La protección de datos, un agujero que nadie ha tapado

Los expedientes abiertos en Cantabria por la Agencia de Protección de Datos demuestran que los excesos de confianza o de ingenuidad se pagan. En concreto, Caja Cantabria fue sancionada por el mero hecho de aprovechar su listado de trabajadores para hacerles una encuesta en sus domicilios, y el Colegio de Enfermería fue denunciado por facilitar las direcciones de sus afiliados a una entidad bancaria con la que había alcanzado un acuerdo de colaboración.
En muchos casos, las empresas no son conscientes del problema, explica Maite Navarro, directora de Conprodat, una empresa cántabra especializada en asesorar a las empresas en esta materia: “Es muy habitual que nos encontremos colegios donde nos dicen que, en realidad, ellos no tienen información relevante que declarar, porque en las fichas de los alumnos sólo figuran sus datos personales, enfermedades que han padecido y cosas así, y no se dan cuenta de que sólo por disponer de esta información sanitaria de una persona ya se colocan en el nivel más alto de protección de datos que exige la ley”.
El aprovechamiento de bases de datos para su venta a empresas de marketing se ha convertido en una industria muy saneada en un mundo donde la información ha pasado a ser el producto más valioso. Mailings, campañas de venta por teléfono o publicidad a través de Internet se realizan a partir de bases de datos personales con procedencia en algunos casos non sancta. A través del cruce de estos datos se definen con exactitud los perfiles del destinatario para obtener la máxima eficacia al mínimo costo. No es lo mismo intentar vender un coche de lujo a un colectivo de rentas altas que lanzarse a ofrecerlo de forma indiscriminada a todo el que pasa por la calle.

La responsabilidad

Las empresas de marketing pueden trabajar a partir de ficheros públicos y nada les impide cruzar los datos que figuran en ellos para obtener un objetivo lo más preciso posible. El problema para ellos es que en estos archivos de libre acceso, como las páginas amarillas, los datos son muy limitados y en el caso de las personas que ejerzan su derecho a no figurar en ellos, no habrá ni un solo dato.
Aparentemente, es muy difícil impedir que se obtenga información más sensible por otras vías. Cualquier empresa tiene listados de proveedores y en muchos casos también de clientes. En ocasiones estos datos son de extrema confidencialidad, basta pensar en los que manejan las clínicas médicas o los bancos. Con semejante número de archivos –se calcula que hay unos cinco millones de ficheros en España– da la impresión de que los posibles puntos de fuga son infinitos, pero la ley es muy estricta y tapa todas las posibles vías de salida, al exigir el registro de todos los listados mecanizados en los que figuren datos de índole personal a todo tipo de empresas, desde una pequeña academia a un gigante como el banco SCH.
Navarro está convencida de que el control puede resultar muy efectivo, porque se hace responsable al titular de los datos. De esta forma, cuando aparecen divulgados, los inspectores de la Agencia de Protección de Datos navegan aguas arriba hasta encontrar a quien tenía la responsabilidad de custodiarlos y que, por dejadez o por ánimo de lucro, permitió que llegasen a manos de otra empresa para su uso.
“La norma es razonable, pero ha hecho tabla rasa”, explica Navarro, y muchas pequeñas y medianas empresas no han sabido reaccionar hasta ahora.
Su experiencia le dice que está teniendo más influencia el temor a la dureza de las sanciones (de 100.000 pesetas a 100 millones) que la escasa política divulgativa que se ha hecho con la ley.

Fin del plazo

El 26 de junio ha acabado el plazo para adoptar acciones de seguridad con los datos que puedan invadir la esfera privada de los ciudadanos. El mero hecho de no solicitar la inscripción de los ficheros de datos de carácter personal en el Registro General de Protección de Datos, ya se ha convertido en una infracción leve. Mantener los datos sin una custodia adecuada, es una infracción grave y el uso o cesión de estos datos puede representar una infracción muy grave.
La Agencia de Protección de Datos hace tiempo que realiza inspecciones de oficio en sectores como las telecomunicaciones o el financiero, pero también ha inspeccionado a pequeñas empresas y profesionales tras recibir denuncias de algún afectado.
La ley exige unos niveles de seguridad distintos según la confidencialidad de los datos archivados y pone el mayor énfasis en aquellos que considera especialmente sensibles, como la ideología, religión, creencias, sindicación, origen racial, salud o vida sexual, para los que impone el mayor nivel de protección, algo de lo que no siempre son conscientes las consultas de médicos, odontólogos, oficinas de farmacia, clínicas, colegios, academias, asesorías laborales o fiscales, que los manejan con cierta frecuencia.

Protección de los archivos

El mecanismo de protección más habitual es el cifrado de esta información almacenada en archivos informáticos, de forma que no sea inteligible ni manipulable durante su transporte, y no sirvan de nada las copias, tan sencillas de hacer en un ordenador. También se establecen barreras de entrada a los archivos, como códigos de acceso o la obligación de que quede constancia de las personas que han accedido a esa información, con fecha y hora. Igualmente, se exige la existencia de copias de respaldo y de procedimientos de recuperación de los datos en lugares distintos al del sistema informático y se fuerza a que las trasmisiones de estos datos a través de las redes de telecomunicaciones sean cifradas o encriptadas.
La mayoría de las empresas e, incluso, de las instituciones, han dejado agotar todos los plazos previstos para registrar sus archivos en parte por una cierta incredulidad sobre el cumplimiento de la ley y, en parte, por la íntima convicción de que no les reportaba más que gastos, sin ningún beneficio. En realidad, casi ninguna ha tenido en cuenta que esa información es uno de sus principales activos y tanto las intromisiones desde el exterior en esa información, como las que muchas veces se producen desde el interior, pueden poner en peligro su negocio.
Quienes ya son conscientes, se han puesto en manos de consultoras que han formado equipos de expertos en privacidad que regularizan los ficheros ante la Agencia de Protección de Datos y establecen los sistemas de seguridad. Un negocio nuevo que nadie pudo imaginar pero que todo indica que tiene unas perspectivas muy importantes, a tenor del inmenso número de empresas que deberán registrar sus ficheros y protegerlos para impedir un uso incorrecto de los datos.