12.9 millones de datos están a la venta: quién responde cuando una empresa los expone

Con cada anuncio de una nueva filtración de datos, hay una idea que constantemente aparece en las conclusiones de los especialistas en ciberseguridad : las personas no siempre dimensionan el valor de su información personal. Un nombre, un teléfono o una dirección pueden parecer datos inofensivos, pero en manos equivocadas pueden facilitar desde intentos de fraude hasta el robo de identidad. “La información que se está vendiendo es tu información, la que te identifica como persona”, advierte Fidel Delgado Ramos, gerente coordinador de Business Advisory Services en Salles Sainz Grant Thornton. En septiembre de este año, la Secretaría Anticorrupción y Buen Gobierno dio a conocer la presunta venta de más de 12.9 millones de registros personales asociados a bases de datos de call centers. La dependencia informó que detectó en Telegram una publicación en la que un usuario ofrecía esta información y obtuvo una muestra de 13,000 registros correspondientes a 13 bases distintas.

En ellas aparecían nombres de empresas como Amazon, American Express, Afirme, Banamex, Banco del Bajío, BBVA, Banorte, Banregio, HSBC, Inbursa, INVEX, Liverpool, Sam’s Club, Santander, Scotiabank, Sears, Suburbia, Banco Walmart, Credomatic, IXE, Sanborns, C&A y Soriana. El episodio abre una pregunta sobre quién tiene la responsabilidad de proteger los datos personales: ¿los usuarios que los entregan sin leer los avisos de privacidad, las empresas que los recopilan y comparten con proveedores externos o los terceros que, al ser vulnerados, pueden exponer esa información? En México, la protección de los datos personales en posesión de particulares está regulada por una ley federal que establece obligaciones para quienes recopilan y tratan esa información. Entre ellas están los principios de seguridad y confidencialidad, así como el deber de informar a las personas sobre el tratamiento de sus datos y las transferencias que correspondan. La responsabilidad no desaparece simplemente porque una empresa recurra a un proveedor externo. De acuerdo con Delgado Ramos, la compañía que obtuvo los datos debe asegurarse de que existan controles para protegerlos durante el proceso. Si el tercero incumple, la empresa puede buscar deslindar responsabilidades por las vías correspondientes, pero eso no elimina la necesidad de revisar cómo supervisó a su proveedor. “El defecto” de la ley, a juicio del especialista, no está en la ausencia de obligaciones, sino en la falta de auditorías y mecanismos de vigilancia que, desde su perspectiva, permitan comprobar que las empresas las cumplen en la práctica. Delgado Ramos considera que los avisos de privacidad no siempre explican con suficiente claridad si intervienen terceros, para qué reciben la información o cómo puede una persona ejercer sus derechos. La existencia del documento, por tanto, no garantiza que el usuario comprenda el recorrido de sus datos ni que la empresa tenga controles efectivos para protegerlos.

Para el especialista, las revisiones internas o externas ayudarían a detectar fallas antes de que la información salga del entorno autorizado. La prevención requiere que las compañías comprueben sus medidas de seguridad y no se limiten a tener documentos que acrediten formalmente que cuentan con políticas. “A mí me preocupa que lo normalicemos (las filtraciones de datos)”, advierte Delgado Ramos, pues desde su perspectiva esto puede llevar a pensar que no vale la pena tomar precauciones porque, tarde o temprano, cualquier persona será víctima de una filtración. Para Delgado Ramos, una parte del problema comienza cuando las personas aceptan avisos de privacidad y términos y condiciones sin detenerse a revisar qué información están entregando, con qué propósito se utilizará y quién más podría tener acceso a ella. La práctica no se limita a las aplicaciones o los servicios digitales. También ocurre cuando alguien proporciona sus datos para participar en una rifa, contratar un servicio o ingresar a un inmueble. En esos escenarios, el usuario puede saber a quién le entregó la información, pero no necesariamente qué empresa la almacenará después o qué proveedores la recibirán. El especialista plantea que las personas deberían preguntarse para qué necesitan sus datos antes de compartirlos y revisar los permisos que conceden a las aplicaciones. Una herramienta para grabar audio, por ejemplo, no necesita acceder a la galería de fotos o a los contactos del teléfono, aunque hay algunas que lo solicitan. Sin embargo, la posibilidad de decidir tiene límites, en muchos servicios, aceptar las condiciones es un requisito para utilizarlos. Y aunque una persona lea el aviso de privacidad, difícilmente puede comprobar por sí misma cómo se almacena su información o qué medidas de seguridad aplica cada empresa que interviene en el proceso. Por eso, la responsabilidad no puede recaer únicamente en el usuario. La empresa que recopila los datos también debe hacerse cargo de lo que ocurre cuando los comparte con terceros.

En la cadena de protección de datos, los proveedores externos representan un punto que, según Delgado Ramos, no siempre recibe suficiente atención. Una empresa puede evaluar a un call center por la calidad de su servicio, sus tiempos de entrega o sus costos, pero no necesariamente con el mismo rigor por la manera en que resguarda la información de los clientes. “¿Cuántas personas se dedican a decir: ‘Oye, ¿y tú cómo guardas la información? ¿Dónde la guardas? ¿Cómo vamos a pasarnos la información de nuestros clientes?’”, cuestiona. El problema es que el usuario suele relacionarse con la marca a la que contrató un servicio, no con todos los intermediarios que participan en la operación. Si sus datos terminan expuestos en una base administrada por un tercero, probablemente no sepa qué compañía los tenía ni qué controles fallaron. Para el especialista, la empresa que recaba la información debe comprobar que sus proveedores tienen medidas de seguridad adecuadas , establecer requisitos para contratarlos y dar seguimiento a su cumplimiento. “No basta con entregar los datos y asumir que el tercero se encargará de protegerlos”. La evaluación debe incluir preguntas concretas: dónde se almacena la información, quién puede consultarla, cómo se transmite y qué mecanismos existen para evitar accesos no autorizados. También hacen falta controles que permitan rastrear qué datos se compartieron, con quién y para qué finalidad. En su lugar, señala el especialista, las compañías suelen reaccionar después de sufrir pérdidas económicas o reputacionales, en vez de anticiparse a las vulnerabilidades. De acuerdo con cifras del estudio International Business Report (IBR), 73% de las empresas medianas en México planea aumentar su inversión en tecnología, pero solo 25% de ese grupo destina presupuesto específicamente a ciberseguridad. La protección de los datos requiere acciones en distintos puntos de la cadena. Para los usuarios, el primer paso es revisar los avisos de privacidad y entender, en la medida de lo posible, para qué se utilizará la información que entregan. También conviene comprobar los permisos que solicitan las aplicaciones y limitar el acceso a los datos que no necesitan para funcionar.

En México, las personas cuentan además con los derechos ARCO (acceso, rectificación, cancelación y oposición). Estos permiten solicitar información sobre los datos personales que una organización tiene, pedir que se corrijan o cancelen cuando corresponda y oponerse a determinados usos. Los mecanismos para ejercerlos deben consultarse en el aviso de privacidad de la empresa. Pero estas medidas no sustituyen las obligaciones de las organizaciones. Delgado Ramos recomienda que las compañías actualicen sus sistemas y herramientas de seguridad, capaciten a sus empleados para reconocer riesgos y cuenten con personal especializado que supervise sus equipos, correos y archivos.