Tres delegadas de Protección de Datos de distintas empresas y una directora de Compliance destacaron ayer en unas jornadas organizadas por la Asociación Española de Compliance (ASCOM), el Ilustre Colegio de la Abogacía de Madrid (ICAM) y la Asociación Internacional de Profesionales de la Privacidad (IAPP) la importancia de colaborar con los responsables de velar por la ciberseguridad de una mercantil (CISO por sus siglas en inglés) para frenar los ciberataques y las brechas de seguridad.
Lo hicieron en una jornada informativa llamada «Innovación, tecnología y datos personales: horizonte y retos en 2024» durante la mesa redonda moderada por Alonso Hurtado Bueno, vicepresidente de ASCOM.
Pilar Pascual, DPO de Liberty Seguros
Pilar Pascual Villarrubia, delegada de Protección de Datos de Liberty Seguros en Europa (DPO), comentó que hace cinco años, cuando comenzaron los DPO, vieron que era algo nuevo en España a pesar de que ya tenían la figura del CISO. Era algo muy novedoso y surgieron dudas..
«Pero con el tiempo, gracias a las resoluciones e informes, esta figura ha quedado relativamente clara», ha comentado. “Tenemos por lo menos directrices para poder ubicar al DPO dentro de la organización”.
A ello añadió que ahora, pensando en un futuro y en la aparición de la inteligencia artificial, se está comenzando a hablar de la figura de un responsable u officer en este campo. De modo que ha considerado que quizá harían falta unas directrices pensando en la nueva legislación que está por llegar que definan y refuercen la independencia dentro de las organizaciones pensando concretamente en IA.
Marta Cañas, DPO de Iberia y Level Airlines
Por su parte, Marta Cañas Miralles, delegada de Protección de Datos de Iberia y Level Airlines, destacó que la evolución que han observado de la figura del DPO durante estos años ha sido que ya no se encuentra enmarcada dentro del departamento legal puro y se ha ido especializando con formación en materias que antes eran impensables para un abogado.
Sin embargo, cree que necesitan «un empuje por parte de las autoridades de control para poder seguir evolucionando».
Respecto al DPO para afrontar las brechas de seguridad, relató que, en un primer momento, allá por 2019, había que notificarlas en un plazo de 72 horas pero, desde su experiencia, todo ello ha evolucionado porque ahora entran en juego los ciberataques. «Hay que tener mucha coordinación con el CISO«.
Marisa Boronat, de Banco de España
Marisa Boronat Velert, jefa de la división de transparencia y protección de datos y DPO del Banco de España, comentó que el problema de la especialización del delegado es que «quizás no esté tanto en grandes compañías, sino en pequeñas organizaciones».
«Muchas veces se asumen más cargas de trabajo que las que realmente tiene un delegado, llega un momento que no puedes tener más clientes y sin embargo se siguen teniendo. Y de hecho hay toques de atención en ese sentido por parte de la Agencia Española de Protección de Datos (AEPD)».
En su caso, reciben muchos ataques pero se frenan gracias a los sistemas de seguridad, de ahí “que la prevención sea importantísima”.
Asimismo, resaltó la importancia de la formación porque muchas veces dichas brechas se producen por errores involuntarios, como puede ser enviando un correo multitudinario o perdiendo un ordenador.
“Hemos trabajado muchísimo en la concienciación tanto para saber qué es una brecha como para perder el miedo a notificarla. A veces ese temor existe porque el empleado piensa que puede tener responsabilidades”.
Además, también dejó constancia de la importancia de actuar conjuntamente entre el DPO y el CISO. «Es necesario establecer procedimientos internos que establezcan esa colaboración. Hay que trabajar mano a mano».
Edurne Sánchez, directora de Compliance de Mahou San Miguel
Edurne Sánchez López, directora de Compliance de Mahou San Miguel, hizo hincapié en la independencia de la figura del DPO al considerar que ello queda descuidado a pesar de que siempre «nos centramos en mapas de riesgo, desarrollo de los controles, implementación y formación».
Y es que, al fin y al cabo, la independencia y autonomía es fundamental, es decir, no hay ningún modelo en el marco regulatorio de protección de datos en compliance penal que funcione si esta figura no es independiente.
Por otro lado, respecto a las brechas de seguridad, Sánchez López se mostró de acuerdo con su compañera Cañas Miralles, pero añadió un matiz, que es la prevención antes de despegar la cascada de comunicaciones entre DPO o CISO.
“Es muy importante todo lo que podamos hacer para evitar los ciberataques y brechas porque los malos siempre van por delante, cuanto más preparados estemos, mejor”. Pues muchas veces estos ataques tienen lugar por un correo electrónico que parecía ofensivo, por lo que “hay que formar a los empleados”.
