Nuestro primer Personaje del Mes tiene como protagonista a Eugenio Ribón, Decano del Ilustre Colegio de Abogados de Madrid, quien además fue entrevistado en exclusiva por la flamante Editora de CyberLideria MGZN, Samira Brigüech.

Una charla sin igual, entre dos titanes y vanguardistas de éxito, donde se habla del presente y del futuro, entre otras cosas, del panorama digital, tanto a nivel nacional como global.

Samira Brigüech: En primer lugar, me gustaría que nos explicases ¿Cómo es el día a día en tu posición como Decano del Ilustre Colegio de la Abogacía?

Eugenio Ribón: Ser Decano del Ilustre Colegio de Abogacía de Madrid es un desafío constante y una oportunidad única para servir a mis compañeros y contribuir a la mejora de la justicia. Cada día me ofrece la posibilidad de lograr avances y es un honor para mí liderar este empeño.

Mi día a día es una experiencia intensa y gratificante, marcada por una serie de responsabilidades y compromisos orientados a la gestión de nuestra institución, el cumplimiento de nuestro intenso programa de gobierno, la representación de nuestros colegiados, y el fortalecimiento de la justicia.

Mi mañana comienza muy temprano revisando correos y comunicaciones tanto internas como externas, incluyendo las redes sociales. Este proceso me permite mantenerme al día con las necesidades y preocupaciones de los miembros del Colegio, así como con los desarrollos dentro del ámbito jurídico que podrían afectar nuestra práctica. La comunicación efectiva es esencial para liderar con eficacia, y dedico una parte significativa de mi tiempo a asegurar que se mantengan abiertos los canales de diálogo.

A continuación, suelo tener reuniones internas, donde discutimos desde asuntos de gestión hasta estrategias para promover el desarrollo profesional de nuestros abogados. Estas reuniones son cruciales para la toma de decisiones y garantizan que nuestras acciones estén siempre alineadas con los objetivos del Colegio, nuestro programa, y las necesidades de nuestros colegiados.

Participar en conferencias y eventos, son tareas habituales en mi día a día.

Igualmente, la representación del Colegio en diversos foros y eventos es otra faceta importante de mi rol. Como Decano, actúo como la voz y el rostro del Colegio, participando en actos públicos y ceremonias que refuerzan nuestros vínculos con la comunidad jurídica y la sociedad. Esta representación es vital para mantener la relevancia y autoridad de nuestro Colegio en el entorno legal y más allá.

Por último, defender los derechos y el bienestar de los abogados es una responsabilidad que tomo muy en serio. La colaboración con otras instituciones para promover leyes y políticas que beneficien la práctica legal es parte integral de este esfuerzo.

S.B.: Importancia de la Legislación Actual: En su opinión, ¿cuáles son las leyes más críticas que afectan la seguridad de la información hoy en día y por qué?

E.R.: La ciberseguridad en la Unión Europea se fundamenta en un conjunto de normativas sin que exista una ley universal para su regulación. Además, ante el incremento de los ciberataques, Europa ha intensificado sus medidas para contrarrestar estas amenazas.

Del conjunto de normas destaca por un lado el Reglamento eIDAS, pieza clave para los servicios de confianza y la identificación electrónica, marcando un marco jurídico común en la UE. Este reglamento, conocido formalmente como Reglamento (UE) Nº 910/2014, proporciona las bases legales para un entorno digital seguro, facilitando transacciones electrónicas entre ciudadanos, empresas y autoridades públicas en toda la UE. Su principal propósito es hacer más accesibles y seguros los servicios en línea, tanto públicos como privados, para todos los ciudadanos de la UE, promoviendo así la integración hacia un mercado único digital. El Reglamento eIDAS, forma parte de las estrategias de la Comisión Europea para consolidar el mercado único digital. Tiene dos grandes metas: permitir el uso del DNI electrónico de los ciudadanos para acceder a servicios públicos en cualquier país miembro y establecer un mercado único para los servicios de confianza, igualando su validez legal a la de los procedimientos convencionales en papel. En esencia, el eIDAS establece normas legales y de seguridad para la identificación electrónica y los servicios de confianza, buscando su reconocimiento y fiabilidad a nivel UE.

Y, por otro lado, específicamente, la Directiva 2016/1148, también conocida como Directiva de Seguridad de las Redes y Sistemas de Información (NIS), busca asegurar un nivel alto de seguridad en la UE, abarcando tanto a operadores de servicios esenciales como a proveedores de servicios digitales. Dicha directiva impone la adopción de medidas técnicas y organizativas para manejar los riesgos en seguridad, así como la notificación obligatoria de incidentes significativos a las autoridades competentes o al Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT).

La evolución de las amenazas digitales, especialmente acelerada por la pandemia del COVID-19, llevó a la Comisión Europea a proponer en 2020 la revisión de esta directiva mediante la SRI 2, que busca reforzar la resiliencia y capacidad de respuesta ante incidentes. Además, el Reglamento de Ciberseguridad de la UE de junio de 2019 introdujo un sistema de certificación de ciberseguridad a nivel de la UE y amplió las competencias de la Agencia de la UE para la Ciberseguridad, contribuyendo a la confianza y al desarrollo del mercado de ciberseguridad en Europa.

En España, tenemos que mencionar el Código de Derecho de la Ciberseguridad, el cual recoge la legislación relevante para la protección del ciberespacio. Incluye, entre otras. la Ley 36/2015, de Seguridad Nacional; la Orden TIN/3016/2011, que establece el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones; la Ley 9/2014, General de Telecomunicaciones; y la Ley 25/2007, sobre conservación de datos de comunicaciones electrónicas, evidenciando la amplia gama de normativas que conforman el marco legal de la ciberseguridad en el país.

En este sentido, es importante tener en cuenta, como menciona el propio Código en su nota introductoria el carácter transversal de la ciberseguridad, afectada por otras normas de naturaleza general o, en otras palabras, no exclusivas de esta materia (por citar algunas, la normativa de protección de datos o las últimas modificaciones del código penal en materia de ciberdelitos).

S.B.: – ¿Cuáles son los desafíos legales más comunes que enfrentan las organizaciones en términos de seguridad de la información?

E.R.: Los desafíos legales en el ámbito de la seguridad de la información son variados y complejos, reflejando tanto la evolución constante de las amenazas cibernéticas como el cambiante panorama regulatorio global. Entre los más significativos se encuentran:

• Cumplimiento normativo: Las organizaciones deben navegar por un marco legal fragmentado y en constante cambio. Esto incluye leyes locales, nacionales e internacionales. Asegurar el cumplimiento continuo frente a estas regulaciones variadas y, a veces, contradictorias es un desafío constante.
• Protección de datos y privacidad: La protección de datos personales y sensibles es central para la seguridad de la información. Las organizaciones deben implementar medidas técnicas y organizativas adecuadas para proteger estos datos contra accesos no autorizados, pérdida o daño, lo que se complica aún más con la adopción de tecnologías emergentes como la nube y el big data.
• Notificación de brechas de seguridad: Muchas jurisdicciones exigen que las organizaciones notifiquen a las autoridades y a los afectados sobre las brechas de seguridad en plazos específicos. Sin embargo, determinar cuándo, cómo y a quién notificar puede ser complicado, especialmente cuando se trata de incidentes que cruzan fronteras internacionales.
• Gestión de riesgos y responsabilidad: Las organizaciones deben identificar y gestionar los riesgos asociados a la seguridad de la información, lo que incluye la responsabilidad legal en caso de incumplimiento o de una brecha de seguridad. Esto requiere una comprensión clara de las responsabilidades legales y contractuales, incluyendo acuerdos con terceros y proveedores de servicios.
• Ciberseguridad y derechos digitales: Existe una tensión creciente entre las medidas de seguridad implementadas por las organizaciones y los derechos de privacidad y libertad de expresión de los individuos. Las organizaciones deben equilibrar las necesidades de seguridad con el respeto a los derechos digitales, lo que a menudo implica navegar por complejas consideraciones éticas y legales.
• Propiedad intelectual y secretos comerciales: La seguridad de la información no solo se trata de proteger datos personales sino también la propiedad intelectual y los secretos comerciales, los cuales pueden ser objetivos clave de ciberataques. Las organizaciones enfrentan el reto de proteger estos activos mientras cumplen con la legislación aplicable sobre la materia.

En resumen, los desafíos legales en seguridad de la información requieren que las organizaciones mantengan una vigilancia constante y adapten sus políticas y prácticas a un entorno legal y tecnológico que está en permanente evolución.

S.B.: Impacto de la Tecnología en la Legislación: ¿Cómo cree que las tecnologías emergentes, como la inteligencia artificial o el blockchain, están afectando la legislación sobre seguridad de la información?

E.R.: Las tecnologías emergentes como la inteligencia artificial (IA) y el blockchain están redefiniendo el panorama de la ciberseguridad y, por ende, influyendo en la evolución de la legislación sobre seguridad de la información. Estas tecnologías ofrecen tanto oportunidades como desafíos para los legisladores, quienes buscan equilibrar la innovación con la protección de la información y la privacidad. En este sentido, podemos mencionar algunas maneras en que estas tecnologías están impactando la legislación:

• IA y automatización en la detección de amenazas: La capacidad de la IA para analizar grandes volúmenes de datos en tiempo real permite una detección y respuesta más rápida a las amenazas de seguridad. Esto ha llevado a la necesidad de legislar sobre cómo se recopilan, utilizan y protegen los datos utilizados por estas tecnologías, garantizando que no se comprometa la privacidad de los datos personales en el proceso.
• Responsabilidad y toma de decisiones automatizada: La IA plantea preguntas sobre la responsabilidad en caso de errores o acciones perjudiciales realizadas sin intervención humana. La legislación debe abordar quién es responsable cuando una decisión automatizada conduce a una brecha de seguridad o a la exposición de datos, lo que a su vez afecta cómo las organizaciones implementan y gestionan estas tecnologías.
• Blockchain y la inmutabilidad de los datos: El blockchain ofrece una manera segura y transparente de almacenar datos que, una vez registrados, no pueden ser alterados o borrados. Esto presenta desafíos para la legislación existente sobre protección de datos, como el derecho al olvido bajo el RGPD. La ley debe adaptarse para considerar cómo las características del blockchain interactúan con las normativas de privacidad y seguridad de la información.
• Transparencia y trazabilidad: Tanto la IA como el blockchain aumentan las capacidades de trazabilidad y transparencia de las transacciones y el procesamiento de datos. Esto puede ayudar a cumplir con regulaciones de seguridad de la información, pero también requiere una nueva legislación que aborde la gobernanza, los estándares y los protocolos de estas tecnologías para garantizar que se utilicen de manera ética y segura.
• Desafíos de seguridad específicos: A medida que estas tecnologías se integran más en los sistemas de información, surgen nuevos desafíos de seguridad específicos que deben ser abordados por la legislación, como los riesgos asociados al aprendizaje automático adversario o las vulnerabilidades en las cadenas de bloques.
• Estándares de seguridad y certificación: La legislación debe evolucionar para establecer estándares de seguridad específicos para la IA y el blockchain, así como para los procesos de certificación que aseguren el cumplimiento de dichos estándares.

En conclusión, la IA y el blockchain están impulsando cambios significativos en la legislación sobre seguridad de la información, obligando a los legisladores a considerar nuevas estructuras regulatorias que faciliten la innovación tecnológica mientras se protege la seguridad y la privacidad de los datos. La adaptación y actualización constantes de la legislación serán cruciales para navegar por el dinámico entorno tecnológico actual.

S.B.: ¿Cuáles son las mejores prácticas que las organizaciones deben seguir para asegurar el cumplimiento con las leyes de seguridad de la información?

E.R.: Para asegurar el cumplimiento con las leyes de seguridad de la información, las organizaciones deben adoptar un enfoque holístico y dinámico, dado el panorama legal y tecnológico en constante evolución. En mi opinión, algunas buenas prácticas clave serían las siguientes:

1. Realizar auditorías y evaluaciones de riesgos regulares: Identificar y evaluar los riesgos de seguridad de la información es fundamental. Esto implica realizar auditorías periódicas y evaluaciones de riesgo que consideren tanto la infraestructura tecnológica como los procesos organizativos, ayudando a priorizar las acciones de mitigación según el riesgo.
2. Mantenerse informado sobre la legislación vigente: Las organizaciones deben estar al tanto de las leyes y regulaciones actuales, tanto a nivel local como internacional, relacionadas con la seguridad de la información. Esto puede requerir la consulta con expertos legales especializados en ciberseguridad y protección de datos.
3. Desarrollar e implementar políticas de seguridad de la información: Es esencial contar con políticas claras y detalladas que aborden todos los aspectos de la seguridad y protección de datos, desde el acceso físico y lógico hasta el manejo de incidentes de seguridad y la notificación de brechas. Estas políticas deben revisarse y actualizarse regularmente.
4. Formación y concienciación del personal: La seguridad de la información es responsabilidad de todos en la organización. Proporcionar formación continua sobre las mejores prácticas de seguridad y concienciar sobre las amenazas actuales puede ayudar a prevenir incidentes de seguridad.
5. Adoptar un enfoque de privacidad y seguridad por diseño: Integrar la privacidad y medidas de seguridad desde el inicio del desarrollo de productos o servicios y a lo largo de todo el ciclo de vida es crucial. Esto incluye la implementación de controles técnicos y organizativos adecuados para proteger los datos personales y la información sensible.
6. Gestionar los proveedores y las terceras partes: Asegurar que los socios comerciales y proveedores cumplan con las mismas normas de seguridad de la información es vital, especialmente cuando manejan o tienen acceso a datos sensibles. Esto puede incluir la realización de auditorías a terceros y la inclusión de obligaciones de seguridad en los contratos.
7. Preparar un plan de respuesta ante incidentes: Contar con un plan de respuesta ante incidentes de seguridad de la información es esencial. Este plan debe incluir procedimientos para la detección, contención y remediación de incidentes, así como para la notificación a las autoridades y partes afectadas conforme a los requisitos legales.
8. Implementar medidas técnicas de seguridad: Adoptar y mantener soluciones tecnológicas avanzadas, como cifrado, autenticación multifactor, firewalls, sistemas de detección y prevención de intrusiones, y herramientas de gestión de vulnerabilidades para proteger contra amenazas de seguridad.
9. Revisión legal constante: Dada la naturaleza cambiante de las leyes y regulaciones, las organizaciones deben revisar constantemente sus prácticas y políticas de seguridad de la información en consulta con expertos legales para asegurar el cumplimiento continuo.

Al seguir estas prácticas, las organizaciones pueden fortalecer su postura de seguridad y asegurar el cumplimiento con las complejas y variadas leyes de seguridad de la información.

S.B.: Desde el punto de vista legal, ¿cómo debe una organización prepararse y responder ante una brecha de seguridad?

E.R.: Desde el punto de vista legal, tanto en España como en Europa, la preparación y respuesta ante una brecha de seguridad implica una serie de pasos estratégicos y obligaciones legales específicas, principalmente enmarcados por el Reglamento General de Protección de Datos (RGPD) en Europa y, en el caso de España, complementados por la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Por un lado, la normativa establece unas obligaciones para estar preparados ante cualquier eventualidad de este tipo, que abarca lo siguiente:

1. Política de gestión de incidentes: Las organizaciones deben desarrollar y mantener una política de gestión de incidentes de seguridad que incluya procedimientos específicos de detección, reporte, y respuesta ante brechas de seguridad.
2. Equipo de respuesta ante incidentes: Crear un equipo multidisciplinario de respuesta ante incidentes (CSIRT, por sus siglas en inglés), incluyendo miembros de los departamentos de TI, legal, comunicación y, en algunos casos, recursos humanos.
3. Formación y concienciación: Implementar programas de formación y concienciación para el personal sobre los riesgos de seguridad de la información, el reconocimiento de incidentes potenciales y las acciones a tomar en caso de detectar una brecha.
4. Medidas técnicas y organizativas: Adoptar medidas apropiadas para asegurar un nivel de seguridad adecuado al riesgo, incluyendo cifrado, gestión de accesos, y la protección de las redes.

En segundo lugar, las normas establecen la respuesta que debe producirse ante una brecha de seguridad:

1. Detección y contención: Una vez detectada una brecha, la organización debe actuar rápidamente para contenerla y limitar los daños. Esto puede implicar desconectar sistemas, recopilar evidencias o aplicar parches de seguridad.
2. Evaluación del impacto: Evaluar la naturaleza, sensibilidad y volumen de los datos personales afectados, así como el impacto potencial sobre los derechos y libertades de las personas implicadas.
3. Notificación a las autoridades: De acuerdo con el RGPD, las organizaciones están obligadas a notificar a la autoridad de control competente, como la Agencia Española de Protección de Datos (AEPD) en España, en un plazo máximo de 72 horas después de haberse percatado de la brecha, a menos que la brecha no suponga un riesgo para los derechos y libertades de las personas.
4. Comunicación a los afectados: Si la brecha puede resultar en un alto riesgo para los derechos y libertades individuales, la organización debe comunicarlo a las personas afectadas sin dilaciones indebidas, proporcionando detalles sobre la naturaleza de la brecha y recomendaciones para mitigar sus posibles efectos negativos.
5. Documentación y análisis: Todas las brechas deben ser documentadas, incluyendo sus efectos y las medidas correctivas tomadas. Esto es esencial no solo para cumplir con las obligaciones legales, sino también para analizar lo sucedido y mejorar las estrategias de seguridad.
6. Revisión y mejora continua: Tras una brecha, es crucial revisar y ajustar las políticas y procedimientos de seguridad para prevenir incidentes futuros. Esto puede incluir la actualización de software, el refuerzo de medidas de seguridad física y organizativa, y la mejora de los programas de formación.

En resumen, la preparación y respuesta ante una brecha de seguridad desde el punto de vista legal en España y Europa requiere un enfoque integral que incluye la planificación anticipada, la rápida actuación en caso de incidente, y el cumplimiento con las obligaciones de notificación y comunicación establecidas por el RGPD y la legislación nacional como la LOPDGDD.

Samira: Privacidad de Datos vs. Seguridad: ¿Cómo pueden las organizaciones equilibrar la necesidad de proteger la información con los derechos de privacidad de los individuos?

E.R.: Equilibrar la protección de la información con los derechos de privacidad de los individuos es un desafío complejo pero fundamental para las organizaciones en la era digital. Este equilibrio requiere una comprensión profunda tanto de las necesidades de seguridad como de los principios de privacidad de datos. Algunas estrategias clave que las organizaciones pueden adoptar para lograr este equilibrio, pienso que pueden ser las siguientes:

• Adopción de un enfoque de privacidad y seguridad por diseño (“by design”):  Esto significa integrar la privacidad y la seguridad en todas las etapas del desarrollo y operación de productos, servicios y procesos. Al considerar estos aspectos desde el inicio, las organizaciones pueden asegurar que la protección de datos y la seguridad sean inherentes y no añadidas como una reflexión tardía.
• Implementación de políticas de minimización de datos: Recolectar solo los datos estrictamente necesarios para el propósito especificado ayuda a reducir el riesgo de brechas de datos y facilita el cumplimiento de las leyes de privacidad. Limitar el acceso a los datos personales solo a aquellos empleados que necesiten acceder a ellos para realizar sus funciones también es una práctica clave.
• Educación y formación continua: Capacitar a los empleados sobre la importancia de la seguridad de la información y la protección de la privacidad es esencial. Deben estar informados sobre cómo manejar los datos de manera segura y conocer las políticas internas de la organización, así como las regulaciones legales aplicables.
• Evaluaciones de impacto sobre la privacidad: Realizar evaluaciones de impacto sobre la privacidad (PIAs) para proyectos o procesos nuevos o revisados que manejen datos personales. Esto ayuda a identificar y mitigar riesgos de privacidad desde el inicio.
• Cifrado y otras medidas de seguridad: El cifrado de datos personales, tanto en reposo como en tránsito, es una medida técnica efectiva para proteger la información. Combinado con otras técnicas como la autenticación multifactor y el control de acceso basado en roles, ayuda a asegurar que solo las personas autorizadas puedan acceder a los datos.
• Transparencia y comunicación con los usuarios: Ser transparente sobre cómo se recopilan, usan y protegen los datos personales. Ofrecer a los individuos opciones claras y sencillas para gestionar su privacidad y brindarles la oportunidad de optar por no participar en ciertas prácticas de recopilación y uso de datos mejora la confianza y cumple con las obligaciones legales.
• Monitoreo y respuesta a incidentes: Implementar sistemas para la detección temprana de brechas de seguridad y tener un plan de respuesta ante incidentes. Esto no solo es crucial para mitigar los daños en caso de una brecha, sino también para comunicarse de manera efectiva con los afectados y con las autoridades reguladoras de manera oportuna.
• Revisión y actualización regulares de políticas y prácticas: Las amenazas a la seguridad y los requisitos legales cambian con el tiempo. Las organizaciones deben revisar y actualizar regularmente sus políticas y prácticas de seguridad y privacidad para reflejar estos cambios y las nuevas mejores prácticas.

S.B.: ¿Podría compartir algún caso reciente donde la intervención legal fue crucial para resolver un problema de filtración de información y vulnerabilidad de la seguridad de la información?

E.R.: Se podrían citar muchos, pues por desgracia los incidentes de este tipo son cada vez más frecuentes. Por ejemplo, en octubre de 2023 Air Europa experimentó un ciberataque que comprometió los datos de tarjetas de crédito de los clientes, incluyendo números de tarjeta, fechas de caducidad y códigos CVV. A pesar de controlar rápidamente el incidente, y en ese momento afirmar que no se accedió a otros datos personales, la aerolínea instó a los afectados a cancelar las tarjetas comprometidas como precaución. La brecha, atribuida a una vulnerabilidad en los sistemas de pago gestionados por Telefónica Tec, resaltó la importancia de cumplir con las normativas de seguridad como PCI-DSS, que prohíbe el almacenamiento de códigos CVV. Este no era el primer incidente de seguridad para Air Europa, que ya en 2018 sufrió una brecha significativa, resultando en una multa de 600.000 euros por parte de la AEPD. La aerolínea se comprometió a evitar futuras incidencias y ofreció asesoramiento a los usuarios afectados. Ahora, hace unas semanas (21 de marzo) hemos sabido que, a raíz de ese ciberataque de octubre, Air Europa ha reconocido que pudo haber una posible filtración adicional de datos personales de clientes y pasajeros, incluyendo información como nombres, apellidos, documentos de identidad, códigos de viajero frecuente, direcciones postales, fechas de nacimiento, teléfonos, correos electrónicos y nacionalidades. No obstante, datos bancarios no figurarían entre la información comprometida según la aerolínea, que ha comunicado a los afectados que, hasta el momento, no se ha detectado uso fraudulento de estos datos y considera que cualquier inconveniente sería limitado.

Esta nueva revelación sigue al incidente inicial donde se comprometieron datos de tarjetas de crédito. Air Europa ha reiterado recomendaciones de precaución a sus clientes, incluyendo el escrutinio de comunicaciones sospechosas y la actualización anual de contraseñas y datos de acceso a cuentas digitales. La compañía asegura estar implementando medidas preventivas y de seguridad para minimizar impactos futuros.

Por otro lado, no podemos olvidar que muchas de estas brechas no afectan a empresas privadas sino a las Administraciones públicas. Durante el año 2022 (el último del que hay datos) la Agencia Española de Protección de Datos (AEPD) recibió un total de 243 notificaciones de brechas personales provenientes del sector público, lo que supuso un aumento del 49 % en comparación con el año anterior. Este hecho pone de manifiesto la importancia de que las Administraciones Públicas se conciencien de la necesidad de implementar medidas de seguridad que minimicen los posibles impactos personales y sociales derivados de una brecha de datos.

A raíz de esos datos tan elevadísimos, la AEPD ha hecho público un documento con un listado de medidas preventivas que se podrían implementar destinado a los organismos públicos y a sus delegados de protección de datos. Este documento, denominado “Orientaciones para tratamientos que implican comunicación de datos entre Administraciones Públicas ante el riesgo de brechas de datos personales”, se centra en aquellos tratamientos en los que, debido al elevado volumen de datos personales y por la interconexión permanente entre sistemas de las Administraciones, son susceptibles de sufrir brechas masivas de datos personales de alto riesgo para los derechos fundamentales.

S.B.: Consejos Legales para Startups: ¿Qué consejo legal daría a las startups que manejan datos sensibles para asegurarse de que cumplen con las normativas de seguridad de la información desde el principio?

E.R.: Para las startups que manejan datos sensibles, asegurar el cumplimiento con las normativas de seguridad de la información desde el inicio es esencial no solo para la protección de los datos, sino también para la viabilidad y credibilidad de la empresa.

Seguir unas pautas básicas puede ayudar a las startups a construir una sólida fundación de seguridad y privacidad de datos, lo cual es crucial para ganar y mantener la confianza de los usuarios y clientes, y evitar sanciones legales y daños a la reputación.

Algunos consejos legales fundamentales serían los siguientes:

• Consulta con expertos legales: Considera la posibilidad de obtener asesoramiento legal especializado en protección de datos y seguridad de la información para asegurar que tu startup no solo cumpla con las regulaciones desde el principio, sino que también esté preparada para adaptarse a las cambiantes leyes y regulaciones.
• Conoce las leyes aplicables: Investiga y comprende las regulaciones de protección de datos relevantes en las jurisdicciones donde operas. Esto incluye no solo las normas sobre cómo recopilar, usar y almacenar datos, sino también sobre cómo responder a violaciones de datos.
• Implementa privacidad y seguridad por diseño: Integra medidas de seguridad y privacidad en el desarrollo de tus productos o servicios desde el principio. Esto significa considerar la privacidad de los datos y la seguridad de la información en cada etapa del ciclo de vida del desarrollo, minimizando la recopilación de datos y limitando el acceso a ellos.
• Realiza evaluaciones de impacto sobre la protección de datos (DPIAs): Especialmente si procesas datos sensibles o a gran escala, realiza evaluaciones de impacto para identificar y mitigar riesgos para la privacidad de los datos antes de iniciar cualquier proyecto que los implique.
• Política de protección de datos y términos de uso claros: Asegúrate de que tu política de protección de datos y tus términos de uso sean claros, accesibles y transparentes para tus usuarios. Deben detallar cómo recopilas, usas, almacenas y proteges sus datos personales, así como explicar sus derechos respecto a esos datos.
• Capacita a tu equipo: La concienciación sobre seguridad y protección de datos debe ser una parte esencial de la formación de todos los empleados. Esto incluye no solo al personal técnico, sino también a cualquier empleado que pueda tener acceso a datos personales.
• Gestión de terceros y proveedores: Si trabajas con terceros o proveedores que pueden acceder o procesar datos personales, asegúrate de que también cumplan con las normativas aplicables. Esto puede requerir incluir cláusulas específicas en los contratos o realizar auditorías de seguridad.
• Prepara un plan de respuesta ante incidentes: Ten un plan claro y detallado sobre cómo responder a las violaciones de seguridad de la información. Esto debe incluir cómo detectarlas, evaluarlas, contenerlas, y notificar a las autoridades reguladoras y a las personas afectadas conforme a las leyes aplicables.

S.B.: Futuro de la Legislación de Seguridad de la Información: ¿Qué cambios anticipa en la legislación sobre seguridad de la información en los próximos años y cómo deberían prepararse las organizaciones?

E.R.: El futuro de la legislación sobre seguridad de la información se proyecta en mi opinión hacia un escenario de continua evolución y endurecimiento, impulsado por el crecimiento exponencial de la tecnología digital, la prevalencia de ciberataques más sofisticados y la creciente preocupación por la privacidad de los datos personales. Las organizaciones deben prepararse para adaptarse a estos cambios, que probablemente incluirán:

• Regulaciones más estrictas y detalladas: las leyes de protección de datos y seguridad de la información, como el RGPD en Europa, pueden actualizarse para abordar desafíos emergentes relacionados con tecnologías avanzadas como la inteligencia artificial (IA), el Internet de las Cosas (IoT) y el big data. Esto podría significar requisitos más estrictos en términos de consentimiento, transparencia y gobernanza de datos.

• Enfoque en la seguridad desde el diseño: Se anticipa un mayor énfasis en principios de «privacidad desde el diseño» y «seguridad desde el diseño», obligando a las organizaciones a integrar consideraciones de seguridad y privacidad en la fase inicial del desarrollo de productos y servicios, y no como una medida adicional.

• Legislación para nuevas tecnologías: Es probable que surjan regulaciones específicas dirigidas a tecnologías emergentes. Por ejemplo, la legislación sobre IA podría establecer marcos para la toma de decisiones automatizada, el reconocimiento facial y la ética algorítmica, lo que tendría implicaciones directas en la seguridad de la información.

• Interoperabilidad de normativas a nivel global: Dado el alcance global de la economía digital, puede haber esfuerzos para armonizar las leyes de seguridad de la información a través de fronteras internacionales. Esto facilitaría a las empresas operar en múltiples jurisdicciones, pero también requeriría cumplir con un conjunto de normas posiblemente complejas y en constante cambio.

• Foco en la resiliencia cibernética: Además de prevenir brechas de seguridad, las legislaciones futuras podrían enfatizar la necesidad de resiliencia cibernética, obligando a las organizaciones a tener planes de recuperación y respuesta ante incidentes bien desarrollados, así como a realizar simulacros de seguridad cibernética de manera regular.

¿Cómo prepararse?

• Mantenerse informado: Las organizaciones deben seguir de cerca las tendencias legislativas y regulatorias en los territorios donde operan y donde residen sus clientes.

• Flexibilidad y adaptabilidad: Desarrollar una cultura organizacional y sistemas tecnológicos que sean lo suficientemente flexibles para adaptarse a cambios normativos.

• Inversión en seguridad y privacidad: Asignar recursos suficientes para la seguridad de la información y la privacidad de datos, incluyendo tecnología, capacitación y personal calificado.

• Colaboración con expertos legales: Trabajar regularmente con asesores legales especializados en ciberseguridad y protección de datos para garantizar que las políticas y prácticas de la empresa estén actualizadas y sean conformes.

Promover la transparencia y la responsabilidad: Establecer y mantener una comunicación abierta con los clientes y usuarios sobre cómo se manejan y protegen sus datos.