Los avances tecnológicos que ha experimentado la humanidad durante los últimos años exigen a las empresas adoptar una gestión de datos más transversal y preventiva. El Perú no es ajeno a esta realidad y, por ello, la Autoridad Nacional de Protección de Datos Personales (ANPD) se encuentra en proceso de elaborar un reglamento acorde a los tiempos actuales. 

En ese sentido, el próximo reto para las organizaciones consistirá en establecer nuevos procesos e invertir más en la implementación de nuevas tecnologías, a fin de evitar posibles sanciones y riesgos reputacionales. 

Lineamientos actuales

La Constitución Política del Perú precisa que los servicios informáticos no deben suministrar información que afecte la intimidad personal y familiar de las personas. Asimismo, la Ley n.o 29733, Ley de Protección de Datos Personales, establece los principios, los derechos de los titulares y las condiciones que deben aplicarse en el tratamiento de esta información. Su reglamento se aprobó mediante el Decreto Supremo n.o 003-2013-JUS. 

En la actualidad, la normativa de protección de datos personales del Perú considera los siguientes derechos: 

• Derecho de acceso. Relacionado con la obtención de información sobre los datos personales, las razones por las cuales se recopiló, las transferencias realizadas, y las condiciones y los usos dados a esta información.
• Derecho de información. Se aplican de forma detallada, sencilla, expresa, inequívoca y previa a la recopilación de datos sobre su futuro tratamiento.
• Derecho de cancelación. Se aplica cuando los datos personales ya no son necesarios para el objetivo por el cual se recopilaron.
• Derecho de rectificación. Abarca los datos personales que resulten ser inexactos, incompletos, erróneos, desactualizados o falsos de forma parcial o total.
• Derecho de oposición. Ante un motivo legítimo y fundado sobre una situación personal concreta, uno puede oponerse al tratamiento de su información personal.

Cambios en la normativa

Según la ANPD, el nuevo reglamento creará la figura del oficial de datos en el interior de las organizaciones que manejen grandes volúmenes de información sensible. Asimismo, establecerá la obligación de reportar incidentes de seguridad. Estas acciones potenciarán la gestión de datos que muchas empresas integraron en sus políticas de compliance como parte de su digitalización durante la pandemia de la covid-19.

El oficial de datos será responsable de evaluar todo el flujo de información en la empresa. En ese sentido, primero será necesario que cada organización depure sus fuentes de datos para disminuir los puntos de riesgo. El reglamento también enfatiza que los titulares de los datos son responsables en caso de incidentes que involucren a sus proveedores. En ese sentido, las áreas de servicios y contratación tienen que elevar sus estándares de evaluación y revisar los protocolos de terceros.  

Las organizaciones también deben abordar los reportes de incidentes desde un enfoque más integral e impulsar una coordinación constante entre los departamentos de data, relaciones públicas y legal para emitir respuestas conjuntas. En ese sentido, en la actualidad ya existen compañías multinacionales que cumplen exigencias globales de este tipo como parte de sus programas de compliance. 

Dificultades financieras

Es importante precisar que el reglamento exigirá a las empresas una inversión mucho mayor para incorporar a un oficial de datos y adquirir la tecnología necesaria para detectar posibles fugas de datos. En ese sentido, los sectores entretenimiento, servicios, retail y educación estarían más expuestos a sufrir inconvenientes en la gestión de su información, sobre todo en el caso de las organizaciones de menor tamaño, por no contar siempre con el presupuesto suficiente.

Ante esta problemática, la ANPD adelantó que las pequeñas empresas contarán con un periodo de adecuación de hasta cuatro años para establecer los estándares de protección de datos correspondientes. Asimismo, el reglamento incluirá atenuantes de responsabilidad, como las políticas de protección de datos personales. ¿Qué acciones consideras que debería tomar el Estado para lograr que todas las empresas ajusten sus políticas de protección de datos en base al nuevo reglamento? Déjanos tu opinión.

Aprende más participando en los programas que ESAN Business Law tiene para ti.