Protección de datos: el cambio cultural que no puede esperar
La privacidad ya no es un asunto exclusivo de abogados o especialistas en tecnología. Es una responsabilidad de todas las organizaciones.
Cada día compartimos información para trabajar, comprar, comunicarnos, acceder a servicios o utilizar nuevas herramientas digitales. Dejamos nuestro nombre, correo electrónico, ubicación, imagen, voz, historial de consumo y, en algunos casos, datos financieros o de salud.
Muchas veces lo hacemos de manera automática, sin preguntarnos dónde queda almacenada esa información, quién puede acceder a ella o para qué podría utilizarse en el futuro.
Pero mientras la tecnología avanza a una velocidad extraordinaria, los marcos regulatorios y las culturas organizacionales no siempre evolucionan al mismo ritmo.
En una nueva edición de TRIBUTalk, Eugenio Díaz, integrante del DOMO 40, y Facundo, representante en Argentina de la Asociación de Profesionales de Privacidad de Brasil, conversaron sobre el Convenio 108+, la modernización de la protección de datos personales y los desafíos que enfrentan Argentina y la región.
La charla dejó una conclusión central: proteger los datos no debería comenzar cuando llega una nueva ley, una sanción o una crisis reputacional.
Debería comenzar mucho antes.
Los datos personales nos involucran a todos
Durante años, la protección de datos fue presentada como un tema técnico, reservado para áreas legales, equipos de ciberseguridad o especialistas en compliance.
Sin embargo, esa mirada resulta cada vez más insuficiente.
La protección de datos nos afecta porque todos somos titulares de información personal. También porque prácticamente todas las organizaciones —públicas o privadas, grandes o pequeñas— recopilan, procesan, almacenan o transfieren datos de otras personas.
En la charla se destacó que una gran parte de la población mundial ya se encuentra alcanzada por algún tipo de legislación de protección de datos. Esto demuestra que no estamos frente a una conversación de nicho, sino ante uno de los grandes desafíos de la economía y la sociedad digital.
Una fotografía es un dato. Una grabación de voz también. Lo mismo ocurre con un correo electrónico, un documento de identidad, una dirección o la información que ingresamos en una plataforma de inteligencia artificial.
Por eso, la pregunta ya no es solamente qué pueden hacer las empresas con la tecnología.
También debemos preguntarnos qué deberían hacer con la información de las personas.
Un marco creado para otro mundo
Argentina fue pionera en la región con la sanción de la Ley 25.326 de Protección de Datos Personales en el año 2000.
En aquel momento, las redes sociales todavía no formaban parte de nuestra vida cotidiana. La computación en la nube apenas comenzaba a desarrollarse y la inteligencia artificial generativa pertenecía más al terreno de la ciencia ficción que al de las operaciones empresariales.
Veintiséis años después, nuestra relación con la información es completamente diferente.
Los documentos que antes permanecían dentro de un archivador ahora pueden circular entre plataformas, servidores, proveedores y países en cuestión de segundos. Una reunión puede ser grabada, transcripta y analizada automáticamente. Una empresa puede construir perfiles detallados de sus usuarios combinando información proveniente de múltiples fuentes.
La ley argentina continúa vigente, pero durante la conversación se señaló la necesidad de avanzar hacia un marco actualizado que acompañe esta nueva realidad, como ya lo hicieron otros países de la región.
En ese contexto aparece el Convenio 108+, un tratado internacional que propone principios más modernos para el tratamiento de datos personales y que puede funcionar como una referencia para las organizaciones argentinas.
Pero más allá de la discusión jurídica, su valor también reside en la pregunta que plantea:
¿Debemos esperar una obligación para comenzar a actuar responsablemente?
La privacidad no es un proyecto: es un programa
Implementar una cultura de privacidad no consiste simplemente en publicar una política en un sitio web.
Tampoco alcanza con crear un documento una vez, archivarlo y asumir que el problema quedó resuelto.
Las organizaciones incorporan continuamente nuevas plataformas, proveedores, aplicaciones y herramientas de inteligencia artificial. Cada cambio puede modificar la forma en que se recopilan, procesan o comparten los datos.
Por eso, la protección de la privacidad debe entenderse como un programa de mejora continua.
Durante la TRIBUTalk se remarcó que trabajar seriamente con datos personales requiere tiempo. Implica revisar procesos, desarrollar políticas, asignar responsabilidades, capacitar equipos y reconocer que la información almacenada por una empresa pertenece, en realidad, a terceras personas.
La transformación no ocurre de un día para otro.
Primero debe cambiar la manera en que la organización piensa.
No alcanza con prometer: hay que demostrar
Uno de los conceptos más relevantes del Convenio 108+ es el de responsabilidad proactiva, también conocido como accountability.
En términos simples, significa que una organización no puede limitarse a afirmar que protege los datos. Debe estar en condiciones de demostrarlo.
Una política de privacidad puede decir que la información será tratada de forma segura, utilizada únicamente para determinados fines y resguardada mediante sistemas adecuados.
Pero ¿qué procesos respaldan esas promesas?
¿Quién controla su cumplimiento?
¿Cuándo se revisaron por última vez?
¿Qué sucede si ocurre un incidente?
La responsabilidad proactiva transforma la privacidad de una declaración de buenas intenciones en una práctica verificable.
Este cambio es especialmente importante para quienes lideran organizaciones.
No se trata de conocer cada detalle jurídico o técnico. Se trata de formular mejores preguntas y asegurarse de que exista alguien responsable de responderlas.
Pedir menos datos también es innovar
En el mundo digital existe una tendencia a recopilar información simplemente porque la tecnología lo permite.
Formularios extensos, registros obligatorios y permisos poco claros se volvieron parte habitual de muchas experiencias digitales.
Pero almacenar más datos no siempre genera más valor. También puede crear nuevos costos, vulnerabilidades y responsabilidades.
Los principios de privacidad desde el diseño y por defecto proponen pensar la protección de los datos desde el momento en que se crea un producto, servicio o plataforma. Esto implica solicitar únicamente la información necesaria para cumplir una finalidad concreta.
Antes de agregar un nuevo campo a un formulario, una organización podría preguntarse:
¿Realmente necesitamos este dato?
Esa pregunta aparentemente sencilla puede reducir riesgos, simplificar procesos y mejorar la experiencia del usuario. Durante la charla, se destacó que recopilar información innecesaria no solamente aumenta la exposición de las personas, sino que también puede representar mayores costos de almacenamiento y gestión para las empresas.
La privacidad, bien aplicada, no tiene por qué frenar la innovación.
Puede ayudar a diseñar soluciones más simples, transparentes y confiables.
La forma de responder también construye confianza
Ninguna organización está completamente exenta de sufrir una filtración, un acceso indebido o un ataque informático.
La diferencia puede estar en cómo responde.
Ocultar un incidente o esperar a que se haga público a través de las redes sociales no elimina el problema. Por el contrario, puede profundizarlo.
Las personas necesitan saber si su información se encuentra comprometida para poder tomar medidas. Las organizaciones, a su vez, necesitan protocolos claros para detectar, evaluar y comunicar lo sucedido.
En la conversación se planteó que la notificación de incidentes forma parte de una cultura de responsabilidad y ética digital. Informar no significa admitir que una organización es imperfecta. Significa demostrar que está preparada para responder con transparencia cuando algo falla.
La confianza no depende de que nunca ocurra un problema.
También depende de lo que hacemos cuando ocurre.
Los datos no conocen fronteras
Cuando utilizamos una plataforma, una aplicación financiera, un servicio de salud o una herramienta de inteligencia artificial, nuestra información puede almacenarse o procesarse en servidores ubicados en otros países.
Las transferencias internacionales de datos ya forman parte de la actividad cotidiana de prácticamente cualquier organización digital.
Esto abre preguntas que exceden ampliamente a una sola empresa:
¿En qué país se encuentran los servidores?
¿Qué legislación protege la información?
¿Qué proveedores pueden acceder a ella?
¿Qué sucede cuando los datos atraviesan distintas jurisdicciones?
El Convenio 108+ refuerza la necesidad de evaluar estas transferencias y comprender que ciertos tipos de información —como una historia clínica o datos financieros— no deberían circular sin controles y garantías adecuadas.
En este escenario, las decisiones sobre privacidad también se convierten en decisiones estratégicas y geopolíticas.
Durante la charla se analizaron las diferencias entre los modelos de protección de datos de Europa y Estados Unidos, así como la evolución regulatoria de países latinoamericanos como Brasil, Chile, Paraguay, Perú, Colombia y Ecuador.
La región está avanzando. La pregunta es qué lugar quiere ocupar Argentina dentro de ese nuevo mapa.
La inteligencia artificial vuelve urgente esta conversación
La adopción de inteligencia artificial está creciendo más rápido que la capacidad de muchas organizaciones para establecer reglas internas sobre su utilización.
Equipos enteros ingresan documentos, ideas, datos de clientes y otra información sensible en herramientas generativas sin conocer siempre cómo será procesada o almacenada.
La respuesta no debería ser prohibir automáticamente la tecnología.
Pero tampoco puede ser utilizarla sin criterios.
Las organizaciones necesitan definir qué información puede compartirse, qué herramientas están autorizadas, cómo se protegen los datos y quién será responsable de supervisar su uso.
Durante el intercambio final de la TRIBUTalk, se destacó que las empresas ya están incorporando la inteligencia artificial a sus operaciones y que muchos directores comienzan a preguntarse cómo garantizar que sus datos permanezcan protegidos.
Esa inquietud no debería ser vista como una barrera.
Es una señal de madurez.
No esperemos al miedo
En muchas organizaciones, los cambios comienzan después de una sanción, un incidente o una presión externa.
Se implementan controles porque existe una multa. Se revisan los sistemas porque ocurrió una filtración. Se crea una política porque un cliente importante comenzó a exigirla.
Pero una cultura de privacidad sólida no debería construirse únicamente desde el miedo.
También puede construirse desde la convicción.
Proteger los datos significa respetar a las personas que confiaron su información. Significa reconocer que detrás de cada registro, cada documento y cada perfil existe alguien que puede verse afectado por las decisiones de una organización.
El Convenio 108+ puede ser un impulso para actualizar normativas, procesos y responsabilidades. Pero ninguna empresa necesita esperar a que todo el marco jurídico esté completamente definido para comenzar.
Puede revisar hoy qué información recopila.
Puede actualizar sus políticas.
Puede capacitar a sus equipos.
Puede diseñar protocolos frente a incidentes.
Puede preguntarse qué datos realmente necesita.
Puede comenzar a incorporar la privacidad desde el diseño.
La tecnología seguirá cambiando.
La responsabilidad de utilizarla con criterio, transparencia y respeto seguirá siendo nuestra.
Porque los datos pueden convertirse en uno de los activos más valiosos de una organización.
Pero nunca dejan de pertenecer a personas.
