¿La matriz de seguridad de la casa matriz demuestra que una filial protege los datos personales?

Dentro del proceso de implementación o estructuración de un programa de protección de datos personales, uno de los elementos relevantes, pensando en el cumplimiento del deber de Debida Diligencia, son las matrices de controles o medidas de seguridad que permiten identificar lo que se está haciendo para procurar la seguridad de la información, particularmente de los datos personales, y hacer seguimiento a la implementación y efectividad de dichos controles.

Hace unos días, en la socialización de esta actividad, un cliente comentó que este paso no era necesario realizarlo, debido a que la casa matriz del grupo empresarial internacional al que pertenece la filial colombiana ya establece políticas y controles de seguridad para la información que trata en sus servidores, siendo estos ejecutados directamente desde la matriz.

La filial utiliza esa matriz corporativa en sus relaciones comerciales para informar a terceros cómo garantiza la seguridad de la información, por lo que dedujo que esta matriz era robusta para demostrar que implementaba medidas de seguridad; pero la pregunta para el cliente fue: ¿es suficiente que la casa matriz tenga documentados y ejecute esos controles para que la filial colombiana pueda demostrar que protege adecuadamente los datos personales que trata?

Los controles corporativos deben aterrizarse a la realidad local

Es razonable pensar que, con el objetivo de dar seguridad a los terceros de que una organización hace esfuerzos suficientes para resguardar la información de la que tiene conocimiento, las filiales utilicen la matriz de controles y estándares de seguridad de su casa matriz para establecer y demostrar unos mínimos comunes.

Esta práctica puede facilitar la gestión de riesgos dentro de un grupo empresarial y permitir que las diferentes sociedades cumplan con unos estándares corporativos de seguridad; pero si pensamos en un requerimiento realizado por la Superintendencia de Industria y Comercio (SIC) a través de su Delegatura de Protección de Datos Personales, existe una diferencia entre afirmar que un grupo empresarial implementa un determinado control a través de su matriz y afirmar que la filial, constituida en Colombia, puede demostrar que ese control se aplica a los tratamientos de datos personales que realiza y que dicho control efectivamente se ejecuta.

A manera de ejemplo, digamos que existió una filtración de información por una plataforma llamada “CorpoEmpresarial” y, para el manejo de esta plataforma, la matriz definía los accesos, administraba la herramienta y realizaba los controles periódicos; mientras que, por su parte, la filial colombiana utilizaba esa plataforma para tratar los datos personales de sus clientes y empleados.

En este caso, si la SIC solicita que se acredite la implementación de medidas técnicas, humanas y administrativas para otorgar seguridad a los datos personales tratados en la plataforma “CorpoEmpresarial”, y la filial colombiana responde enviando la matriz de controles de su matriz, aparecen varias preguntas para esta como responsable del tratamiento: ¿La filial colombiana conoce el control? ¿Sabe qué tratamientos están cubiertos? ¿Sabe quién lo ejecuta? ¿Puede acceder a la evidencia de su ejecución? ¿Hace seguimiento al control? ¿Tiene un procedimiento definido si el control falla? ¿Puede demostrar todo esto ante una eventual revisión?

Al respecto, hay que decir que los controles o estándares de seguridad de la información definidos a nivel corporativo no sustituyen las obligaciones de demostración que resulten exigibles a las organizaciones en Colombia, ya que la filial debe poder demostrar que ha implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en el régimen de protección de datos personales.

¿Qué ocurre en la práctica cuando los controles se ejecutan desde otro país?

Para hablar de este tema, también hay que tener en cuenta el criterio de territorialidad establecido en la Ley 1581 de 2012 y, particularmente, que el concepto de tratamiento comprende cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

Con esto en mente, pueden presentarse diferentes escenarios que requieren análisis diferenciados:

• Cuando los datos son recolectados en Colombia, pero posteriormente son usados y almacenados en un país distinto, se debe tener presente que la recolección por sí misma constituye un tratamiento; por ende, si los controles de seguridad establecidos por la matriz están enfocados únicamente al almacenamiento, se estaría dejando por fuera una etapa del tratamiento que también requiere medidas de seguridad.
• Por otro lado, cuando toda la vida del dato se desarrolla en Colombia y los controles son definidos y ejecutados por la casa matriz, esto no significa que dichos controles no puedan ser utilizados para proteger esos datos, pero sí implica que la empresa en Colombia, necesariamente, pueda demostrar cómo se cumplen, cómo se realiza el seguimiento y quién es responsable de su ejecución.

Esto resulta relevante cuando una misma matriz corporativa de controles es utilizada por sociedades ubicadas en diferentes países, pero los tratamientos realizados por las diferentes empresas del grupo no están sujetos al mismo marco regulatorio, frente a lo cual la filial colombiana debe poder identificar cuáles controles se aplican a los tratamientos que realiza en Colombia y cómo gestiona los riesgos asociados a dichos tratamientos.

¿Qué ocurre si el control falla?

Hay que pensar en el escenario en que falla el control de seguridad ejecutado para Colombia desde la casa matriz, y la filial colombiana no tenía mecanismos para conocer, hacer seguimiento o gestionar esa falla, situación respecto de la cual no será suficiente señalar que “ese control era responsabilidad de la matriz”, más aún en una eventual actuación de la SIC, pues la existencia de una estructura corporativa no elimina la necesidad de que la sociedad constituida en Colombia tenga claridad sobre sus propios tratamientos, riesgos y medidas de protección.

La existencia de este riesgo no significa que todos los controles deban ser ejecutados directamente por la filial colombiana, ya que en un grupo empresarial es perfectamente posible que, para garantizar unos mínimos de seguridad, determinadas funciones de seguridad se centralicen en la casa matriz; pero lo importante es que la empresa colombiana pueda hacer seguimiento a la ejecución de dichos controles y cuente con evidencia que permita demostrar cómo estos contribuyen a proteger los datos personales.

¿Qué debe tener en cuenta una filial colombiana?

Entonces, si una filial colombiana quiere incluir en su matriz de controles de seguridad los controles definidos y ejecutados por la casa matriz, debería procurar:

• Identificar cuáles controles corporativos aplican a sus tratamientos.
• Documentar quién es responsable de ejecutar cada control.
• Conservar evidencia que permita demostrar su ejecución.
• Definir mecanismos de seguimiento sobre los controles ejecutados por la matriz.
• Identificar las particularidades regulatorias aplicables a los tratamientos realizados en Colombia.
• Establecer qué ocurre cuando un control falla y cómo se informa y gestiona el incidente.
• Evitar utilizar una matriz corporativa genérica sin poder establecer la relación entre los controles, los tratamientos y los riesgos locales.

De esta manera, una matriz corporativa puede ser una herramienta valiosa para unificar criterios y gestionar riesgos dentro de un grupo empresarial, siempre que permita identificar cómo los controles corporativos se aplican a los tratamientos que realiza en Colombia.

¿Tiene dudas sobre si las medidas y matrices de seguridad corporativas de su casa matriz cumplen cabalmente ante la SIC? En Data Protected le ayudamos a evaluar, aterrizar y documentar la efectividad de sus controles de protección de datos para garantizar el cumplimiento del principio de responsabilidad demostrada en Colombia. Conversemos con un especialista.