¿Qué les espera a los CIO con la Ley de Datos de la UE?

De la nube a la privacidad: los puntos destacados de la ley

Hay algunos artículos concretos de la Ley de Datos que podrían despertar el interés de los CIO. Los artículos 4 a 6, por ejemplo, establecen que las empresas deben adoptar herramientas y procesos para garantizar el acceso a los datos de los usuarios directamente o a través de terceros autorizados, y dar soporte a sus solicitudes de acceso. Estas obligaciones afectan a los fabricantes de dispositivos conectados, pero también a los proveedores de servicios como la nube o el análisis de datos. Para los CIO, esto significa que se les facilitará el cambio de un proveedor a otro.

También es pertinente la obligación de interoperabilidad, descrita en los artículos 28 y 30, o la capacidad de las aplicaciones y sistemas de intercambiar datos de forma segura y automática más allá de las fronteras geográficas y políticas. Por ello, los proveedores de servicios de computación en la nube y en el borde deben garantizar la interoperabilidad de los datos, y que esta se extienda a las API, que deben ser abiertas y estandarizadas.

“El CIO podrá verificar que sus proveedores de tecnología cumplan con estos estándares y la posibilidad de migrar entre proveedores o utilizar múltiples proveedores”, afirma Degasperi. “Esto es particularmente relevante para los proveedores de la nube. El CIO tendrá que asegurarse de que utilizan plataformas compatibles que faciliten y abaraten la migración a otra plataforma”.

El artículo 3 es importante en relación con el GRPD. “Si las empresas comparten datos entre sí, deben proteger la privacidad y la ciberseguridad, otra tarea del CIO”, afirma. “También hay partes en los artículos 14 y 15 sobre contratos. Debe haber coordinación con el equipo legal porque las empresas tienen que garantizar que las cláusulas contractuales con los proveedores cumplan con las disposiciones de la Ley de Datos sobre qué datos se pueden recopilar, quién puede acceder a ellos, durante cuánto tiempo se pueden almacenar, etcétera”.

Para Perugini, un punto relevante es la carga de la accesibilidad desde el diseño. Si los dispositivos conectados deben diseñarse para que el acceso a los datos de los usuarios sea siempre directamente posible, el CIO tendrá que ocuparse de las soluciones técnicas relacionadas con la autorización de acceso basada en las credenciales del usuario y la seguridad de la transmisión a terceros. Esto puede afectar al CIO independientemente de si la empresa actúa como fabricante, vendedor, proveedor o usuario de un dispositivo conectado.

“El CIO debe ser parte activa en la creación de las reglas y soluciones para estos accesos, y debe conocer bien el producto conectado y la Ley de Datos, e intentar diseñar acciones tanto técnicas como organizativas para su cumplimiento”, afirma Perugini. “El CIO debe prevenir el riesgo de violación por parte de hackers y usuarios no autorizados”.

También está la cuestión de la conservación de los datos. El CIO debe establecer, junto con otras funciones de la empresa, los plazos de conservación, que deben programarse en función del uso real de los datos recopilados por los dispositivos conectados. “Por supuesto, puede haber una superposición con el RGPD, que sigue siendo la principal ley de referencia en materia de datos personales”, afirma.

Tareas del CIO

Hay muchas cosas que el CIO tendrá que hacer a la luz de las disposiciones de la Ley de Datos. Mientras tanto, como explicó Perugini, los CIO deben realizar la debida diligencia sobre los datos que sus empresas recopilan de los dispositivos conectados y comprender dónde se encuentran en la cadena de valor, ya sea como propietarios, usuarios o destinatarios.

“Si la empresa produce una máquina industrial conectada y se la da a un cliente y luego se encarga del mantenimiento de la máquina, se encuentra recopilando los datos como propietaria”, afirma. “Si la empresa es cliente de la máquina, es usuaria y cogenera los datos. Pero si es una empresa la que adquiere los datos de la máquina, es receptora porque el usuario o el fabricante le ha permitido ponerlos a disposición o participa en un mercado de datos. Los CIO también pueden ver si hay datos generados por otros en el mercado que se puedan utilizar para el análisis interno y adquirirlos. Cualquier uso o intercambio de datos debe estar regulado por un acuerdo entre las partes interesadas mediante contratos”.

El CIO también tendrá que evaluar los contratos con los proveedores, asegurarse de que las condiciones sean compatibles y negociar con ellos el acceso a los datos de forma directa e interoperable. Además, el CIO tiene que evaluar si la infraestructura de TI de la empresa es adecuada para garantizar la interoperabilidad y la seguridad de los datos según el RGPD. Y es importante mantener informados a los equipos sobre los cambios normativos y colaborar con colegas del equipo jurídico o con asesores legales. La acción de TI por sí sola no es suficiente. En cumplimiento de la Ley de Datos, los aspectos organizativos y de gobernanza son esenciales, y el CIO tendrá que colaborar con otras funciones.

Pero la adquisición de habilidades sobre la Ley de Datos y el posible uso de consultores podría aumentar los costes de cumplimiento, especialmente para las pymes. Pero según Degasperi, existe una gran oportunidad para crear un ecosistema digital más abierto y colaborativo que evite los monopolios de datos. “Por supuesto, las empresas deben adoptar un enfoque consciente y estratégico, y el CIO tendrá que repensar la gobernanza de los datos”, afirma. “La clave será encontrar un equilibrio entre cumplir con las obligaciones regulatorias y aprovechar las oportunidades”.

Perugini aconseja a las empresas abandonar la mentalidad conservadora para aprovechar la ley europea y transformarse realmente en empresas basadas en datos. Para ello será necesario estudiar atentamente las disposiciones y comprender cómo aplicarlas a las operaciones. Esta será, en parte, una tarea para el CIO creativo porque, a partir de las herramientas que ofrece la Ley de Datos, tendrá que descubrir cómo utilizarlas para impulsar la innovación.