Privacidad por diseño: principios y cómo implementarla

La privacidad por diseño (PbD) es un enfoque preventivo para la protección de la privacidad de los datos desarrollado en la década de 1990. Su propósito inicial era desarrollar un modelo robusto y escalable para la privacidad de los datos que superaría las «tecnologías de mejora de la privacidad» y los requisitos de cumplimiento normativo más débiles en ese momento para garantizar la privacidad total de los datos. Hasta el día de hoy, los programas de diseño de privacidad de las empresas se basan en este documento revolucionario.

A todos nos importa nuestra privacidad y esperamos que se respete. Esa sensación de libertad y estar a salvo de intrusos importa ahora más que nunca.

Pero nuestro derecho al anonimato se viola casi todos los días. Desde violaciones de datos hasta empresas que recopilan y venden información personal o vigilancia sistémica, la lista de intrusiones sigue y sigue.

Sin embargo, el concepto de privacidad por diseño está provocando nuevas conversaciones y ganando más tracción.

Si deseas saber cómo las empresas deben proteger tu privacidad y manejan tus datos, debes familiarizarte con los principios de privacidad por diseño.

Te contamos aquí cuáles son los principios de la privacidad por diseño y cómo implementarla en la actividad de la empresa.

¿Qué es la privacidad por diseño?

Privacy by Design es un marco para incorporar la privacidad en todos los aspectos de tu organización. Pone la privacidad del individuo por encima de todas las demás prioridades y alienta a las empresas a trabajar teniendo en cuenta la privacidad del usuario al tomar decisiones sobre sus productos. El concepto de PbD fue creado por la Dra. Ann Cavoukian, directora ejecutiva del Instituto de Privacidad y Big Data de la Universidad de Ryerson y ex Comisionada de Información y Privacidad de Ontario.

Pasó a ser formalizado por un equipo conjunto formado por el Comisionado de Información y Privacidad de Ontario, la Autoridad Holandesa de Protección de Datos y la Organización Holandesa para la Investigación Científica Aplicada en 1995 antes de ser publicado en su forma actual en 2009. La Unión Europea luego pasó a incorporar la privacidad por diseño como parte del RGPD.

Principios

Introducido oficialmente con el Reglamento General de Protección de Datos (GDPR), la privacidad por diseño es un enfoque general deseado al crear nuevas tecnologías y sistemas.

Requiere que todas las empresas implementen características y funciones de privacidad no invasivas desde el principio. Por ejemplo, esto podría traducirse en una empresa que crea un teléfono inteligente que no utiliza ni permite sistemas de seguimiento.

Para comprender mejor el concepto, profundicemos en los siete principios.

1. Proactivo no reactivo; preventivo, no reparador

El primer principio establece que cualquier empresa debe centrarse en ser proactiva, con la privacidad como base para el desarrollo de productos, no solo una ocurrencia tardía.

Al salir de la mentalidad reactiva, las organizaciones pueden anticipar las amenazas relacionadas con la privacidad y prepararse para ellas. Y si bien es esencial tener un plan claro sobre cómo responder a cualquier brecha de seguridad que afecte a los datos de las personas, los equipos de desarrollo primero deben incorporar todas las mejores técnicas para evitar o minimizar los riesgos de privacidad.

Cualquier sistema, proceso o infraestructura que utilice datos personales debe colocar la privacidad como una prioridad máxima desde el comienzo del proceso de diseño.

Como usuario, es difícil o casi imposible saber qué sucede a puerta cerrada. Pero identifica empresas con mentalidad de privacidad. A menudo son los que están obsesionados con sus clientes y siempre están interesados ​​en recopilar comentarios de los clientes y se esfuerzan por satisfacer sus necesidades, incluidas las relacionadas con la privacidad.

2. Privacidad por defecto

Independientemente del negocio en el que se encuentren, las empresas deben proteger automáticamente tus datos. De esta manera, nunca tendrás que luchar para asegurarte de que no expongan tu información privada.

Lo ideal es que las funciones de privacidad se integren en cualquier sistema, herramienta o dispositivo, garantizando tu anonimato pase lo que pase.

Para ver si una empresa se preocupa por tu privacidad, verifica si restringen el intercambio de datos, minimizan el uso de datos y te brindan la posibilidad de optar por no compartir información confidencial.

La privacidad debería ser la configuración predeterminada que los miembros del personal o cliente tienen que hacer todo lo posible por mantener. Más bien, debería ser extremadamente difícil violar la privacidad de los datos, ya sea de forma accidental o como un intento de ataque intencional. Las empresas pueden diseñar los valores predeterminados de sus sistemas para garantizar que se requiera un esfuerzo mínimo para mantener la privacidad.

3. Privacidad integrada en el diseño

Para protegerte, los equipos no deben agregar funciones de privacidad al final de un ciclo de desarrollo, o peor aún, después del lanzamiento de un producto.

La privacidad por diseño es una parte integral de la infraestructura del sistema y una práctica comercial central. Esta debería ser la mentalidad en cada paso del camino, desde la ideación hasta la realización de un producto o servicio.

Al final del día, no importa cuán útil o eficiente sea un producto si presenta fallas de diseño de privacidad y vulnerabilidades de seguridad.

Una forma de ver si el producto que está utilizando cumple con los principios de privacidad por diseño es verificar si todas las piezas del rompecabezas encajan.

Lee atentamente y observa si la política de privacidad de una empresa se alinea con las características del producto, los servicios, los valores y otras prácticas de la empresa. Eso te indica si han logrado infundir privacidad mediante principios de diseño en todo lo que hacen, desde las personas hasta los procesos y las tecnologías.

4. Funcionalidad completa: suma positiva, no suma cero

La mayoría de las empresas se centran en la funcionalidad del producto y en la implementación de las últimas tecnologías. Las preocupaciones sobre la privacidad están al final de su lista de verificación (si es que las hay) cuando comienzan a escribir especificaciones, a moverse rápido y a romper cosas.

Sin embargo, el principio de privacidad incrustado en el diseño sugiere que la funcionalidad y la privacidad van de la mano y son socios iguales. No ofrecer una gran experiencia de usuario en la cuenta de privacidad no es una opción.

Si un concepto propuesto amenaza la privacidad de los usuarios de alguna manera, los desarrolladores deben buscar otras soluciones y alternativas. No debe pasarse por alto ningún riesgo de privacidad.

La próxima vez que estés entusiasmado con una aplicación o una plataforma, verifica cuánto puedes controlar los datos que les proporcionas y hasta qué punto la empresa ha tenido en cuenta la privacidad del cliente.

5. Seguridad de un extremo a otro: protección del ciclo de vida completo

La privacidad y la seguridad siempre van juntas. Sin una seguridad sólida, no puede haber privacidad. Pero, ¿qué implica la seguridad de la información?

La seguridad de la información implica confidencialidad, integridad, disponibilidad, transparencia y resistencia de los sistemas que la almacenan. Además, los usuarios deben tener el control total de su procesamiento de datos y la posibilidad de optar por no participar en cualquier momento. Esto no sucede con los coches conectados, por ejemplo.

Los datos personales deben estar seguros y protegidos desde el momento en que ingresan al sistema. Luego, se puede cifrar, almacenar de forma segura y eliminar al final de su ciclo de vida.

Estos son algunos de los mecanismos de protección de la información que las organizaciones pueden implementar:

  • Solo recopilar los datos que necesiten y tengan base legal para ello.
  • Utilizar métodos de eliminación o destrucción compatibles con GDPR para una protección de extremo a extremo.
  • Integrar técnicas de seudonimización o anonimización.
  • Clasificar las operaciones de procesamiento y datos en función de los perfiles de acceso.
  • Confíar en los estándares de cifrado para minimizar el riesgo de robo de datos.

Siempre que desees saber más sobre cómo se utilizan, almacenan o eliminan tus datos, puedes solicitar a un proveedor de servicios que te proporcione esta información. Aprenderás de su respuesta si se toman en serio la privacidad y la seguridad.

6. Visibilidad y transparencia

Muchas empresas son opacas sobre sus prácticas de diseño y desarrollo. Prefieren mantenerte en la oscuridad y pedir perdón en caso de una violación de datos. Si bien la apertura les haría ganar la confianza de los consumidores, también los obligaría a ser responsables.

Pero las personas deben saber qué sucede con sus datos y cómo se protegen.

La visibilidad y la transparencia tienen que ver con mostrar el lado práctico de las cosas. Una de las claves para garantizar la privacidad es poder demostrarlo. De esta manera, los usuarios pueden verificar que el procesamiento de datos se alinea con las afirmaciones indicadas. Además, cada empresa debe permitir que las personas envíen quejas, hagan preguntas o soliciten cambios.

Promover la transparencia y la visibilidad requiere la adopción de medidas como:

  • Hacer públicas las Políticas de Privacidad y Protección de Datos.
  • Desarrollar y publicar cláusulas de información concisas, claras y comprensibles sobre el procesamiento de datos, los riesgos a los que pueden estar expuestos los usuarios y cómo ejercer sus derechos en materia de protección de datos.
  • Integrar técnicas de seudonimización o anonimización.
  • Compartir la identidad y los datos de contacto del responsable del tratamiento.
  • Establecer formas accesibles, sencillas y efectivas de comunicación, compensación y denuncia.

Lo que podemos ver es que algunas marcas han comenzado a ser más transparentes en la recopilación de datos.

7. Respeto por la privacidad del usuario

El principio final enfatiza una vez más que la privacidad del usuario debe ser la prioridad número uno. Después de todo, cuando recopilas y almacenas datos personales, el riesgo de que caigan en las manos equivocadas se vuelve excepcionalmente alto.

Incluso si las empresas recopilan datos, eso no significa que sean de su propiedad. Los datos pertenecen a los usuarios que los generaron, pudiendo otorgar o retirar su consentimiento en cualquier momento.

Por respeto a la privacidad del usuario, los operadores de datos deben ofrecer medidas como:

  • Fuertes valores predeterminados de privacidad: se informa a los usuarios de las consecuencias para su privacidad cuando intentan cambiar la configuración predeterminada.
  • Aviso apropiado: se requiere consentimiento específico para la recopilación, uso o divulgación de información personal, y los usuarios pueden retirar su consentimiento en cualquier momento.
  • Opciones fáciles de usar: las interfaces deben estar centradas en el ser humano, de modo que se puedan tomar decisiones informadas sobre privacidad.

El principio implica diseñar procesos, aplicaciones, productos y servicios centrados en el usuario, anticipándose a las necesidades de privacidad.

Al mismo tiempo, los usuarios deben desempeñar un papel activo en la gestión de sus datos y en el control de lo que hacen las corporaciones con ellos. Y las empresas no pueden interpretar la falta de presión como un desinterés por la privacidad por parte del cliente.

¿Dónde se requiere la privacidad por diseño?

Aunque PbD ha existido como un marco de mejores prácticas desde la década de 1990, solo se convirtió en un requisito en 2018.

El Reglamento de Protección de Datos (GDPR) de la UE se convirtió en ley en toda Europa en 2018. El GDPR requiere intimidad mediante el diseño, así como la protección de datos por defecto para todos los usos y aplicaciones.

Las organizaciones no solo deben cumplir con GDPR. También necesitan documentar sus procesos de desarrollo de PbD y presentar esa documentación a las agencias de aplicación de GDPR en caso de una violación de datos o una queja de un consumidor.

Las leyes europeas de protección de datos y privacidad también son extraterritoriales, lo que significa que se aplican a los residentes de la UE cuyos datos se recopilan, independientemente del lugar del mundo en el que se recopilen. Más claramente: debes cumplir con los estándares de privacidad y protección de datos de la UE si recopilas datos de residentes de la UE, incluso si tu organización no se encuentra dentro de la UE.

Por lo tanto, los desarrolladores fuera de la UE deberían considerar la adopción de principios de privacidad por diseño dentro de las pautas de GDPR. Estos proporcionan un marco claro, de sentido común y responsable para usar en cualquier proceso de desarrollo.

Privacidad por diseño y cumplimiento

Si bien la privacidad por diseño no es un marco ni un documento regulatorio en sí mismo, ha llegado a dar forma a muchas otras regulaciones. Una de las más aplicables para las empresas en EE.UU. es la Ley de Privacidad del Consumidor de California (CCPA). Establecida por primera vez en 2018, la CCPA está diseñada para garantizar a los residentes de California ciertos derechos esenciales con respecto a sus datos. Éstos derechos incluyen:

  • Conocer toda la información personal y de identificación personal que cualquier empresa recopila de ellos o sobre ellos, y todas las formas en que esos datos se utilizan o comparten.
  • Eliminar la información personal recopilada de ellos o sobre ellos, con excepciones.
  • Optar por la venta u otro uso de sus datos personales o de identificación personal.
  • Ejercer los derechos de la CCPA sin discriminación ni represalias por parte de las empresas.

Estos derechos deben ser respetados por la mayoría de las entidades que hacen negocios en California y recopilan o procesan los datos personales de los californianos. En particular, si tu empresa obtiene un ingreso anual bruto de $ 25 millones, procesas datos pertenecientes a 50 mil hogares u obtienes más de la mitad de tus ingresos anuales a través de la venta de datos personales de los consumidores, debes cumplir con la CCPA.

Privacidad por diseño y regulaciones de la UE

Un conjunto de regulaciones en las que los requisitos de privacidad de datos se establecen explícitamente es el Reglamento general de protección de datos (GDPR) de la Unión Europea (UE). El RGPD de la UE se aplica a la mayoría de las empresas que recopilan, almacenan o procesan datos de ciudadanos de la UE o que pertenecen a ellos, independientemente de dónde se encuentre la empresa o dónde opere. La CCPA se basa en gran medida en el modelo del RGPD.

Una función del RGPD es establecer derechos que los interesados ​​pueden esperar razonablemente, tales como:

  • Los responsables del tratamiento deben facilitar la transparencia y las modalidades accesibles.
  • Los interesados ​​tienen derecho a acceder a sus datos y metadatos sobre ellos.
  • Los interesados ​​tienen el «derecho al olvido» y pueden borrar sus datos.
  • Los responsables del tratamiento deben respetar las objeciones de los sujetos y dejar de procesar.

Otra función es establecer cuándo se pueden procesar datos sensibles, según el artículo 6 del RGPD:

  • Si el sujeto de los datos otorga pleno consentimiento al controlador de datos.
  • Para satisfacer obligaciones contractuales preexistentes entre las partes.
  • Para satisfacer o cumplir con las obligaciones legales del controlador de datos.
  • Con la finalidad de servir intereses vitales del interesado o de un representante.
  • Para servir al interés público o al de una autoridad estatal oficial.
  • Con objetivo de servir a los mejores intereses del controlador de datos o de un tercero, a menos que estos entren en conflicto con los intereses de un interesado; este último siempre debe tener prioridad.

Finalmente, el RGPD establece protocolos estrictos para la supervisión de datos y las responsabilidades de personal.

Cómo implementar la privacidad por diseño

Si eres propietario de una empresa o un sitio web y te diriges a personas, o incluso supervisas su actividad, debes seguir los principios de Privacidad por diseño.

Si no estás legalmente obligado a implementar PbD, debes implementar prácticas de privacidad primero para generar confianza con tus usuarios, prevenir violaciones de seguridad y prepararte para leyes de privacidad nuevas y cambiantes.

Comienza a cumplir con PbD completando una Evaluación de impacto de privacidad de datos (DPIA). Aunque el RGPD solo exige DPIA para actividades de procesamiento de datos de alto riesgo, proporcionan un marco útil para evaluar cómo tus procesos comerciales afectan la privacidad del usuario.

Algunos pasos básicos para crear una DPIA incluyen:

  • Identifica los flujos de información: qué se recopila, por qué se recopila y a dónde va.
  • Identificar los riesgos de privacidad: identificar a los terceros que tienen acceso a los datos del usuario.
  • Identificar e implementar formas de reducir los riesgos de privacidad.

Después de redactar una DPIA, piensa en formas específicas de salvaguardar la privacidad del usuario. Aquí hay una lista de verificación de Privacidad por diseño con algunos pasos prácticos que puedes seguir para implementar PbD para tu negocio:

  • No pidas más información de la necesaria a los usuarios.
  • Haz que los datos personales sean anónimos para que no se puedan conectar a una persona específica.
  • Tener una política de privacidad clara, accesible y actualizada periódicamente.
  • Proporcionar opt-in opciones para los usuarios configurar sus preferencias de recopilación de datos.
  • Recuerda a los usuarios que revisen su configuración de privacidad.
  • Eliminar datos antiguos.
  • Sigue el enfoque Security by Design mediante la automatización de los controles de seguridad de los datos en los sistemas de TI.
  • Desarrolls procedimientos para detectar, informar e investigar de manera efectiva las violaciones de datos.

Para crear el mejor marco de privacidad por diseño para tu negocio, modifica o amplía estas recomendaciones de acuerdo con la naturaleza de tu negocio, industria y prácticas de datos.

En caso de duda, consulta los principios fundamentales de Privacy by Design y pregúntate si puedes hacer más para proteger la información personal de tus usuarios.