Cuantos más datos personales mejor: cuando los perfiles son necesarios

El Reglamento UE 2016/679 General de Protección de Datos está aquí para proteger nuestros datos pero no para impedir usarlos.

Este blog aborda las cuestiones más prácticas de la protección de datos y hablamos de eso; de proteger los datos, de cómo limitar para que no se hagan cosas que no se deben con los datos de salud o de preferencias, de cumplir con el RGPD y la minimización etc etc.

Sin embargo, nos olvidamos de cuántas cosas estupendas se pueden hacer si se recogen muchos datos y si son sensibles mejor. Me refiero a las situaciones de extrema dependencia, cuando uno no se puede defender y tiene que ser otra persona (a veces una fría institución tutelar) la que decida según qué cosas.

Hablo desde la experiencia personal: llevo años a cargo de una persona que no puede comunicarse, que depende al cien por cien de los demás y que no puede elegir si siquiera lo que come o si tiene frío o calor: si quien le viste tiene frío, toca abrigarse. Tampoco puede elegir qué programa ver en la televisión y si  quien le pone frente a la tele le gusta el fútbol o los culebrones, pues se los traga… aunque algún día los odió.

Qué decir de datos de salud que los historiales médicos no recogen (montones de detalles que no aparecen en los historiales médicos) o incluso preferencias sexuales o incluso cuestiones tan privadas como haber sido víctima de violencia de género… Y no queda nadie que lo pueda advertir.

En los historiales médicos no pone claramente si la persona habla, entiende o si puede tragar. Si nadie le acompaña en una urgencia… el problema se agrava.

Quiero decir con esto que puede llegar un momento en nuestras vidas en las que saber (y que sepan quienes nos cuidan) si nos gusta o no el pescado, si odiamos los toros o si nos encanta el olor a lavanda puede ser lo único que nos conecte con nuestra vida “normal” anterior. Muchos familiares de personas dependientes o con demencias me entenderán. A veces son pequeños detalles que hacen que esa persona conecte. O simplemente podamos arrancarle una sonrisa porque ha acariciado a un perro y ya no recuerda que adoraba a los animales…ni mucho menos que los tuvo y sus nombres…

Recopilar datos en estas situaciones puede ayudar mucho: se trata de dignidad, se trata de personalizar los tratamientos y hacerlos más humanos, se trata de no tener que contar la historia de la vida de esa persona “cada vez” que visitas un hospital o un centro asistencial. Se trata de ser humanos. La línea es delgada y se trata de uniformarnos a todos con un pijama y un puré o hacernos nuestros últimos años una continuación de lo que fuimos. ¿Cómo conseguirlo? Con datos, con información. Y todos nos echamos las manos a la cabeza cuando oímos de perfiles, de gustos y aficiones pero acaso no nos gustaría que en situaciones como las descritas, alguien hiciera sonar nuestra música favorita o nos vistiera como nos gustaba vestirnos?

El tratamiento de datos se justifica por la finalidad: hay miles de usos maravillosos que nos harán la vida mejor y más fácil. Si yo falto algún día sé que a mi padre le afeitarán, nadie le pondrá sus gafas y su gorra y le meterán la cuchara grande hasta el gaznate porque nadie sabrá quién fue ni cuál fue su identidad.

Por eso, tal vez deberíamos reflexionar sobre quién y cómo queremos que tenga nuestros datos y sobre todo si perdemos la memoria y no nos valemos por nosotros mismos, que alguien sea consciente que sobre esa cama, silla de ruedas o bajo esa máscara de oxígeno hay un ser humano con sus características, preferencias y en definitiva su perfil, un perfil, que a lo mejor, algún día, es lo único que queda para poder recordarnos lo que en su día fuimos…

He conocido a unas personas que están trabajando en una iniciativa maravillosa que tiene que ver con esto. No existe nada al respecto. Y no es publicidad pero creo que si en vez de volvernos paranoicos con los datos ponemos las neuronas al servicio de los más débiles y pensamos cómo hacer cosas buenas, tal vez eliminemos esa “mala imagen” que los tratamientos exhaustivos de datos y los perfilados tienen.

Se llaman ENVITA y espero que su proyecto sirva para humanizar la vida de los mayores y de los dependientes en centros asistenciales.

Si a alguien le interesa, que me pregunte. De momento yo ya estoy escribiendo mi “proyecto de vida” por si algún día, alguien que no me conoce, me tiene que peinar por las mañanas y me tiene que recordar que yo escribía un blog.

Paz Martin
#losdetallesimportan

27 de mayo de 2019

Lo que hemos aprendido en un año de RGPD: la privacidad importa

De la desidia del dato a la catarsis colectiva

25 de mayo de 2018: ni un solo asesor de este país (y seguramente del resto de los países de la Unión Europea) durmió tranquilo. Es más, probablemente ni durmió. Aquello parecía una carrera contra reloj. Parecía que el filo de la guillotina sancionadora caería ese mismo día y el que no estuviera adaptado ardería en los infiernos de las autoridades de control…

Lo curioso fue que aquellos a los que la privacidad no les había importado hasta la fecha, fueron los que más prisa metieron a sus asesores para “adaptarse”.

Acciones masivas de petición de consentimiento (alguna innecesarias) enviadas el 24 de mayo por la noche, cláusulas informativas, contratos, registros de actividades de tratamiento, análisis de riesgos, políticas, procedimientos de brechas y derechos…

Y llegó el día 26, el 27…. Y no pasó nada… Ya lo sabíamos.

Bueno sí paso, pasó que por fin la privacidad importa. Y sólo por eso ha merecido la pena.
Hemos ganado en transparencia: ahora nos informan mejor y más claro (algunos se pasan y han convertido pequeños textos en verdaderos tratados de privacidad.
Hemos ganado en buenas prácticas :nos piden el consentimiento para todo, incluso cuando el consentimiento no es necesario…
El cumplimiento es un poquito más real que antes: ya no hablamos de carpetas y modelos cubiertos de polvo (físico o virtual pues pocas carpetas físicas se ven ahora). Ahora se trata de hacer las cosas bien, de que los datos se respeten, se conserven adecuadamente, se informe bien, se atiendan los derechos. No sólo que conste en algún documento…

Por fin la protección de datos ha trascendido el departamento legal o de informática de las empresas y se ha convertido en cosa de todos. Hemos ganado las personas.

Y más allá de las obligaciones establecidas en el RGPD y posteriormente en la Ley Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales y de garantía de derechos digitales, las empresas han tomado conciencia que los datos personales hay que protegerlos porque protegen derechos fundamentales: porque en un mundo tan hiperconectado, tan expuesto a través de Internet y redes sociales, donde nuestros datos se cruzan y hasta nuestro banco o Facebook sabe más de nuestros gustos que nosotros mismos… las personas seguimos teniendo nuestro reducto de intimidad que merece y debe ser protegido.

El RGPD también ha servido para concienciar a las personas de que una vez que difundan sus datos, a veces es difícil controlarlos, pero no imposible pues existen derechos. Y estos derechos tienen que ser satisfechos por aquellos que tienen nuestros datos.
No obstante, no cantemos victoria. Somos como somos y muchos hicieron los deberes y se han relajado. Y no, toca estar encima, revisar, controlar, auditar, mejorar.

No hay procedimiento de cumplimiento normativo que se precie que sea estático. Es más, es preferible ir poco a poco. La responsabilidad proactiva nos exige estar encima: no sirve hacer dieta un mes: hay que llevar una alimentación saludable. Los resultados a lo mejor no son inmediatos pero a largo plazo es infinitamente mejor.

Por eso, un año después debemos reflexionar:

1.- ¿Nos sigue importando la privacidad o nos lo tomamos como un trámite que había que cumplir? ¿Fue la dieta del bikini o un plan a largo plazo de cumplimiento real? El propio RGPd exige revisión y mejora continua así que más importante que haber corrido en el 2018 es seguir alerta, revisando y actualizando los tratamientos de datos.

2.- ¿Seguimos concienciando a nuestro personal de forma periódica? Una charla se olvida. Además, siempre hay aspectos de seguridad, de organización o de negocio que afectan a los datos personales sobre los que merece la pena insistir.

3.- ¿Hemos revisado cómo lo estamos haciendo? Un año después es buen momento. Aunque el RGPD ya no establece una periodicidad concreta en las auditorías, todos los sistemas de gestión de la seguridad de la información establecen controles anuales, mejor externos aunque lo importante es la revisión.

4.- ¿Estamos documentando la respuesta a la petición de derechos? Los derechos de las personas son importantes y garantizar su atención, prioritario.

5.- Tal vez es momento de actualizar el Registro de Actividades de Tratamiento. Muchas empresas se basaron en los ficheros que históricamente tenían declarados ante la Agencia Española de Protección de Datos pero probablemente se pueda “profundizar” un poco más. La responsabilidad proactiva también exige reflexionar sobre esto.

6.- ¿Tenemos los mismos riesgos que el año pasado? También tenemos que actualizar el análisis de riesgos pues es posible que los de cumplimiento hayan disminuido pero existan otros nuevos. O incluso que podamos actualizar la valoración.

7.- ¿Hemos tenido alguna brecha de seguridad? En caso afirmativo ¿ha funcionado el procedimiento que establecimos? Si no hemos tenido brechas ¿estamos documentando las incidencias?

8.- ¿Existen tratamientos de datos personales nuevos? En caso afirmativo, ¿se informa desde la recogida y si procede, se solicita el consentimiento explícito? Según el tipo de datos y sus circunstancias, tal vez es necesario realizar una Evaluación de Impacto.

9.- ¿Se han firmado contratos con todos los proveedores con acceso a datos? Aunque si existían antes existe una moratoria hasta 2022, conviene que dichos contratos se actualicen al RGPD y sobre todo, en aquellos proveedores tecnológicos, que especifiquen las medidas de seguridad que van a garantizar la confidencialidad, integridad y disponibilidad de los datos a los que tendrán acceso por el servicio prestado.

10.- En definitiva, ¿nos sentimos cómodos con el sistema de gestión de la privacidad que hemos establecido? A lo mejor tenemos que hacer algunos cambios, actualizar responsabilidades, etc. Nada es inamovible. Lo importante es que…

#laprivacidadimporta

 

Mayo de 2019
Paz Martin
#losdetallesimportan