Imaginemos una situación habitual en cualquier organización, donde se actualiza la política de protección de datos personales, se envía a todos los colaboradores por correo electrónico, se publica en la plataforma interna y se solicita a cada empleado confirmar que la recibió y la leyó; de este modo, al finalizar el proceso, la entidad cuenta con la evidencia de que la política fue comunicada y de que los trabajadores tuvieron acceso a ella, por lo que en ese instante podría parecer que la gestión está completa; no obstante, existe una diferencia abismal entre haber leído la política y comprender cómo debe aplicarse, una brecha que suele pasar desapercibida cuando las empresas utilizan la confirmación de lectura como principal mecanismo para demostrar que su personal conoce las normativas internas, lo que provoca que el verdadero problema surja cuando una persona debe enfrentarse a una situación concreta y no sabe cómo actuar, a pesar de haber recibido previamente toda la información.
La comunicación no garantiza la comprensión
Las políticas y procedimientos cumplen una función fundamental dentro de las organizaciones al establecer lineamientos que orientan la actuación de los colaboradores; no obstante, poner un documento a disposición de los empleados no significa necesariamente que su contenido haya sido comprendido, tal como se evidencia cuando un colaborador recibe una solicitud de un cliente sobre sus datos personales y, a pesar de haber leído e incluso confirmado la Política de Tratamiento de Datos Personales, no sabe qué hacer con ella, a quién remitirla o cuál es el procedimiento establecido, lo que demuestra que la información recibida no fue suficiente para garantizar una actuación correcta; esta misma situación puede ocurrir cuando un empleado recibe una base de datos y decide compartirla con un tercero, utiliza una herramienta no autorizada para almacenar información personal o desconoce el procedimiento al recibir una solicitud de un titular, revelando que en estos casos el problema no radica necesariamente en que la política no exista o no haya sido comunicada, sino en que la organización asumió erróneamente que simplemente leer era suficiente para comprender
La lectura como único mecanismo de control
Uno de los errores que pueden presentarse es considerar que la confirmación de lectura constituye evidencia suficiente de conocimiento y comprensión, pues si bien la lectura es un paso necesario donde los colaboradores deben tener acceso a las políticas aplicables a sus funciones y conocer las reglas que deben seguir, cuando se trata de normativas de protección de datos, seguridad de la información o cumplimiento normativo resulta indispensable ir más allá, ya que una persona puede leer varias páginas de un documento y aún así tener dificultades para identificar cómo actuar frente a una situación determinada, motivo por el cual los procesos de capacitación y sensibilización deberían buscar no solo que la información sea entregada, sino que los colaboradores logren comprenderla y relacionarla con las actividades que realizan diariamente.
La importancia de medir la comprensión
Una de las formas de conocer si una política realmente fue comprendida es incorporar mecanismos de evaluación después de su comunicación o capacitación, los cuales no necesariamente deben ser extensos, pues dependiendo del contenido pueden utilizarse preguntas sencillas, casos prácticos, ejercicios o situaciones relacionadas con las funciones que desempeña cada equipo; por ejemplo, en lugar de limitarse a preguntar si un colaborador leyó la Política de Tratamiento de Datos Personales, puede presentarse una situación en la que un cliente solicita información sobre los datos que la organización tiene registrados y pedirle que indique cuál sería el procedimiento adecuado, lo que permite obtener información diferente mediante este tipo de ejercicios, ya que no solo se está verificando si la persona tuvo acceso al documento, sino si puede aplicar lo aprendido cuando se presenta una situación real, y, además, los resultados pueden ayudar a identificar cuáles son los conceptos que generan mayor dificultad y dónde es necesario reforzar la capacitación.
La capacitación debe relacionarse con las funciones de cada colaborador
No todos los colaboradores tienen contacto con la información de la misma manera, por lo que tampoco es necesario que reciban el mismo nivel de formación sobre todos los temas; por ejemplo, mientras un colaborador del área comercial puede tener contacto frecuente con datos de clientes y prospectos, y una persona de recursos humanos puede manejar información de empleados y candidatos, en el caso del equipo de tecnología el conocimiento suele estar más relacionado con los controles de acceso, almacenamiento y seguridad de la información; de este modo, si bien todos deben conocer los lineamientos generales de la organización, la capacitación puede profundizar en aquellos aspectos que guardan una relación directa con las actividades específicas que cada persona desarrolla, lo cual permite que las políticas dejen de percibirse como documentos generales que deben leerse por obligación y comiencen a entenderse como herramientas prácticas que orientan las decisiones que hacen parte del trabajo cotidiano.
La comprensión requiere seguimiento
Otro aspecto que suele dejarse de lado es el seguimiento, ya que una capacitación o evaluación realizada una única vez no necesariamente garantiza que el conocimiento se mantenga en el tiempo, sobre todo considerando que las organizaciones cambian, los procesos se actualizan y los colaboradores pueden asumir nuevas responsabilidades, por lo que incluso cuando una persona comprendió correctamente una política en determinado momento, puede olvidar algunos de sus aspectos o encontrarse posteriormente con situaciones que no fueron contempladas durante la capacitación inicial; por esta razón, resulta conveniente establecer mecanismos de refuerzo y seguimiento que permitan identificar las necesidades de capacitación y actualizar los conocimientos cuando sea necesario, además de que estos resultados también pueden servir para revisar las propias políticas, pues si varias personas tienen dificultades para comprender una misma disposición, puede ser una señal de que el contenido necesita ser explicado de una manera diferente o acompañado de ejemplos que faciliten su aplicación.
Una política debe poder llevarse a la práctica
Una política puede estar correctamente elaborada, cumplir con los requisitos aplicables y encontrarse disponible en los canales establecidos por la organización; no obstante, si las personas que deben aplicarla no comprenden qué significa para sus actividades, difícilmente cumplirá completamente con su propósito, motivo por el cual el objetivo no debería limitarse a poder demostrar que los colaboradores recibieron un documento o marcaron una casilla confirmando su lectura, sino que la organización debería procurar que las personas conozcan los lineamientos que les corresponden, comprendan su importancia y sepan cómo actuar cuando estos deben aplicarse, lo cual resulta especialmente importante en materia de protección de datos personales, ámbito donde muchas situaciones dependen de las decisiones que toman los colaboradores en su trabajo diario, ya que una respuesta enviada al destinatario equivocado, una base de datos compartida sin autorización o el uso de una herramienta no aprobada pueden generar riesgos que una política por sí sola no puede evitar, lo que demuestra que la verdadera efectividad de una política se evidencia cuando los colaboradores pueden llevar sus disposiciones a la práctica.
De la lectura a la comprensión
Medir la comprensión de las políticas permite a las organizaciones pasar de un modelo centrado únicamente en la comunicación a uno en el que también se verifica la apropiación de los conocimientos; esto no se trata de convertir cada política en un examen ni de evaluar constantemente a los colaboradores, sino de contar con mecanismos proporcionales que permitan identificar si la información realmente está siendo comprendida y si las personas cuentan con las herramientas necesarias para actuar correctamente, ya que una política no cumple su propósito simplemente porque fue enviada, publicada o leída, pues su verdadero valor radica en que las personas sepan cómo aplicarla.
Evalúe el impacto real de sus capacitaciones y asegure que sus políticas de protección de datos se traduzcan en acciones correctas. En Data Protected le acompañamos en el fortalecimiento y medición de la cultura de privacidad dentro de su organización.
Descubre más desde Blog de Cumplimiento, Privacidad y Seguridad
Suscríbete y recibe las últimas entradas en tu correo electrónico.
