¿Qué es la privacidad de los datos?

Las empresas recopilan regularmente datos de los usuarios, como direcciones de correo electrónico, datos biométricos y números de tarjetas de crédito. Para las organizaciones de esta economía de datos, apoyar la privacidad de los datos significa tomar medidas, como obtener el consentimiento del usuario antes de procesar datos, proteger los datos del mal uso y permitir que los usuarios administren activamente sus datos.

Muchas organizaciones tienen la obligación legal de defender los derechos de privacidad de los datos en virtud de leyes como el Reglamento General de Protección de Datos (RGPD). Incluso en ausencia de una legislación formal sobre la privacidad de los datos, las empresas pueden beneficiarse de la adopción de medidas de privacidad. Las mismas prácticas y herramientas que protegen la privacidad de los usuarios pueden defender los datos y sistemas confidenciales de piratas informáticos maliciosos.

La privacidad de los datos y la seguridad de los datos son disciplinas distintas, pero están relacionadas. Ambas son componentes centrales de la estrategia más amplia de gobernanza de datos de una empresa.

La privacidad de los datos se centra en los derechos individuales de interesados, es decir, en los usuarios que poseen los datos. Para las organizaciones, la práctica de la privacidad de los datos es una cuestión de implementar políticas y procesos que permitan a los usuarios controlar sus datos de acuerdo con las regulaciones de privacidad de los datos pertinentes.

La seguridad de los datos se centra en proteger los datos contra el acceso no autorizado y el uso indebido. Para las organizaciones, la práctica de la seguridad de los datos es en gran medida el despliegue de controles para evitar que los hackers y los usuarios internos manipulen los datos.

La seguridad de los datos refuerza la privacidad de los datos al garantizar que solo las personas adecuadas puedan acceder a los datos personales por los motivos correctos. La privacidad de los datos refuerza la seguridad de los datos al definir las “personas adecuadas" y los “motivos adecuados” para cualquier conjunto de datos.

En muchas organizaciones, un equipo interdisciplinario supervisa la privacidad de los datos con representantes de los departamentos legales, de cumplimiento, de TI y de seguridad cibernética. Estos equipos elaboran políticas de gestión de datos que rigen la forma en que sus organizaciones recopilan, utilizan y protegen los datos personales en vista de los derechos de privacidad de los usuarios. También diseñan procesos para que los usuarios ejerzan sus derechos e implementan controles técnicos para proteger los datos.

Las organizaciones pueden utilizar una variedad de marcos de privacidad de los datos para guiar sus políticas de datos, incluido el Marco de privacidad del NIST¹ y los Principios de las prácticas justas de información.² Además, los detalles específicos de la estrategia de gobernanza de datos de cualquier organización dependen en gran medida de las leyes de privacidad con las que la empresa debe cumplir, si las hubiera.

Dicho esto, existen algunos principios generales de privacidad de los datos que aparecen en la mayoría de los marcos y normativas. Estos principios informan las políticas, los procesos y los controles de privacidad de los datos de muchas organizaciones.

Hoy en día, la organización promedio recopila una cantidad masiva de datos de consumidores. Las organizaciones tienen la responsabilidad de garantizar la privacidad de estos datos, no por pura bondad, sino por cumplimiento normativo, postura de seguridad y beneficio competitivo.

Las instituciones como la Organización de las Naciones Unidas³ reconocen la privacidad como un derecho humano fundamental, y muchos países han adoptado normativas de privacidad que endurecen este derecho en la ley. La mayoría de estas normativas conlleva sanciones severas por incumplimiento.

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea se considera una de las leyes de privacidad de datos más completas del mundo. Establece reglas estrictas que cualquier empresa, con sede dentro o fuera de Europa, debe seguir al procesar datos de residentes de la UE. Los infractores pueden recibir una multa de hasta EUR 20 millones o 4 % de los ingresos globales de la empresa.

Los países fuera de la UE tienen requisitos normativos similares, como el RGPD del Reino Unido, la Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (PIPEDA) y la Ley de Protección de Datos Personales Digitales de la India.

Estados Unidos no cuenta con leyes federales de protección de datos tan amplias como el RGPD, pero sí con algunos textos legislativos más específicos. La Ley de Protección de la Privacidad Infantil en Internet (COPPA) establece normas para la recolección y el tratamiento de datos personales de niños menores de 13 años. La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) abarca cómo las organizaciones de atención médica y las entidades relacionadas manejan la información de salud personal.

Las sanciones previstas en estas leyes pueden ser importantes. En 2022, por ejemplo, Epic Games recibió una multa récord de 275 millones de dólares por violaciones de la COPPA.⁴

Estados Unidos también cuenta con normativas de privacidad a nivel estatal como la California Consumer Privacy Act (CCPA), que brinda a los consumidores de California más control sobre cómo y cuándo se procesan sus datos. Aunque la CCPA es quizás la ley de privacidad estatal más conocida, ha inspirado otras, como la Ley de Protección de Datos del Consumidor de Virginia (VCDPA) y la Ley de Privacidad de Colorado (CPA).

Hoy en día, las organizaciones recopilan mucha información de identificación personal (PII), como los números de seguro social y los detalles bancarios de los usuarios. Estos datos son un objetivo para los piratas informáticos, que pueden usarlos para cometer robo de identidad, robar dinero o venderlos en la dark web.

Además, las empresas tienen sus propios datos confidenciales que los piratas informáticos pueden estar buscando, como de propiedad intelectual o datos financieros.

Según el Informe del costo de una filtración de datos 2025 e IBM, la filtración promedio cuesta a una empresa 4.45 millones de dólares. Muchos factores contribuyen a este precio, incluida la pérdida de negocio debida al tiempo de inactividad del sistema y los costos de detección y reparación de la brecha.

Muchas de las mismas herramientas que respaldan la privacidad de los datos también pueden reducir la amenaza de filtraciones y fortalecer la postura general de seguridad cibernética. Por ejemplo, las soluciones IAM que evitan el acceso no autorizado pueden ayudar a detener a los piratas informáticos mientras aplican las políticas de privacidad. Las herramientas de seguridad de los datos a menudo pueden detectar actividades sospechosas que pueden indicar un ataque cibernético en curso, lo que permite que el equipo de respuesta ante incidentes actúe más rápido.

De manera similar, los empleados y consumidores pueden defenderse de algunos de los ataques de ingeniería social más dañinos al adoptar las mejores prácticas de privacidad de los datos. Los estafadores a menudo rastrean las aplicaciones de redes sociales para encontrar datos personales que puedan utilizar para crear un compromiso de correo electrónico empresarial (BEC) convincente y lanzar artimañas de phishing focalizado. Al compartir menos información y bloquear sus cuentas, los usuarios pueden aislar a los estafadores de una potente fuente de municiones.

Respetar los derechos de privacidad de los usuarios a veces puede otorgar a las organizaciones una ventaja competitiva.

Los consumidores pueden perder la confianza en las empresas que no protegen adecuadamente sus datos personales. Por ejemplo, la reputación de Facebook se vio afectada significativamente a raíz del escándalo de Cambridge Analytica.^{5 Los} consumidores suelen estar menos dispuestos a compartir sus datos valiosos con empresas que en el pasado se han quedado cortas en materia de privacidad.

Por el contrario, las empresas con un reputación de proteger la privacidad de los datos pueden tener más facilidad para obtener y aprovechar los datos de los usuarios.

Además, en la economía global interconectada, los datos a menudo fluyen entre las organizaciones. Una empresa puede enviar los datos personales que recopila a una base de datos en la nube para almacenamiento o a una empresa consultora para su procesamiento. La adopción de principios y prácticas de privacidad de los datos puede ayudar a las organizaciones a proteger los datos de los usuarios del uso indebido, incluso cuando esos datos se comparten con terceros. Según algunas normativas, como el RGPD, las organizaciones son legalmente responsables de garantizar que sus vendedores y proveedores de servicios mantengan los datos seguros.

Por último, las nuevas tecnologías de inteligencia artificial generativa pueden plantear importantes retos en materia de privacidad de los datos. Cualquier dato confidencial proporcionado a estas IA puede convertirse en parte de los datos de entrenamiento de la herramienta y es posible que la organización no pueda controlar cómo se utiliza. Por ejemplo, los ingenieros de Samsung filtraron involuntariamente un código fuente de propiedad exclusiva al ingresar el código en ChatGPT para optimizarlo.⁷

Además, si las organizaciones no tienen el permiso de los usuarios para ejecutar sus datos a través de la IA generativa, esto podría constituir una violación de la privacidad en virtud de ciertas normativas.

Las políticas y controles formales de privacidad de los datos pueden ayudar a las organizaciones a adoptar estas herramientas de IA y otras nuevas tecnologías sin infringir la ley, perder la confianza de los usuarios o filtrar accidentalmente información confidencial.