En el ámbito de la gestión de la privacidad, el docente José Lagos de la Facultad de Economía y Negocios de la Universidad de Chile, plantea una perspectiva innovadora sobre la implementación de programas de privacidad en las organizaciones. Tradicionalmente, se ha creído que es más efectivo implementar un programa de privacidad en su totalidad antes de proceder a realizar una auditoría. Sin embargo, Lagos argumenta que esta secuencia puede resultar en la pérdida de una oportunidad crucial para detectar y corregir fallos fundamentales en el diseño, antes de que se conviertan en un estándar operativo difícil de modificar. Su enfoque sugiere que una auditoría temprana no solo es útil, sino esencial para garantizar que las medidas de privacidad sean robustas y funcionales desde el inicio.
Un programa de privacidad eficaz es un complejo entramado que incluye aspectos de gobernanza, políticas, procesos, recursos humanos y tecnológicos, así como controles y evidencia documental. Sin embargo, cada uno de estos componentes necesita estar alineado para evitar crear una falsa sensación de seguridad. Según Lagos, muchas organizaciones llevan a cabo compras de herramientas de gestión de datos, pero no es raro que mantengan repositorios de información fuera de su alcance. Este desajuste puede llevar a políticas de retención que carecen de mecanismos adecuados para la eliminación de datos, y a procesos de gestión de incidentes que no establecen roles claros dentro de la organización. La auditoría durante la fase de implementación se presenta, por tanto, como un método para validar y corregir estas inconsistencias antes de que se institucionalicen.
El monitoreo continuo del cumplimiento en relación a la privacidad aboga por la integración de auditorías frecuentes, el uso de métricas y la automatización, así como el establecimiento de informes estandarizados y acciones correctivas rápidas. Lagos destaca que las auditorías deberían no solo ser programadas de manera regular, sino también activarse ante eventos significativos, como la introducción de nuevos sistemas o modificaciones en el marco regulatorio. Este enfoque transforma las auditorías de una mera función de control a una herramienta activa en el diseño del programa. Proporciona a las organizaciones la oportunidad de priorizar adecuadamente los recursos, al dirigir más esfuerzo donde las brechas y riesgos son más pronunciados.
Otro aspecto crucial que resalta el académico es la capacidad de establecer una línea de base mediante una auditoría inicial. Esto permite a las organizaciones conocer su situación de partida y avanzar en la mejora de sus métricas de privacidad a lo largo del tiempo. Indicadores tales como la rapidez en la respuesta a solicitudes de derechos, la cantidad de incidentes registrados, y la cobertura de cifrado son fundamentales para evaluar el progreso. Lagos enfatiza que una auditoría no debería ser percibida como una caza de brujas, sino como una herramienta de consulta que permita responder a una pregunta crítica: ¿Estamos construyendo el sistema correcto para operar en el futuro?
Por último, el mensaje de José Lagos subraya la importancia de no simplemente documentar un programa de privacidad, sino de garantizar que este se integre de manera efectiva en la organización. La premisa de auditar mientras se aún está en fase de implementación supera la idea de esperar a que todo esté terminado, sugiriendo que el enfoque debe ser más proactivo. La implementación de un programa de privacidad debe ser un proceso dinámico, donde la adaptabilidad y la revisión constante se conviertan en elementos clave para la creación de un entorno seguro y efectivo en la gestión de datos.
