Incluso después de tantos años desde la implementación de la Ley General de Protección de Datos (LGPD) en Brasil, muchas empresas siguen incumpliendo la norma. La LGPD, que entró en vigor en septiembre de 2020, fue creada con el objetivo de proteger los datos personales de los ciudadanos brasileños, estableciendo reglas claras sobre cómo las empresas deben recopilar, almacenar y tratar esa información. Sin embargo, a pesar del tiempo transcurrido, muchas empresas avanzaron poco en la implementación de la norma.
Recientemente, la Autoridad Nacional de Protección de Datos (ANPD) ha intensificado la supervisión de las empresas que no cuentan con un encargado de datos, también conocido como Data Protection Officer (DPO). La falta de un DPO es una de las principales infracciones identificadas, ya que este profesional es esencial para garantizar que la empresa cumpla con la LGPD. El DPO actúa como intermediario entre la empresa, los titulares de los datos y la ANPD, siendo responsable de supervisar el cumplimiento de las políticas de protección de datos y de orientar a la organización sobre las mejores prácticas.
Y estos datos pueden ser solo la "punta del iceberg". En realidad, nadie sabe cuántas empresas aún no han adoptado la norma. No existe un levantamiento oficial único que consolide los números exactos de todas las empresas no adherentes a la LGPD. Investigaciones independientes indican que, en términos generales, el porcentaje puede variar entre el 60% y el 70% de las empresas brasileñas, especialmente entre las de pequeño y mediano tamaño. En el caso de las grandes, el porcentaje es aún mayor, pudiendo llegar al 80%.
Por qué la falta de un DPO marca la diferencia
En 2024, seguramente Brasil superó los 700 millones de ataques de ciberdelincuentes. Se estima que ocurren casi 1.400 golpes por minuto y, por supuesto, las empresas son los principales objetivos de los delincuentes. Crímenes como el ransomware, en el cual generalmente los datos se convierten en "rehenes" y que, para que no sean publicados en línea, las empresas deben pagar una suma enorme de dinero, se han vuelto comunes. ¿Pero hasta cuándo el sistema, las víctimas y las aseguradoras, podrán soportar tal volumen de ataques?
No hay manera de responder a esta pregunta de manera adecuada, aún más cuando las propias víctimas dejan de tomar las acciones necesarias para la protección de la información. La falta de un profesional enfocado en la protección de datos o, en algunas situaciones, cuando el supuesto responsable del área acumula tantas funciones que no puede desempeñar esta actividad de manera satisfactoria, agrava aún más esta situación.
Es claro que la designación de un responsable, por sí sola, no resuelve todos los desafíos de adecuación, pero muestra que la empresa está comprometida en estructurar un conjunto de prácticas coherentes con la LGPD. Sin embargo, esta falta de priorización no solo se refleja en la posibilidad de sanciones, sino también en riesgos reales de incidentes de seguridad, que generarán un perjuicio considerable. Las multas aplicables por la ANPD son solo una parte del problema, ya que las pérdidas intangibles, como la confianza del mercado, pueden ser aún más dolorosas. En este panorama, la supervisión más intensa se ve como una acción necesaria para reforzar los mecanismos de cumplimiento de la legislación y fomentar que las organizaciones pongan en primer plano la privacidad de los titulares.
¿Contratar un DPO o externalizarlo?
Contratar a un DPO a tiempo completo puede ser una tarea complicada, ya que no siempre hay demanda o interés en asignar recursos internos para esa necesidad.
En este sentido, la subcontratación ha sido señalada como una solución para las empresas que desean cumplir con la legislación de manera efectiva, pero no disponen de una gran estructura o recursos para mantener un equipo multidisciplinario dedicado a la protección de datos. Cuando se recurre a un proveedor de servicios especializado, la empresa obtiene acceso a profesionales que tienen más experiencia para manejar los requisitos de la LGPD en diferentes sectores del mercado. Además, con un responsable externo, la empresa comienza a considerar la protección de datos como algo integrado en la estrategia, en lugar de un problema puntual que solo recibe atención cuando llega una notificación o cuando ocurre alguna filtración.
Esto contribuye a la creación de procesos robustos sin que sea necesario una inversión considerable en reclutamiento, capacitación y retención de talentos. La externalización del encargado de datos va más allá de simplemente nombrar a una persona externa. El proveedor suele ofrecer asesoramiento continuo, realizando actividades de mapeo y análisis de riesgos, ayudando en la elaboración de políticas internas, llevando a cabo capacitaciones para los equipos y siguiendo la evolución de la legislación y las normativas de la ANPD.
Además, está la ventaja de contar con un equipo que ya tiene experiencia en casos prácticos, lo que reduce la curva de aprendizaje y ayuda a prevenir incidentes que podrían generar multas o daños a la reputación.
¿Hasta dónde llega la responsabilidad del DPO externalizado?
Es importante destacar que la subcontratación no exime a la organización de sus responsabilidades legales. La idea es que la empresa mantenga el compromiso de garantizar la seguridad de los datos que recopila y trata, ya que la legislación brasileña deja claro que la responsabilidad sobre incidentes no recae solo en el encargado, sino en la institución en su conjunto.
Lo que hace la tercerización es ofrecer un soporte profesionalizado, que comprende los caminos necesarios para mantener la organización en línea con la LGPD. La práctica de delegar este tipo de tarea a un socio externo ya se adopta en otros países, donde la protección de datos se ha convertido en un punto crítico de gestión de riesgos y gobernanza corporativa. La Unión Europea, por ejemplo, con el Reglamento General de Protección de Datos, exige que muchas empresas nombren un delegado de protección de datos. Allí, varias empresas optaron por externalizar el servicio contratando consultorías especializadas, aportando lapericiapara "dentro de casa", sin necesidad de crear todo un departamento para ello.
El encargado, de acuerdo con la legislación, debe tener autonomía para reportar fallos y proponer mejoras, y algunas directrices internacionales sugieren que el profesional debe estar libre de presiones internas que limiten su capacidad de fiscalización. Las consultorías que ofrecen este servicio desarrollan contratos y metodologías de trabajo que aseguran este tipo de independencia, manteniendo una comunicación transparente con los gestores y estableciendo criterios claros de gobernanza.
Este mecanismo protege tanto a empresa como al propio profesional, que necesita tener la libertad de indicar vulnerabilidades incluso si esto va en contra de prácticas consolidadas dentro de un determinado sector o departamento.
La intensificación de la supervisión de la ANPD es una señal de que el escenario de tolerancia está dando paso a una postura más firme, y quienes opten por no abordar este problema ahora podrían enfrentar consecuencias más severas en un futuro no muy lejano.
Para las empresas que desean un camino más seguro, la subcontratación es una opción capaz de equilibrar costo, eficiencia y confiabilidad. Con este tipo de asociación, es posible corregir lagunas en el entorno interno y estructurar una rutina de cumplimiento que protegerá a la empresa tanto de sanciones como de los riesgos asociados a la falta de transparencia y seguridad en relación con los datos personales que están bajo su responsabilidad.
