Se ha implementado un programa en línea con un plazo determinado para que la compañía pueda estudiar y enfatizar sobre las nuevas regulaciones de la protección de datos.

Existen capacitaciones internas sobre los riesgos que se han podido evidenciar y se deben sociabilizar inmediatamente.

En respuesta a estos planteamientos, la respuesta general es SI. La privacidad de datos es un MUST en el entorno profesional y comercial actual.

Contar con expertos en la materia, especialmente cuando hay interacción con diferentes paises de la región, transferencia de datos e información, uso de Apps para el resguardo de datos sensibles, es crucial para garantizar el adecuado manejo. Nuestro programa de Privacidad de Datos y Seguridad de la Información es robusto, precisamente porque estamos conscientes de los riesgos asociados con un mal manejo, un fin no previsto, una fuga de información.

Mantenemos capacitaciones on line y presenciales para continuar creando el awareness necesario para que todos, con independencia de las areas, puedan conocer de que va el tema de privacidad y por qué es relevante para ellos y para la organización.

Paola Serna L

Sin embargo, no se recibe capacitación del tema y mi conocimiento del tema es por conocer la Ley y los procedimientos, además de proteger dicho derecho.

En la misma via de la pregunta, no nos brindan capacitación sobre concientización de datos personales.

No obstante lo anterior, considero que no importa el trabajo que se trate si se debe contar con un programa interno y que vaya encaminado con la legislación vigente en el país.

Contamos con una política de privacidad y de protección de datos personales, es muy completa y se aplica a todo el grupo. Si bien hay una capacitación al ingreso, se podrían reforzar las concientizaciones y capacitaciones.

Hay capacitaciones constantes del impacto en la compañía de posibles filtraciones de datos. Sin embargo, se requiere una capacitación constante, que se ajuste a la rotación de personal que tenemos

Contamos con herramientas de monitoreo constante y de capacitación a todos los colaboradores.

Siempre se puede hacer más sobre este tema, a partir de las matrices de riesgo y de los casos que siempre han de surgir.

En el entorno de una empresa de consultoría tributaria a la que yo pertenezco, la protección de datos es un aspecto crucial debido a la naturaleza confidencial de la información que se maneja. Para avanzar en este objetivo, las medidas que pueden implementarse deben ser tanto de índole técnica como organizativa, de acuerdo con las mejores prácticas internacionales y las regulaciones aplicables, tales como la Ley 81 de Protección de Datos en Panamá. A continuación, te detallamos algunas medidas clave:

1. Cumplimiento de la Ley 81 de 2019:

La Ley 81 de Protección de Datos Personales establece las bases jurídicas para la recolección, almacenamiento y tratamiento de datos personales en Panamá. Es fundamental revisar la política de protección de datos de la empresa y asegurar que esté alineada con esta ley. Además, es importante definir los principios de lealtad, transparencia, confidencialidad y propósito específicos para el manejo de los datos tributarios y financieros de los clientes.

2. Evaluaciones de Riesgo y Auditorías Periódicas:

Realizar evaluaciones periódicas para identificar los riesgos asociados a la protección de datos, tanto en los sistemas tecnológicos como en los procesos internos de la empresa. Las auditorías regulares ayudan a detectar brechas de seguridad y garantizan que las políticas se cumplan en

3. Seguridad de la Información:

• Cifrado de datos:

• Control de acceso:

• Copias de seguridad:

• Monitoreo de actividades:

4. Políticas Internas y Capacitación:

Es esencial contar con políticas internas claras sobre el manejo de la información, que abarquen desde el almacenamiento de los datos hasta la eliminación segura. Además, el personal debe recibir capacitaciones constantes sobre los principios de protección de datos y las implicaciones legales del incumplimiento, con especial énfasis en las sanciones establecidas por la

5. Anonimización y pseudonimización:

Para reducir el riesgo de exposición de los datos personales, se pueden implementar técnicas de anonimización o pseudonimización de datos sensibles, especialmente cuando los mismos son utilizados para análisis o informes tributarios internos que no requieren la identificación directa del

6. Contratos con Terceros y Transferencia de Datos:

Cuando se subcontraten servicios externos (ej. software de gestión tributaria en la nube, o servidores externos), es importante que los contratos con estos terceros incluyan cláusulas específicas sobre la protección de datos, asegurando que cumplan con los mismos estándares de seguridad y confidencialidad de la empresa

7. Plan de Respuesta a Incidentes:

Contar con un plan de respuesta ante incidentes de seguridad, que incluya procedimientos claros para la notificación de violaciones de datos a las autoridades competentes y a los afectados dentro de los plazos.

8. Mejoras Continuas y Certificaciones:

Para avanzar en el objetivo de la protección de datos, es posible que la empresa busque obtener certificaciones internacionales reconocidas, como ISO/IEC 27001 (Seguridad de la Información). Esto no solo garantiza un estándar de seguridad alto, sino que también incrementa la confianza de los clientes

Adicional a las medidas previamente mencionadas, hay varias adicionales que pueden mejorar el enfoque de protección de datos dentro de una empresa de consultoría tributaria. Estas mejoras, más avanzadas y orientadas a la prevención proactiva, están centradas en la ciberseguridad, la gobernanza de datos y la implementación de tecnologías innovadoras. A continuación, te expongo algunas de ellas

1. DLP (Prevención de pérdida de datos):

Implementar soluciones de prevención de pérdida de datos (DLP) permite monitorear y controlar el tráfico de datos salientes de la empresa para prevenir que información sensible sea transmitida o filtrada sin autorización. Esto es particularmente útil para evitar fugas de datos tributarios o financieros que podrían comprometer la seguridad de los clientes.

2. Autenticación Multifactor (MFA):

Para proteger el acceso a los sistemas donde se almacena y procesa la información confidencial, se puede implementar un sistema de autenticación multifactor (MFA), que requiere más de un método de verificación para garantizar que solo personal autorizado acceda a los datos. Esto podría incluir una combinación de contraseñas, tokens físicos o aplicaciones de autenticación.

3. Gestión del Ciclo de Vida de los Datos :

Crear y gestionar un ciclo de vida de los datos que defina claramente cuándo y cómo se recogen, almacenan, utilizan, retienen y eliminan los datos. Este ciclo puede incluir políticas para la eliminación segura de datos antiguos o que ya no sean necesarios, minimizando la exposición de información innecesaria a riesgos futuros.

4. Revisión del Cumplimiento Regulatorio Global:

Si su empresa tiene clientes fuera de Panamá o maneja datos de personas en otros países, es crucial revisar y cumplir con las normativas internacionales sobre protección de datos, como el Reglamento General de Protección de Datos (GDPR) de la Unión Europea o el CCPA en California. Cumplir con estas regulaciones aumenta la protección general de la empresa y mejora la reputación.

5. Programas de Conciencia de Seguridad Continua:

La capacitación en protección de datos no debe ser un evento aislado. Implementar programas de capacitación continua que incluyan simulaciones de phishing, sesiones de actualización sobre ciberseguridad y refuerzos periódicos sobre las mejores prácticas en manejo de datos, ayuda a mantener al personal alerta y consciente de los riesgos potenciales.

6. Uso de Inteligencia Artificial para la Detección de Amenazas:

Incorporar herramientas de inteligencia artificial (IA) que ayuden a detectar patrones inusuales o anómalos en el uso de datos puede ser una medida avanzada de seguridad. Estas tecnologías pueden identificar comportamientos fuera de lo común, como accesos no autorizados o grandes volúmenes de datos siendo descargados, lo que podría alertar sobre posibles brechas de seguridad.

7. Ciberseguridad Basada en la Nube con Modelos de Zero Trust:

Si la empresa utiliza servicios en la nube, es recomendable implementar un enfoque de seguridad basado en el modelo "Zero Trust", donde no se confíe automáticamente en ninguna persona, ya sea interna o externa. En lugar de conceder acceso amplio por defecto, se evalúa continuamente cada intento de acceso y se otorgan permisos según sea necesario.

8. Supervisión y Gestión de Terceros :

Las relaciones con terceros, como proveedores de tecnología o subcontratistas, representan un riesgo importante en términos de protección de datos. Desarrollar un programa robusto de gestión de riesgos de terceros que evalúe la seguridad de sus sistemas y la integridad de sus procesos para garantizar que no se conviertan en un punto de vulnerabilidad es una medida crucial.

9. Pruebas de Penetración y Evaluaciones de Vulnerabilidad:

Contratar servicios de pruebas de penetración regulares (pen testing) para identificar y corregir vulnerabilidades en los sistemas antes de que puedan ser explotados. Las evaluaciones periódicas de vulnerabilidad también pueden ayudar a identificar brechas y debilidades que podrían comprometer la seguridad de la información confidencial.

10. Política de Mínimo Privilegio:

Adoptar una política de privilegio mínimo, asegurando que cada empleado solo tenga acceso a los datos e información que necesita para cumplir con sus responsabilidades laborales. Esto limita el riesgo de que los datos sensibles sean accedidos o manipulados por personas no autorizadas.

11. Blockchain para la Seguridad de los Datos:

Explorar la tecnología blockchain como una forma avanzada de asegurar los datos tributarios y financieros. Dado que el blockchain es casi imposible de alterar una vez que se ha registrado un dato, puede ser una herramienta para garantizar la integridad y trazabilidad de la información crítica.

12. Implementación de un CISO o un Comité de Seguridad de la Información:

Designar un Oficial de Seguridad de la Información (CISO) o un equipo encargado específicamente de supervisar las políticas de protección de datos y ciberseguridad dentro de la empresa. Este equipo puede garantizar que todas las medidas estén siendo aplicadas correctamente y que las actualizaciones necesarias se realicen.

13. Gestión y Respuesta a Incidentes con Simulaciones de Escenarios:

Realizar simulaciones periódicas de incidentes de seguridad, como ataques de ransomware o fugas de datos, ayuda a que la empresa esté preparada para reaccionar de manera rápida y eficiente. Un plan de respuesta debe incluir comunicación interna, notificación a clientes y acciones correctas.

14. Automatización de Procesos de Cumplimiento y Monitoreo :

Utilizar herramientas que permitan automatizar la monitorización y el cumplimiento de las normativas de protección de datos. Estas soluciones pueden generar alertas cuando se detectan brechas o incumplimientos, reduciendo el tiempo de

15. Evaluaciones de Impacto en la Privacidad (PIA):

Antes de implementar nuevas tecnologías o servicios que implican el tratamiento de datos personales, realizar evaluaciones de impacto en la privacidad (PIA) puede ayudar a identificar posibles riesgos y asegurarse de que las de mitigación.

Al ingresar a la corporación, debemos firmar un Acuerdo de Confidencialidad y todos los años recibimos capacitación constante sobre la protección de datos, entre otros.

Asimismo, por tratarse de una entidad bancaria, se rige por lo establecido en la ley de bancos y grupos financieros que regula lo referente a la confidencialidad de la información.

Algunos de mis clientes tienen cero programa de protección y por ello me toca implementar mejoras en sus operaciones y procesos.

En mi lugar de trabajo no contamos con un programa en materia de protección de privacidad; se tienen procesos y prácticas muy básicas, cabe mencionar que si es un tema que se está abordando pero hasta ahora no han habido capacitaciones, no identificamos a algún especialista en el tema en la ciudad y no hemos analizado a detalle los riesgos que conllevarían su incumplimiento

En caso de desconocer, ¿se encuentra en contacto con profesionales de la privacidad en su entorno laboral?
Sí, estoy en contacto con profesionales del área legal y tecnológica que garantizan el cumplimiento de las normativas de privacidad.

¿Se le imparten capacitaciones relacionadas con la concientización de los datos personales?
Actualmente no se realizan de forma regular, pero considero necesario implementarlas para reforzar la conciencia y buenas prácticas.

¿Está al tanto de los riesgos en materia de protección de datos que su conducta puede ocasionar para la organización?
Sí, soy consciente de los riesgos y actúo bajo procedimientos establecidos para minimizar cualquier posible impacto en la organización.

En caso de desconocer, ¿se encuentra en contacto con profesionales de la privacidad en su entorno laboral?

En mi lugar de trabajo, tengo más contacto con el área de Compliance, que desempeña un papel clave en garantizar que se cumplan las normativas relacionadas con la privacidad y la protección de datos. Ellos son un punto de referencia cuando surgen dudas sobre el manejo de datos personales o la aplicación de las políticas internas.

Sin embargo, en cuanto a ciberseguridad, no tengo un contacto directo con los profesionales encargados. Sé que el área de ciberseguridad implementa medidas robustas, como el uso de VPN y sistemas de autenticación multifactorial, para proteger la información sensible, pero mi interacción con ellos es mínima. En caso de necesitar su apoyo, recurriría a los canales establecidos en la organización para resolver inquietudes o incidentes.

¿Se le imparten capacitaciones relacionadas con la concientización de los datos personales?

Sí, cada año participamos en capacitaciones obligatorias sobre privacidad, ciberseguridad y cumplimiento normativo. Estas sesiones están diseñadas para educar al personal en las mejores prácticas para manejar datos personales, identificar riesgos comunes y cumplir con las normativas pertinentes. Además, incluyen ejemplos prácticos sobre cómo actuar y qué evitar al tratar información sensible. Estas capacitaciones son esenciales para fortalecer nuestra responsabilidad, tanto individual como colectiva, en la protección de datos. También promueven una cultura organizacional que valora la privacidad y la seguridad, manteniéndonos informados sobre las amenazas emergentes y las normativas actuales.

1. La identificación de los nuevos requisitos legales exigidos por la normativa ecuatoriana, así como la problemática asociada a su implantación para DIRECTV ECUADOR C. LTDA concretamente, y de forma General en el sector.

2.

La revisión y verificación, del grado de cumplimiento de las obligaciones establecidas en relación con el tratamiento de datos personales, su obtención, la tipología de datos y finalidades de tratamiento, en tanto los datos son tratados por la empresa, sus empleados y colaboradores

3.

Evaluación y verificación de las medidas de seguridad en los centros de tratamiento, equipos (fijos y en movilidad), sistemas, aplicaciones, programas, personas que intervengan en el tratamiento, comunicaciones e infraestructura tecnológica y organizativa de los sistemas de información, así como en las normas, procedimientos y estándares de la empresa considerando los procedimientos que afecten a los datos personales.

4.

La generación y en su caso, adecuación, de la documentación exigida por la normativa sobre protección de datos personales.

5.

El asesoramiento en la implementación y adopción de medidas para el correcto cumplimiento de la Ley Orgánica de Protección de Datos Personales.

6.

La consecución y ejecución de las actividades complementarias que se encuentran identificadas en la descripción del proyecto y sus diferentes fases.

Estamos evaluando junto al Departamento de Cumplimiento y el de IT, gestionar más segura y eficientemente el acceso a lo servidores y la nube. Para todos es conocido el escándalo internacional que suscitaron los PanamaPapers.

Todo se originó por una filtración ilegal de la base de datos de una reconocida firma de abogados panameña. Esto dejó en evidencia, lo endeble que puede ser el resguardo de la información privada de terceros. Y que, una vez obtenida de manera fraudulenta o sin autorización, pues tratar de contener el perjuicio ocasionado, se hace virtualmente imposible.

En caso de desconocer, ¿se encuentra en contacto con profesionales de la privacidad en su entorno laboral?

Sí, dentro del Tribunal Electoral, hay un equipo especializado que se ocupa de la protección de datos y la cumplimentación de la normativa sobre privacidad. Aunque no todos los empleados están directamente en contacto con estos profesionales, la unidad de privacidad está disponible para consultas y orientaciones sobre cómo manejar adecuadamente los datos personales, especialmente en situaciones donde se podría requerir un tratamiento específico o con alto riesgo de vulneración.

¿Se le imparten capacitaciones relacionadas con la concientización de los datos personales?

Sí, de hecho, en el Tribunal Electoral se imparten capacitaciones periódicas para asegurar que todos los empleados estén al tanto de sus responsabilidades en cuanto a la protección de datos personales. Estas capacitaciones abarcan temas como la seguridad de la información, acceso a bases de datos sensibles, y la importancia de garantizar la confidencialidad en todo momento, especialmente durante las jornadas electorales. Aunque estas capacitaciones son fundamentales, creo que sería útil reforzarlas de manera más frecuente y con ejemplos prácticos específicos sobre situaciones comunes que puedan ocurrir en el día a día.

¿Está al tanto de los riesgos en materia de protección de datos que su conducta puede ocasionar para la organización?

Sí, estoy plenamente consciente de los riesgos que una mala gestión o vulneración de datos podría causar tanto a nivel reputacional como legal para la organización. Dado que manejamos información muy sensible, cualquier filtración o acceso no autorizado puede generar consecuencias graves, incluyendo multas, sanciones o incluso la pérdida de la confianza del público y de los votantes. Por eso, trato de seguir estrictamente las normas internas y de seguridad, evitando cualquier conducta que pueda poner en riesgo la integridad de los datos o comprometer la privacidad de los ciudadanos. A pesar de que las políticas existen, siempre es importante mantener una cultura de conciencia y responsabilidad constante en relación con la protección de datos.

Si estoy en contacto con la materia de protección de datos personales. A diario recibo clientes y expedientes de cobros coactivos que contienen datos personales.

Para el tratamiento de los datos personales o su comunicación debo asegurarme con una acción afirmativa del titular del dato, para que conozca la finalidad a la que se destina por ejemplo la copia de su cédula en su expediente legal.

Cualquiera información personal no debe desviarse de su finalidad, cada vez que esto ocurra necesito un nuevo consentimiento.

En el Banco Nacional, si hay capacitación para la concientización de la importancia de proteger los datos personales, sobre todo por los riesgos que involucra no hacerlo.

Hay que tener presente que los clientes del banco tienen derecho a solicitar la eliminación de los datos personales cuando sean incorrectos, irrelevantes, incompletos, desfasados, inexactos falsos o impertinentes. Por ejemplo, cuando se termina de pagar la  hipoteca y no tienes otra relación comercial con esa entidad bancaria. Cuando te das de baja de un servicio. ¿Qué se debe aportar para ejercitar este derecho? Debes indicar en la solicitud qué datos quieres cancelar y acompañar la solicitud de la documentación que demuestre que la cancelación debe ser realizada.

A  pesar de que nuestra Constitución Nacional, en su artículo 42 establece derechos y obligaciones relativos al acceso, almacenamiento y protección de datos, nuestro país decidió contar con una Ley que regula la Protección de los Datos Personales, desde el 29 de marzo de 2021, fecha en  que entró en vigencia la Ley 81 de 26 de marzo de 2019 y dos (2) meses a partir de la entrada en vigencia de la Ley 81 de Protección de Datos Personales se emite el Decreto Ejecutivo 285 del 28 de mayo de 2021, mediante el cual se reglamenta la Ley 81.

Bajo nuestro criterio esta regulación está llamada a generar un cambio radical en cuanto a la forma como como las entidades del sector bancario, financiero y legal han venido manejando hasta el momento la información personal de sus clientes. El rasgo principal y pilar fundamental de esta Ley desde la fecha de su entrada en vigencia (29 de marzo de 2021), es cumplir con el tratamiento de un dato personal de manera lícita, para ello debe ser recolectado y tratado con el consentimiento del titular, quien además tiene el derecho a saber cuál es el uso que se le dará a su información.

La ley establece unos plazos de 10 días hábiles para atender el derecho de acceso y de 5 días hábiles para atender la rectificación y cancelación de los datos.

Estos derechos son conocidos como derechos ARCO y son Acceso, Rectificación,

Cancelación y Oposición.

Hay que hacer esfuerzos permanentes en el logro de enseñanzas sobre la importancia de la reconstrucción de valores humanos, valores sociales, valores nacionales, traducidos en la ética profesional, para que con la transferencia de datos personales e información, se cuente con un código ético, que limite los riesgos de vulneración de derechos humanos vinculados a la privacidad, al acceso a la información y sin duda a la dignidad de las personas, entendiendo que la era digital y tecnológica que vivimos hoy en día, ponen en riesgo el derecho a la vida privada y la protección de los datos personales.

La ética debe ser el tamiz para la construcción jurídica de toda norma jurídica. La ética y el respeto a los derechos humanos son el crisol para una sociedad democrática y de derecho.

Si cumplimos con la Constitución y la Ley evitaremos sanciones.

RITA RUEDA

Nuestro profesionales, estan alineando el programa de proteccion de datos con todas las regulaciones de los diversos paises donde tenemos presencia, ejecutando una homologación que pueda ser aplicada de manera transversal sin afectar los negocios en otros paises y mucho menos incumplir legalmente.

En cuanto a capacitaciones, se realiza anualmente de manera virtual, realizando una capacitacion y luego haciendo un ejercicio de conocimientos aprendidos; sin embargo, yo exhorto siempre a que se hagan mas comunicaciones sobre este tema, para una aplicación tanto personal como laboral.

Es en virtud de esto, que se identifica como punto a fortalecer, la capacitación y formación de los colaboradores de la institución en esta materia, así como el Estado mismo dedicar esfuerzos para que este tema de vital importancia pueda tomar la relevancia que amerita, por las implicaciones que tiene en el desarrollo de los ciudadanos.

Cada cierto tiempo nos hacen una charla sobre la importancia de mantenernos alertas, ya que somos nosotros en eslabón más débil y quienes principalmente seremos atacados por aquellos que desean obtener los datos de la empresa y debemos colaborar con el sistema de protección de nuestros clientes.

Este modulo, ha sido importante para captar la idea de protección y tener un esquema legal para ello.

Sí, digamos que un programa semiformal, ya que a pesar que existen políticas al respecto, es necesario afianzar y capacitar company-wide y no solo las áreas que tratan directamente con la información sino también indirectamente para reducir riesgos.

En caso de desconocer ¿se encuentra en contacto con profesionales de la privacidad en su entorno laboral?

Sí, contamos con firmas de abogados aliadas a las que podemos hacer consultas y en su defecto levantar consultas a la ANTAI.

¿Se le imparten capacitaciones relacionadas con la concientización de los datos personales?

Sí, mas esto se puede mejorar.

¿Está al tanto de los riesgos en materia de protección de los datos que su conducta puede ocasionar para la organización?

Sí, son embargo no todos los trabajadores puede que estén al tanto, por esto las capacitaciones company-wide son necesarias.

No contamos con especialistas en manejo de datos, pero todos los abogados de la firma dominan los aspectos fundamentales de la normativa al respecto.

Ocasionalmente se imparten capacitaciones sobre el tema, que se refuerzan con reglas prácticas y cláusulas contractuales respecto al manejo de la información de clientes, de la firma y colaboradores.

Me parece que no se ha realizado un análisis profundo de los riesgos en esta materia, por lo que los empleados no dimensionan el impacto de sus acciones.

Tal como lo comentaba, no hay área de protección, ni capacitaciones, ni medida de resguardo y protección de datos, siendo un área donde se trabaja constantemente con datos.

Nos imparten capacitaciones relacionadas con la concientización de los datos personales, de su manejo y hasta donde debe llegar la confidencialidad de los mismos, para el bien personal y de la empresa.

Estoy al tanto de de los riesgos en materia de protección de datos y sobre la conducta que puede ocasionar para la organización

La concientización del personal es un pilar fundamental de cualquier programa de protección de datos. Es una práctica estándar en la industria bancaria y un requisito implícito de las leyes de datos personales.

Se realiza capacitaciones periódicas a todos los empleados sobre el cumplimiento y las medidas adoptadas por la empresa con respecto a la protección de datos personales y a las medidas de seguridad implementadas para proteger los datos personales de los titulares.

Se cuenta con una matriz de riesgo en donde se tienen identificados los eventos de riesgo que pueden ocurrir en el ciclo de vida de los datos que se manejan en la empresa, con las respectivas valoraciones de perfil inherente y residual y los controles.

Se cuenta con una política de tratamiento de datos publica en la página web, en donde se informa al titular los derechos de los Titulares, el derecho a ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales. (ii) los términos señalados en la norma para dar respuesta a las consultas y los reclamos de los Titulares; (iii) los mecanismos para que conozca de manera eficiente los cambios sustanciales en la Política de Tratamiento de la información a los titulares; las finalidades para la cual se recolectaran los datos.

Tampoco existen contactos o acercamientos con profesionales de la privacidad.

No hemos recibido capacitaciones respecto al tema.

Si estoy al tanto de los riesgos en materia de protección de datos que mi conducta puede ocasionar en la organización, asimismo trato de hacerles conciencia a mis compañeros.

Lamentablemente, esta situación no es aislada. En Guatemala, aún no contamos con una legislación integral que regule la privacidad y el tratamiento de datos personales. A diferencia de otros países que han adoptado marcos robustos como el Reglamento General de Protección de Datos (GDPR) en Europa, nuestro sistema legal carece de una norma específica que establezca derechos, obligaciones y mecanismos de control en esta materia.

Ante este vacío legal, se vuelve imperativo que las organizaciones guatemaltecas tomen la iniciativa de implementar buenas prácticas basadas en estándares internacionales. La ética corporativa demanda que actuemos más allá del cumplimiento mínimo, promoviendo una cultura de respeto hacia los derechos digitales y la privacidad.

En la compañía para la que trabajo, se cuenta con un programa de protección de datos personales establecido por la casa matriz, el cual se complementa con el cumplimiento de la normativa local vigente en materia de tratamiento de datos.

Adicionalmente, en cumplimiento de la legislación colombiana, se ha designado un Oficial de Tratamiento de Datos Personales, responsable de supervisar integralmente los aspectos relacionados con la gestión de datos dentro de la organización. Entre sus funciones se encuentran la actualización de la política de protección de datos, la revisión de procedimientos internos y la capacitación continua del personal en esta materia.

Capacitaciones relacionadas con la concientización de datos personales

La Oficina de MINUSCA (Misión Multidimensional Integrada de Estabilización de las Naciones Unidas en la República Centroafricana) reconoce la importancia de proteger la información personal de las personas con quienes interactúa. Para ello, suele implementar programas formales de capacitación en protección de datos, enfocados en fortalecer la concientización y las buenas prácticas entre el personal. Estas capacitaciones suelen incluir:

·       Introducción a la protección de datos personales: Explicación de los principios básicos de privacidad, derechos de las personas y obligaciones del personal respecto al manejo de información sensible.

·       Políticas y procedimientos internos: Capacitación sobre las políticas de la ONU en materia de protección de datos, incluyendo la recolección, almacenamiento, uso y eliminación segura de información personal.

·       Identificación y reporte de incidentes: Sesiones que enseñan cómo identificar posibles brechas de seguridad y el proceso adecuado para reportar incidentes relacionados con datos personales.

·       Concientización sobre amenazas digitales: Formación sobre las amenazas comunes, como el phishing, malware o accesos no autorizados, y medidas preventivas para reducir los riesgos.

·       Ética y responsabilidad profesional: Talleres sobre la importancia de la confidencialidad, el respeto de la privacidad y el impacto que puede tener la conducta individual y colectiva en la misión.

·       Simulaciones y estudios de caso: Ejercicios prácticos donde el personal enfrenta escenarios hipotéticos para desarrollar habilidades de toma de decisión en situaciones de riesgo.

Riesgos en materia de protección de datos derivados de la conducta del personal

Las acciones y comportamientos del personal pueden generar riesgos significativos para la protección de datos personales en MINUSCA. Entre los riesgos más relevantes se encuentran:

·       Divulgación no autorizada de información: Compartir datos personales a personas no autorizadas, ya sea de forma intencional o accidental, puede exponer a las personas beneficiarias y perjudicar la reputación y confianza en MINUSCA.

·       Manejo inadecuado de documentos y dispositivos: Dejar documentos físicos o electrónicos sin supervisión, no asegurar dispositivos móviles o computadoras, o utilizar medios inseguros para el almacenamiento de datos puede facilitar el acceso indebido.

·       Uso inapropiado de plataformas digitales: Publicar información sensible en redes sociales, mensajería instantánea o aplicaciones no autorizadas representa un riesgo de filtración de datos.

·       Desconocimiento de políticas internas: La falta de capacitación o el desconocimiento de las normas puede llevar al personal a actuar de forma negligente, omitiendo procedimientos de protección establecidos.

·       Resistencia al reporte de incidentes: No informar sobre posibles brechas o vulnerabilidades dificulta la capacidad de MINUSCA para responder y mitigar daños oportunamente.

·       Acceso no justificado a información: Consultar o utilizar datos personales sin motivos legítimos o fuera del marco de las funciones asignadas puede derivar en sanciones y pérdidas de confianza.

Conclusión

La protección de datos personales en la Oficina de MINUSCA depende en gran medida del compromiso y la conducta responsable de su personal. Las capacitaciones periódicas y la promoción de una cultura de concientización son esenciales para minimizar los riesgos y salvaguardar la integridad de la información, fortaleciendo así la confianza y eficacia de la labor de Naciones Unidas en la República Centroafricana.

Carla Lopez

Para solucionar dicho problema he contactado a un colega profesional especializado en la materia. Él me está ayudando a elaborar un plan de acción para presentar a mi cliente. Un enfoque preventivo y proactivo es crucial para abordar la situación, especialmente considerando la acelerada digitalización de las operaciones. Si bien aún no se imparten capacitaciones relacionadas con la concientización de los datos personales, una parte fundamental del plan que estoy proponiendo incluye talleres de concientización para todo el personal sobre la importancia de la privacidad y las buenas prácticas de manejo de la información. También he propuesto el desarrollo de políticas internas claras, la adopción de tecnologías para encriptar datos y la supervisión de la actividad en las bases de datos.

encontrarnos aptos para tratar datos de carácter confidencial, información y documentación y manejo de estos datos.

También nos capacitan en ética, acceso a la información, lucha contra la corrupción, gobierno abierto, etc.

El Gobierno de Panamá ha crecido con pasos agigantados en materia de transparencia, la cual somos muy cuidadosos, responsables y discretos en cuanto al tratamiento de la información de carácter confidencial de acceso restringido y también somos cuidadoso en las trasmisión de información de carácter publico con apego estricto a la ley.

Sí, en este año con la disposición de la Superintendencia de Compañías, Valores y Seguros, mi Compañía inició campañas de capacitación fuertes con relación a la protección de datos.

En caso de desconocer, ¿se encuentra en contacto con profesionales de la privacidad en su entorno laboral?

Sí, en nuestra Compañía contamos con un departamento de TI, que a través de un portal gestiona todos los incidentes y requerimientos reportados por lo usuarios.

¿Se le imparten capacitaciones relacionadas con la concientización de los datos personales?

Sí, sin embargo, hace falta que se realicen de forma más consecutiva, al menos de forma trimestral, y también cuando existe ingreso de personal, sobre todo en personal administrativo y personal clave.

¿Está al tanto de los riesgos en materia de protección de datos que su conducta puede ocasionar para la organización?

Sí, conozco que el revisar un correo que contenga un enlace puede ocasionar graves problemas a mi organización, también estoy consiente acerca de la conexión a redes de internet o la visita a sitios web de dudosa procedencia, misma que puede ocasionar graves incidentes también.

El oficial de cumplimiento de la compañía se encarga de verificar esta información y que se cumplan con las normativas.

Estas se aplican rigurosamente en clientes y proveedores, cualquier parte interesada

Estas se aplican rigurosamente en clientes y proveedores, cualquier parte interesada

Mi organización cuenta con un programa formal basado en políticas de tratamiento de información alineadas con la normativa vigente. Al manejar activos e información patrimonial sensible, disponemos de protocolos de custodia de documentos y manuales de procedimientos que dictan cómo debe circular la información interna y externamente.

En mi entorno laboral, mantengo contacto directo con el área de cumplimiento (Compliance) y los responsables de seguridad y ciberseguridad de la información. Como abogada corporativa, mi rol suele ser el de puente entre la operación del negocio y estos especialistas, asegurando que cada nuevo contrato o proyecto cumpla con el principio de Privacidad desde el Diseño.

En efecto recibimos algunas capacitaciones 2 o 3 veces al año enfocadas en la detección de riesgos, como el phishing y la ingeniería social. Estas sesiones no solo se centran en la teoría legal, sino en casos prácticos sobre cómo una filtración puede comprometer la reputación de la firma y la de nuestros clientes. Pero considero que podría sensibilizarse con mas frecuencia a los colaboradores de la empresa sobre este asunto.

Soy plenamente consciente de que mi conducta individual es el eslabón más crítico. Desde el uso de redes Wi-Fi públicas para acceder a correos corporativos hasta el descuido de un expediente físico, entiendo que una omisión de mi parte puede generar riesgos legales (sanciones administrativas), financieros (indemnizaciones) y, sobre todo, la pérdida irreversible de la confianza del cliente.

Considero que la protección de datos no debe verse solo como un check-list legal, sino como una ventaja competitiva que garantiza la sostenibilidad de la organización a largo plazo.

Asimismo, considero que las capacitaciones constantes que recibimos son un elemento clave. Al tratarse de una marca internacional, es obligatorio que todo el personal que tiene acceso a los distintos sistemas esté debidamente capacitado en materia de protección de datos. En lo personal, estas capacitaciones me han permitido comprender mejor la importancia de la confidencialidad, el uso adecuado de la información y las consecuencias legales que pueden derivarse de un manejo indebido de los datos personales.

En mi práctica diaria, procuro aplicar estos conocimientos limitando el acceso a la información únicamente a quienes están autorizados, evitando compartir datos por canales no seguros y verificando siempre la finalidad para la cual se utilizan los datos de los clientes. Esto es especialmente relevante en el sector turístico, donde manejamos información sensible como datos personales, itinerarios y en algunos casos información financiera.

No obstante, considero que siempre se puede fortalecer más esta área. Desde mi perspectiva, sería importante reforzar los controles internos, realizar auditorías periódicas y asegurar que las políticas de privacidad se mantengan actualizadas, especialmente ante nuevos modelos de negocio como el intercambio de datos con socios comerciales.

En conclusión, desde mi rol profesional, reconozco que trabajar en una organización con un programa formal de protección de datos y capacitación continua es una gran ventaja, pero también implica una responsabilidad constante de aplicar estos principios en la práctica diaria y contribuir a una cultura organizacional orientada a la protección de la privacidad.

Además, estas actividades se desarrollan considerando permanentemente la normativa vigente y los lineamientos emitidos por la Superintendencia de Protección de Datos Personales y sus resoluciones, lo que permite asegurar un cumplimiento adecuado y alineado con la regulación.

Actualmente, la organización cuenta con políticas visibles en su sitio web, como términos y condiciones, política de privacidad y uso de cookies, lo cual representa una base importante en materia de protección de datos; sin embargo, aún no dispone de un programa formal integral con procedimientos internos estructurados. No se cuenta actualmente con un especialista en privacidad dentro del equipo, aunque existe apertura a asesoría externa considerando el crecimiento del negocio. Tampoco se han implementado capacitaciones formales sobre concientización en el manejo de datos personales, aunque se reconoce su importancia a futuro. Por otro lado, se tiene conocimiento general sobre los riesgos asociados al uso inadecuado de la información, como posibles filtraciones, afectación a la confianza del cliente y sanciones legales, lo que refuerza la necesidad de fortalecer las prácticas internas en esta materia.

Sí, mi lugar de trabajo cuenta con un programa formal de protección de datos. Como empresa farmacéutica que maneja datos sensibles de clientes, pacientes y profesionales de salud, hemos implementado una política de privacidad, consentimientos de uso de datos que firman tanto los nuevos colaboradores como los médicos que visitamos, y cláusulas específicas de protección de datos en todos nuestros contratos.

¿Se encuentra en contacto con profesionales de la privacidad en su entorno laboral?

Sí, a través de un estudio jurídico externo con el que trabajamos tenemos contacto directo con profesionales especializados en protección de datos personales, quienes nos asesoran y mantienen actualizados frente a los cambios normativos, especialmente ahora que la LOPDP en Ecuador se encuentra en plena vigencia y con régimen sancionatorio activo.

¿Se le imparten capacitaciones relacionadas con la concientización de los datos personales?

Si bien contamos con herramientas y políticas sólidas, las capacitaciones formales y periódicas dirigidas a todos los colaboradores sobre concientización en protección de datos personales podrían fortalecerse, es decir, ampliar con ejemplos para que los colaboradores comprendan sus obligaciones y el impacto real que tiene el manejo inadecuado de datos personales.

¿Está al tanto de los riesgos en materia de protección de datos que su conducta puede ocasionar para la organización?

Sí, estoy al tanto de los riesgos que mi conducta puede generar para la organización, y este módulo me ayudó a dimensionarlos mejor. En una empresa farmacéutica donde manejamos datos sensibles, cada acción cuenta, por ejemplo un correo mal gestionado, una contraseña débil o no reportar una situación irregular a tiempo puede abrir la puerta a un incidente con consecuencias jurídicas, económicas y reputacionales. Lo que me llevo es que la protección de datos no es responsabilidad exclusiva del área legal o de tecnología, sino una cultura que debe atravesar a toda la organización.