Privacidad desde el diseño y por defecto (Privacy by Design)

El Reglamento Europeo de Protección de Datos, RGPD, introdujo nuevos principios y conceptos que la antigua normativa de protección de datos no contemplaba, como el principio de Accountability (responsabilidad proactiva) o la privacidad desde el diseño. En este artículo explicaremos qué es la Privacidad desde el Diseño y Por Defecto o Privacy by Design.

¿Qué es la privacidad desde el diseño y por defecto o Privacy by Design?

Como hemos señalado al comienzo de este artículo, el Privacy by Design es un principio de la protección de datos recogido en el RGPD.

La privacidad desde el diseño y por defecto es aplicar las medidas técnicas y organizativas necesarias y adecuadas para garantizar la protección y privacidad de los datos de los interesados antes de llevar a cabo el tratamiento de dichos datos, es decir, que al diseñar una plataforma, aplicación o medio a través del cual se tratarán datos personales, se deben diseñar también las medidas de seguridad necesarias para garantizar la privacidad de los titulares de los datos.

Con el avance de las nuevas tecnologías, y sobre todo el hecho de que cada vez damos más de nuestros datos a las empresas, está claro que la protección de datos y la intimidad están unidas en todo el ciclo de vida de dichas tecnologías, desde el momento en el que se plantea su diseño hasta su definitivo despliegue y utilización por el público general.

Antes la práctica habitual en el diseño de un nuevo producto o servicio era sacarlo al mercado y luego analizar la cuestión legal una vez en funcionamiento. Ahora, lo que viene a enunciar la protección de datos por diseño y por defecto es que se debe abordar la cuestión técnica y tener en cuenta las leyes de privacidad en el momento del diseño de la app o software, no después.

¿Dónde se regula la privacidad desde el diseño y por defecto?

El principio de protección de datos desde el diseño y por defecto no está recogido en un artículo concreto del RGPD, sino que se menciona en diferentes apartados:

Considerando 78 del RGPD

«[…] A fin de poder demostrar la conformidad con el presente Reglamento, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto […]».

Artículo 25.1 del RGPD

«Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, concebidas para aplicar de forma efectiva los principios de protección de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados».

Por tanto se impone al Responsable del tratamiento que:

• Establezca medidas técnicas
• Diseñe medidas organizativas

Que sean adecuadas para que se aplique la protección de datos de forma eficaz.

Principios de la privacidad desde el diseño y por defecto

La privacidad desde el diseño y por defecto se estructura a través de los siguientes principios:

• Preventivo, no Correctivo; Proactivo, no Reactivo: Este concepto se basa en medidas proactivas, es decir, previene y anticipa problemas de privacidad antes de que ocurran. Es decir, no espera a que los riesgos se materialicen. No ofrece tampoco remedios para resolver los problemas una vez que han ocurrido, ya que su finalidad es prevenir antes de que ocurran.
• Privacidad como Configuración Predeterminada: La clave de este principio es que un producto o servicio desarrollado bajo este concepto, no requiere ninguna acción por parte del usuario para proteger su privacidad. Aunque la persona no realice ninguna acción la privacidad se mantiene intacta, ya que se encuentra predeterminada. La protección de datos por defecto implica que los datos personales deben estar automáticamente protegidos en cualquier sistema tecnológico.
• Privacidad Incrustada en el Diseño: La privacidad debe convertirse en una parte esencial del producto o servicio que se está desarrollando. La protección de datos personales es parte integral del sistema, y no debe influir en su funcionalidad.

• Funcionalidad Total: Es habitual escuchar que «si se garantizara totalmente la privacidad del usuario no sería tan barato o tan útil el servicio». Muchas entidades intentan que pongamos en riesgo nuestra privacidad porque nos dicen que así conseguimos nuevas funcionalidades, mejores experiencias, etc. El Privacy by Design viene a acabar con todo esos falsos anuncios, demostrando que un producto o servicio puede estar plenamente operativo con todas las funcionalidades activas, sin dejar de lado la privacidad de los usuarios.
• Seguridad Extremo a Extremo: Se pretende que la privacidad englobe el ciclo de vida completo del sistema o servicio. Es decir, desde el primer momento, antes de que el primer dato personal sea recolectado, hasta la eliminación del servicio, la privacidad ha sido constante. La privacidad desde el diseño y por defecto garantiza que durante la vida de instrumento tecnológico la información sea segura, desde el «nacimiento» hasta el «fallecimiento», desde un «extremo a otro».
• Visibilidad y Transparencia: Se busca asegurar a todos los involucrados que cualquiera que sea la tecnología o práctica que se utilice, esta:
  • Está funcionando bajo los objetivos declarados
  • Puede someterse si es necesario a una verificación independiente
  • Sus componentes y operaciones permanecen visibles y transparentes a usuarios y proveedores
  • Por lo tanto lo que se busca es que se confíe en el sistema y que se pueda verificar siempre que solicite
• Respeto por la Privacidad de los Usuarios: La clave del Privacy by Design se encuentra en que los diseñadores y operadores de la plataforma o app mantengan en una posición predominante, los intereses de las personas. Se debe mantener al usuario en el centro de las prioridades.

Medidas para aplicar el principio de Privacy by Design

Está claro que el principio de Privacy by Design es clave para dar cumplimiento al RGPD y, consecuentemente, a la LOPDGDD, por lo que a la hora de fijar las medidas, habrá que tener en cuenta:

• La naturaleza, ámbito, contexto y finalidad del tratamiento
• Los riesgos de diversa probabilidad y gravedad (no solo respecto al riesgo alto)
• Estado de la técnica
• Coste

Esto es así porque no todos los sistemas son iguales, como tampoco son iguales los datos que se van a recoger. Por lo tanto, lo que vemos es que el RGPD supone una protección de datos mucho más particular y específica.

La seudonimización

Un ejemplo de estas medidas recogido expresamente en el RGPD y que encontramos también citado en la página de la AEPD sobre la privacidad desde el diseño y por defecto, es la seudonimización.

Esta técnica, aplicada al tratamiento de datos personales, permite que no se pueda reconocer la identidad de una persona sin usar información adicional, reduciendo así el riesgo de vincular unos datos con su titular. Consiste en quitar los datos denominativos del titular de los datos, sustituyéndolos, por ejemplo, por un código numérico.

¿Qué supone para las empresas la privacidad desde el diseño?

Teniendo un enfoque más práctico, ¿qué supone la aplicación del principio de privacidad desde el diseño y por defecto para las empresas?

A la hora de diseñar o contratar una plataforma o aplicación con incidencia en la privacidad, se deberá tener en cuenta:

• Las necesidades especiales para proteger la información privada
• Aspectos técnicos
• Aspectos jurídicos

Con esto evitaremos tener que estar rediseñando los sistemas para adaptarlos a este ámbito, por lo que reduciremos los costes,  ya que puede resultar bastante caro tener que salvar errores después de que ya se ha diseñado o implementado el servicio o plataforma en la entidad.

Eso sí, es importante tener en cuenta que las medidas que se adopten deberán ser proporcionales y en función de la sensibilidad de los datos que se pretenden recoger o tratar.

Principales dificultades para aplicar la privacidad desde el diseño y por defecto

Actualmente, aún es complejo aplicar la privacidad desde el diseño y por defecto en la mayoría de entidades.

• Cambio de mentalidad: Por desgracia, casi siempre se apuesta por valorar el riesgo y solucionarlo después de que haya ocurrido, sin embargo, este principio nos obliga a cambiar esta mentalidad y a ser proactivos para establecer las medidas de seguridad necesarias desde el primer momento, para que los riesgos no se materialicen (por ese motivo es necesario llevar a cabo un análisis de riesgos antes de hacer cualquier tratamiento de datos personales y, cuando así se requiere, una evaluación de impacto).

• El coste no justifica su implantación: La inversión que supone la protección de la privacidad muchas veces no se considera prioritaria para las entidades, y desde la dirección de las mismas obvian estas necesidades.

• No se ve prioritaria la privacidad de los usuarios: Muchas veces los culpables son los propios diseñadores de la plataforma los que no ven prioritaria la introducción de funcionalidades que pretendan preservar totalmente la privacidad, ya que ven necesarios los recursos que deberían ser destinados aquí, a otras funcionalidades que les podrían llegar a ser más competitivos y por lo tanto generar más ingresos.

Ejemplo de cómo aplicar la privacidad desde el diseño en una empresa

La empresa Deportitis S.A. está diseñando una aplicación móvil a través de la cual los usuarios puedan organizar partidos de sus deportes favoritos con otros usuarios, pudiendo marcar sus preferencias de deportes, horarios, lugar para la celebración del partido, etc.

Si Deportitis quiere basarse en el concepto de Privacy By Design para desarrollar la aplicación y cumplir con este principio y el RGPD, deberá seguir los siguientes pasos:

• Analizar los datos que se van a tratar y ver qué consideración tienen.
• Establecer mecanismos predeterminados que velen por la máxima privacidad para el usuario.
• Los ajustes de privacidad del usuario saldrán de partida con la máxima privacidad. Deberá ser el usuario el que los modifique si desea tener menos (aunque siempre cumpliendo el mínimo exigido por la normativa).
• Realizar antes del lanzamiento de la aplicación pruebas con datos no reales.

En definitiva, no deberemos ser nosotros los que decidamos la privacidad del usuario, deberemos darle la aplicación con los máximos ajustes de privacidad y será él el que decida si bajarlos o no.

Conclusión

La privacidad de los usuarios y la seguridad de la información se ha convertido en un asunto clave en la nueva era digital.

Todos aquellos que traten datos personales de terceros deben concienciarse de:

• Tratar los datos de la forma más segura posible
• Diseñar procedimientos que desde el principio velen por la privacidad del usuario
• Evitar riesgos relativos a la seguridad de la información

Por lo tanto es fundamental para las empresas que dispongan de expertos en la materia que les ayuden a diseñar desde el primer momento los procedimientos y ejecutar análisis iniciales de los productos y servicios.

Esperamos haber ayudado a clarificarte el significado de la Privacidad desde el Diseño y por Defecto que incorpora el RGPD.

No obstante, al ser un concepto general te pueden surgir dudas de cómo aplicarlo a tu entidad en particular. Si es así, no dudes en ponerte en contacto con nosotros.