La política del miedo, el Windsor y la AEPD

La adaptación de las políticas de las empresas a la normativa vigente en materia de protección de datos de carácter personal es uno de los trabajos más estériles y poco gratificantes a los que puede enfrentarse un abogado.

Quizá mi opinión se encuentre marcada por el desaliento debido al convencimiento aprendido de que casi cualquier medida contemplada en el documento de seguridad va a ser obviada sin miramientos.

Ahora que no nos oye nadie, diré que las pocas empresas que se deciden a normalizar su situación consideran suficiente la inscripción de sus ficheros en el registro; en ocasiones, se prestan a la creación de niveles jerárquicos de permisos para el acceso a determinados ficheros y en casos muy esporádicos están dispuestos a guardar copias de repaldo (backup) de sus ficheros, pero no “porque lo diga la Ley”, sino porque tienen miedo “de que les pase como al Windsor”.

A algunos todo esto les sonará a cachondeo, pero es una descripción bastante ajustada de lo que sucede en la mayoría de las empresas que hoy mismo están tratando sus datos personales.

La política del miedo funciona, pero no soluciona los problemas.

Cuando un cliente entra por la puerta de tu despacho y le dices que que, según la Ley Orgánica de Protección de Datos de carácter personal y el Reglamento de Medidas de Seguridad, estás obligado a implantar controles de acceso a tus ficheros, hacer copias de seguridad periódicas, documentar los sistemas de asignación de contraseñas, llevar un registro de salida de soportes, etc., posiblemente conseguirás que te mire con cara de asco y, como mucho, te diga “la semana pasada me bajé un antivirus por e-mule y tengo activado el firewall de windows. Mis datos están seguros”.

Además, ahora se han puesto de moda los servicios de copia remota, y sus comerciales explotan este tipo de política sin ningún reparo: “contrata mi servicio o te puede pasar como a los del Windsor“. La imagen de un edificio en llamas en la city de Madrid es perfecta si quieres conseguir que a cualquier empresario se le caiga un billetito o dos del bolsillo para que sus cuatro tablas de excel sin formato estén guardadas en Fort Knox.

La información, incluso la información relativa a los clientes, cada vez es objeto de una mayor atención por parte de las empresas, de ahí el auge de los CRM, políticas de recuperación de desastres, etc.

Seamos serios: No es habitual que una empresa sufra un siniestro tal que provoque una pérdida total de datos, salvo que sufra un incendio, una inundación o una radiación espontánea de una magneto-estrella. Y, hoy en día, pese a que el número de expedientes sancionadores tramitados por la AEPD sigue creciendo, la posibilidad de tener que hacer frente a una multa es bastante reducida.

Sin embargo, parece que la política del miedo es una forma resultona de obligar a las empresas a cumplir con la ley. Curiosamente, la función de prevención general en estos casos es promovida directamente por abogados y asesores, convirtiéndose así en prescriptores cualificados de una normativa que no a todos acaba de convencer.

En este contexto, se cierne sobre nosotros una reforma del Reglamento de Seguridad que promete desarrollar las medidas actuales. Quizá sería más interesante asegurarse antes de que la normativa actual es entendida y cumplida generalmente antes de incrementar el nivel de exigencia. Y quizá también debiera ejercerse algún control sobre las empresas presuntamente especializadas en el asesoramiento de estas materias.

Hace unas semanas, un amigo que tiene una farmacia en Tenerife me comentó que acababa de adaptar su farmacia a la normativa de protección de datos por poco más de 300 €. Sorprendido, le pregunté qué servicios incluía esa revisión y me dijo que la empresa asesora se limitó a inscribir una serie de ficheros a su nombre y a enviarle los documentos de seguridad y un informe con algunas recomendaciones, sin ni siquiera haber hablado con él personalmente.

Mi amigo presta, entre otros, servicios de atención farmacéutica (informes de PRM incluidos) que le obligan a mantener varios ficheros de nivel alto, y considero que es una aberración profesional que raya en la responsabilidad deontológica no tomarse la mínima molestia de conocer las condiciones especiales del cliente antes de enviarle un formulario adaptado en cinco minutos, y encima cobrar por ello.

Imaginemos que mi amigo es objeto de una inspeccion por parte de la AEPD -hoy en día esto es casi un caso de laboratorio- y le imponen una sanción de unos cuantos cientos de miles de euros. ¿Qué hacemos entonces? ¿El seguro del abogado cubrirá esa cantidad? ¿Qué pasa con el prestigio profesional del farmacéutico?

En casos como éste, la política del miedo sólo sirve para llenar los bolsillos de compañeros con pocos escrúpulos y hace un flaco favor a la imagen del abogado en la sociedad.

Lo que nos faltaba…