Recomiendan definir en las organizaciones a un líder para la protección de datos

Por Francisco Iglesias

La legislación mexicana actual no especifica si para la protección de datos personales las organizaciones deben conformar un comité o sólo designar a un responsable, ni a qué área debe permanecer. Esa tarea depende de cada empresa o institución.

Según la socia de Ernst & Young, Sylvia Martínez, no se trata de un vacío legal, sino que el reglamento de la Ley de Protección de Datos Personales en Posesión de Particulares (LPDPPP) “es una disposición de mínimos” que establece las regulaciones básicas para garantizar la seguridad de la información de las personas.

En una mesa con especialistas de Symantec durante la segunda etapa de b:Secure Conference, Martínez señaló que conformar un comité para la protección de datos depende del funcionamiento de la organización, es decir, de la “necesidad operativa”.

En las instituciones, dijo, en que se maneja un volumen importante de datos se han implementado comités, integrado por distintas personas encargadas de un proceso específico del tratamiento de la información. En otras sólo se ha designado a alguien.

“Lo importante es que haya alguien quien lidere (la protección de datos) y tome esa comunicación directa con la dirección general en la toma de decisiones”, afirmó la socia de Ernst & Young, quien aseguró que dependerá del ajuste a las necesidades y el cumplimiento de cada organización.

Martínez puntualizó que el responsable de la protección de datos, en caso de una incidencia, no es quien asume la responsabilidad legal.

En su momento, Rafael García de Symantec, evidenció que en la actualidad la mayoría de las empresas aún no han formalizado esta designación y en muchos casos el propio departamento de IT es el que de manera no oficial se hace cargo de esta tarea.

Sylvia Martínez aseguró que aunque el reglamento de la LPDPPP tiene mínimos, “hay diversas acciones complementarias a las que se establece en la ley” que  las organizaciones deben tomar en cuenta, sobre todo, ahora que los ciudadanos exijan sus derechos ARCO (Acceso, Rectificación, Corrección, Omisión).

“Las empresas deben entender el ciclo de vida de los datos personales, quiénes acceden a ellos, quiénes los manipulan y de dónde”, afirmó.