este caso  luego de haber repasado las normas, leyes, reglamentos y definiciones relacionadas con la confidencialidad en Costa Rica, vamos a ver que nos dice el Instituto global de Auditores Internos:

Para dicho caso debemos partir por el Código de Ética del IIA; dentro de sus 4 principios fundamentales vamos a encontrar: Integridad, Objetividad, Competencia y la Confidencialidad.

Confidencialidad: Los auditores internos respetan el valor y la propiedad de la información que reciben y no divulgan información sin la debida autorización a menos que exista una obligación legal o profesional para hacerlo.

Así mismo en relación a la guía que tenemos para las mejores prácticas de las T.I. (Cobit) dentro de uno de sus criterios de información encontramos la confidencialidad: se refiere a la protección de información sensitiva contra revelación no autorizada. Fuente: Cobit y los controles de aplicación

Cierre RVV:

La confidencialidad es un término que va de la mano con la ética profesional (Principios Éticos de los Funcionarios Públicos). Como profesionales relacionados con la tecnologías de información (en primera instancia) nos vemos enfrentados a esta regla, ya que en algún momento (encargado de las BD, encargados de servidores, desarrolladores) llegamos a ser los dueños/custodios de la información de las instituciones/empresas, pero por una serie de principios éticos nos enfocamos en proteger este insumo, nunca en vulnerarlo.

Una vez que cambiamos de rol (auditores de sistemas) nos vemos aún más preocupados por este tipo de temas, encontramos una serie de principios tanto nacionales como internacionales que viene a reglamentar esa ética que ya tenemos por defecto. Es entonces cuando debemos defender y procurar que se cumpla con el principio de la confidencialidad. by RVV