¿Tercerizar la Gestión de Protección de Datos significa que todo lo realiza el tercero?

Un Esfuerzo Colaborativo

En el marco de un acuerdo de tercerización para la gestión de protección de datos, una empresa muestra su descontento durante una reunión con su proveedor de servicios.

• Empresa: «Desde que comenzamos con este servicio, siento que hemos tenido que hacer todo el trabajo nosotros mismos. Si tenemos que encargarnos de revisar, entender, aprobar y poner en práctica todo, ¿Cuál es el punto de contratar a un tercero?»
• Proveedor de Servicios: Comprendo su preocupación y es importante aclarar cómo se distribuyen las responsabilidades en este proceso. Nuestro rol como su proveedor es entregarles un conjunto integral de herramientas, procedimientos y guías diseñados específicamente para cumplir con la normativa vigente. Además, nos encargamos de mantener estos recursos actualizados y proporcionarles el conocimiento necesario para su implementación. Pero es crucial entender que la implementación efectiva de estas estrategias dentro de su operación cotidiana requiere de su participación activa. Esto no equivale a hacerlo todo por su cuenta; es más bien un esfuerzo colaborativo donde cada acción y decisión que tomen está informada y apoyada por nuestra experticia

Esta conversación común sobre la tercerización de la gestión de datos personales refleja que la percepción del trabajo realizado puede ser el principal punto de falla en los procesos de tercerización, ya que el cliente no ve todo el esfuerzo que hay detrás para llegar a la fase de implementación y, por ende, puede confundir esta etapa con «hacerlo todo».

Gestión de la protección de datos

La protección de datos, especialmente bajo el marco de la Ley 1581 de 2012 y las normativas complementarias en Colombia, es un proceso dinámico que involucra múltiples etapas, donde el proveedor de servicios normalmente se debe encargar de:

• Desarrollo de Evidencias del Cumplimiento Normativo: Esto incluye la creación de manuales, guías, avisos, mensajes, cláusulas, políticas y procedimientos. Estos documentos son fundamentales para demostrar el compromiso de la empresa con la protección de datos.
• Seguimiento y Actualización: La legislación y las expectativas en torno a la protección de datos están en constante evolución. Es esencial realizar un seguimiento continuo y actualizar los elementos existentes para asegurar la alineación con el marco normativo.
• Desarrollo de Herramientas y Tecnología: La implementación de soluciones tecnológicas facilita la gestión eficiente de los datos personales y las evidencias, automatizando procesos como el consentimiento y la respuesta a solicitudes de acceso.
• Fortalecimiento del Conocimiento: La comprensión profunda de la normativa y su aplicación práctica es vital para manejar adecuadamente situaciones complejas relacionadas con la protección de datos.
• Cumplimiento de Fechas Límite de Reporte: La alerta y aseguramiento del cumplimiento de las fechas límite para reportes ante la SIC son críticos para evitar sanciones.
• Transferencia de Conocimiento: Desarrollar y proporcionar recursos que faciliten el aprendizaje y la adopción de prácticas de protección de datos dentro de la empresa es un paso importante para asegurar una gestión efectiva.

Por otro lado, el cliente se encarga principalmente de:

• Implementación: La puesta en práctica de los elementos desarrollados es donde la empresa juega un papel crucial. La implementación efectiva requiere una comprensión clara de los procedimientos y políticas propuestos.

La gestión de protección de datos es un esfuerzo conjunto que requiere tanto del conocimiento especializado del proveedor de servicios como de la participación activa de la empresa. La tercerización facilita un soporte integral hasta cierto punto, pero la implementación efectiva de las estrategias de protección de datos personales sigue siendo responsabilidad de la empresa, destacando la importancia de una colaboración efectiva para cumplir con las normativas de manera eficiente y efectiva..

Conclusión 

Es fundamental que las organizaciones que deciden tercerizar la gestión de datos personales tengan la diferenciación y el alcance de los roles para evitar la percepción de que la empresa «tiene que hacerlo todo», cuando en realidad está ejecutando una parte crítica del proceso con el apoyo y la guía del proveedor. La implementación exitosa requiere una comprensión clara de las estrategias propuestas, así como un compromiso activo de la organización para integrarlas en la práctica empresarial diaria.