¿Qué tipos de software de protección de datos existen?
El término es amplio. La mayoría de las herramientas encajan en uno o varios de estos tipos:
| Tipo | Para qué | Dónde se queda corto |
|---|---|---|
| Consentimientos y cookies | Obtener y gestionar consentimientos en sitios web y aplicaciones | solo afecta a los datos recogidos por esos canales |
| Documentación y registros | Registro de actividades de tratamiento, evaluaciones de impacto, directrices, cuestionarios | describe las obligaciones, pero no las aplica en los sistemas |
| Encontrar y clasificar | Localizar datos personales en repositorios de ficheros, bases de datos y servicios en la nube | muestra dónde están los datos, pero con ello aún no se ha borrado nada |
| Solicitudes de los interesados | Registrar solicitudes de acceso y de supresión, vigilar plazos, responder | a menudo sin búsqueda en los propios sistemas y sin borrado |
| Borrado en varios sistemas | Borrar los datos vencidos en sistemas centrales, sistemas periféricos y archivos, y demostrarlo | requiere conectar los sistemas |
| Datos de IA | Controlar prompts, transcripciones y resultados de IA almacenados | no sustituye a una gobernanza general de la IA |
| Cesión protegida | Ceder datos enmascarados o seudonimizados, por ejemplo para pruebas o IA | solo es tan buena como la detección de los datos personales |
La distinción más importante: documentar o aplicar
Muchas herramientas dejan constancia de lo que debe ocurrir: qué datos se conservan y durante cuánto tiempo, quién es responsable, qué medidas se aplican. Es necesario, pero no borra ni un solo registro.
Si una obligación se ha cumplido se decide en los sistemas: si los datos vencidos se han borrado realmente, si una respuesta de acceso está completa, si los datos solo se ceden seudonimizados. Quien tenga que mostrar pruebas a la auditoría y a la autoridad de supervisión necesita, por tanto, herramientas que actúen en los sistemas y registren cada paso.
Una cosa no excluye la otra: la documentación aporta las directrices, una herramienta de aplicación las pone en práctica e informa de lo que se ha hecho.
¿Suite o herramientas individuales?
Una suite cubre varios tipos; una herramienta individual, uno. Ambas opciones tienen ventajas e inconvenientes:
| Criterio | Suite | Herramientas individuales |
|---|---|---|
| Interacción | hallazgos, plazos y pruebas fluyen sin un proyecto de interfaces propio | se necesitan interfaces entre las herramientas |
| Puesta en marcha | buena si los módulos se licencian por separado | enfocada a un único problema |
| Costes | a menudo más económica en cuanto se quieren cubrir varias tareas | bajos para una herramienta, crecientes con cada una adicional |
| Dependencia | de un solo proveedor | de varios proveedores y de sus interfaces |
| Manejo | una interfaz de usuario, un modelo de roles | interfaz de usuario y permisos propios para cada herramienta |
Lo decisivo no es tanto el número de funciones como poder empezar por lo que hoy es urgente y ampliar más adelante sin volver a empezar.
Criterios de selección
Estas preguntas ayudan a comparar proveedores:
- ¿Llega el software hasta sus sistemas, incluidos los sistemas centrales antiguos, los archivos y los desarrollos propios?
- ¿Dónde funciona: en su centro de datos, en su nube o en el proveedor? ¿Qué datos salen de su organización?
- ¿Aporta pruebas que la auditoría y la autoridad de supervisión aceptan, como un registro por ciclo de borrado?
- ¿Cubre las obligaciones que le son aplicables, por ejemplo según la LPD suiza y el RGPD?
- ¿Hay roles y aprobaciones, de modo que los pasos delicados no los pueda iniciar una sola persona?
- ¿Se pueden licenciar los módulos por separado y añadir más adelante?
- ¿Cuánto dura la implantación y quién le ayuda?
- ¿Entienden la interfaz de usuario los especialistas en protección de datos, TI y auditoría sin una formación larga?
Preguntas que debería hacer a cada proveedor
Una demo muestra lo que puede hacer un software. Estas preguntas muestran si encaja con usted:
- «Muéstrenme un borrado en un sistema como el nuestro y la prueba correspondiente.»
- «¿Qué datos nuestros salen de nuestra organización, y adónde van?»
- «¿Cómo se conecta un sistema para el que no existe un conector ya preparado?»
- «¿Qué ven la auditoría y la autoridad de supervisión cuando piden pruebas?»
- «¿Con qué podemos empezar y cuánto cuesta ampliar?»
- «¿Dónde está hoy su software en producción?»
Cómo abordar la selección
- 1Inventario: ¿dónde están los datos personales, qué obligaciones están pendientes, qué es urgente?
- 2Definir los requisitos, con el problema más urgente como referencia
- 3Demo con sus propios casos en lugar de diapositivas estándar
- 4Prueba de concepto en su entorno, con criterios de éxito acordados de antemano
- 5Implantación por etapas, empezando por un módulo o un sistema
Errores frecuentes
- comprar según la longitud de la lista de funciones en lugar de según el problema más urgente
- limitarse a documentar y aplazar la aplicación
- aclarar el lugar de operación solo después de la compra
- querer implantar todos los módulos a la vez
- subestimar el esfuerzo de conectar los propios sistemas