Privacidad

La privacidad, en un contexto de seguridad, es la protección de la información personal y sensible de las personas y de las organizaciones frente a accesos no autorizados, usos indebidos o divulgación.

Está estrechamente ligada al control sobre la información personal y al cumplimiento de las normas que la regulan, como el RGPD en la Unión Europea o la CCPA en California.

Qué implica

Confidencialidad de la información personal. Asegurarse de que los nombres, las direcciones, los números de identificación, los historiales médicos, los datos financieros y demás información sensible sigan siendo confidenciales y accesibles solo para quien deba acceder a ellos, mediante cifrado, control de acceso y una política de tratamiento de datos.

Consentimiento y transparencia. Las organizaciones tienen que obtener el consentimiento informado, cuando el consentimiento es la base en la que se apoyan, antes de recoger, tratar o compartir datos personales, y tienen que decir con claridad para qué se van a usar los datos y con quién se van a compartir.

Protección frente a amenazas. Los datos personales hay que defenderlos de amenazas internas y externas: intrusiones, malware, suplantación de identidad y fugas de datos. Eso es trabajo de seguridad corriente, aplicado a una categoría de datos que lleva consecuencias legales asociadas.

Un ejemplo

Una empresa de comercio electrónico aplica una política de privacidad estricta a los datos de sus clientes.

La información de pago va cifrada en tránsito, el acceso a las cuentas exige un segundo factor, y la empresa realiza evaluaciones de riesgo y revisiones de cumplimiento periódicas para confirmar que cumple sus obligaciones.

La parte que decide si algo de esto funciona es menos visible: saber, para empezar, qué sistemas contienen datos personales, incluidos los registros y las analíticas.

Privacidad, RGPD y dato personal

Los tres se usan como si fueran el mismo tema y son tres niveles distintos.

La privacidad es el principio: el control de una persona sobre su propia información. Existe antes que cualquier norma y es más amplia que cualquiera de ellas.

El RGPD es la norma que convierte ese principio en obligaciones concretas en la Unión Europea, con sus derechos y sus plazos. En España lo complementa la LOPDGDD y lo supervisa la AEPD.

El dato personal es aquello a lo que se aplica, y su alcance es mayor de lo que se supone: incluye identificadores en línea, direcciones IP, identificadores de cookie y de dispositivo, y los datos seudonimizados, porque se pueden volver a enlazar con una persona.

Por qué importa el orden: un programa montado sobre una idea estrecha de dato personal deja fuera justo los registros, las analíticas y los identificadores donde el dato regulado se acumula de verdad, que suele ser de donde saldría en una brecha.

El instrumento práctico que une el principio con el control técnico es la clasificación de datos: saber qué hay y dónde está antes de decidir cómo se protege.

Dónde leer más

AEPD, privacidad y seguridad en internet: guía práctica de la autoridad española de protección de datos.

Electronic Frontier Foundation, privacidad: material sobre los principios de privacidad y cómo se traducen en la práctica.