RGPD para telecos: el porqué, el qué y el cómo

La protección de datos suele percibirse como una carga. Incluso cuando el beneficio para las personas es evidente, pedir a las empresas que cumplan con un conjunto más de reglas puede sentirse como una traba. Pero internet solo sigue siendo un espacio seguro para comunicarse cuando lo respaldan reglas claras y exigibles. El propósito del Reglamento General de Protección de Datos (RGPD) no es solo proteger a las personas y frenar los abusos: establece un marco único y operativo sobre cómo se recopilan y tratan los datos personales en toda Europa. Cuando ese marco funciona, todos ganan: las personas obtienen un control real sobre sus datos, y las empresas operan en un entorno más predecible y con mayor confianza por parte de sus clientes.

El reto de la privacidad de los datos en línea

Durante años, la ausencia de reglas sólidas y coherentes de protección de datos tuvo costes reales, para las personas y para la sociedad. Los operadores de telecomunicaciones están en el centro de esta cuestión, porque transportan millones de conversaciones, mensajes y registros de llamadas sensibles. Sin protecciones claras, las personas perdían de hecho el control de sus datos: no podían saber quién los tenía, qué se almacenaba, a qué información se accedía ni por qué. Y cuando algo salía mal, recurrir resultaba difícil o imposible.

Ese vacío permitió que prosperara una amplia gama de prácticas intrusivas pero eficaces: redacciones confusas, condiciones de uso innecesariamente largas y cláusulas controvertidas escondidas en la letra pequeña. El RGPD vuelve ilegales muchas de esas prácticas.

Por qué las personas necesitan un marco firme

Lo que está en juego para la sociedad es mayor de lo que parece a primera vista. Unas reglas de datos débiles erosionan la privacidad con el tiempo y concentran la influencia en manos de quien posee los mayores conjuntos de datos. Un marco fiable de protección de datos forma parte, dicho con sencillez, de la infraestructura de una democracia sana. El derecho a la privacidad es fundamental: sin él, la libertad de expresión y la capacidad de tomar decisiones libres e informadas también se debilitan.

Por qué las empresas también salen ganando

Unas reglas de datos insuficientes perjudican tanto a las empresas como a los consumidores. El mayor problema del panorama anterior al RGPD era la fragmentación. Incluso dentro de la UE, las obligaciones en materia de telecomunicaciones e internet variaban de un país a otro, y ese mosaico hacía que el cumplimiento pleno fuera realmente difícil. Cuantas más autoridades debía gestionar una empresa, más complicado le resultaba ser proactiva con sus prácticas de datos.

Las antiguas sanciones empeoraban las cosas. Cuando las multas son insignificantes frente a los ingresos en juego, invitan al cálculo de «¿cuánto nos costaría simplemente pagar la multa?» — una señal de que el sistema legal no ha cumplido su función.

Salir de la jungla regulatoria local

Los defectos del antiguo marco son claros, pero la verdadera prueba es la aplicación. Una ley debe ser lo bastante sencilla y clara para poder aplicarse. Cuando no lo es, el resultado se parece mucho, sea cual sea la política sobre el papel:

Leyes insuficientes o no aplicadas — países donde las protecciones son débiles, inexistentes o sencillamente no se aplican.
Leyes permisivas con poco efecto — reglas tan laxas que su impacto práctico es casi nulo.
Leyes sólidas, aplicación débil — países con regulaciones serias sobre el papel, pero con un seguimiento limitado, de modo que las empresas constituidas en otro lugar podían hacer prácticamente lo que quisieran.

Las reglas de telecomunicaciones europeas eran un buen ejemplo de lo complicado que llegó a ser todo esto. Los requisitos sobre códigos cortos y números de teléfono, la señalización de SMS y la prioridad de los mensajes (marketing frente a notificación), las grabaciones de buzón de voz y la gestión de listas de contactos podían diferir de forma notable de un país a otro.

El problema de la territorialidad

El mayor cambio que introdujo el RGPD es su aplicabilidad extraterritorial. Antes, el alcance territorial del derecho de datos era ambiguo, y la incertidumbre central era simple: ¿qué ley se aplica?

¿La ley del país de la empresa?
¿La ley del país del cliente, si es distinto?
¿O la ley del lugar donde se «trataban» los datos?

Para las telecos esto suponía un riesgo importante, porque muchos países pueden intervenir en un mismo flujo de datos. Pensemos en un centro de llamadas:

ubicado en Túnez,
que llama a clientes en Francia, Italia y España,
en nombre de una empresa con sede en Portugal,
y que utiliza a un proveedor de software alemán para tratar los datos de las llamadas.

¿Qué ley debería seguir ese centro de llamadas? El RGPD hace que la respuesta sea inequívoca: solo importa la ubicación del cliente. Sea la empresa europea o no, y tanto si el tratamiento ocurre dentro como fuera de la UE, toda organización que trate datos personales de personas situadas en la UE debe cumplir con el RGPD.

Los tres pilares del RGPD

El RGPD existe para dotar a Europa de un marco moderno de protección de datos, adecuado a las necesidades actuales y futuras. La directiva europea anterior sobre protección de datos databa de 1995, así que una actualización era más que necesaria.

Los principios subyacentes provienen de aquella directiva anterior, pero las políticas que los rodean cambiaron de forma sustancial. Los cambios más importantes se agrupan en tres bloques: la privacidad desde el diseño, la propiedad y el control de los datos, y el consentimiento y las sanciones.

I. Privacidad desde el diseño

La idea de la privacidad desde el diseño — integrar la protección de datos en un producto o servicio desde el principio, en lugar de añadirla después — existe desde hace décadas. En la práctica significa que un sistema debe recopilar únicamente los datos que realmente necesita (minimización de datos) y limitar el acceso a esos datos al menor número posible de personas y servicios necesarios para tratarlos.

Su inclusión en el RGPD importa tanto por lo que señala como por lo que impone. En un mundo en el que todos los sistemas siguieran este principio, gran parte de la regulación sobre protección de datos sería innecesaria. Una ley no cambiará de la noche a la mañana la forma de pensar de las empresas, pero establece la expectativa.

II. Propiedad y control de los datos

El RGPD concede a las personas un nuevo conjunto de derechos sobre cómo los servicios en línea recopilan y tratan sus datos. Esos derechos exigen un verdadero trabajo de ingeniería: las empresas que manejan datos de clientes deben ofrecer una forma de acceder a ellos, corregirlos y eliminarlos. Las grandes empresas solían contar ya con tales interfaces; las más pequeñas pueden necesitar la ayuda de un proveedor para cumplir.

Portabilidad de los datos

La portabilidad de los datos significa que las personas pueden trasladar fácilmente sus datos de un servicio a otro. Bajo el RGPD, una persona debe poder obtener los datos que proporcionó en un «formato de uso común y legible por máquina».

Esto facilita el cambio de proveedor y permite a cada persona conservar sus propias copias de seguridad. Es un requisito exigente para los operadores de telecomunicaciones, que deben adoptar estándares comunes para que los clientes puedan mover sus datos entre proveedores. En Francia, la portabilidad del número es la norma para los operadores de telecomunicaciones desde 2007. Las telecos, que recopilan, almacenan y analizan grandes volúmenes de datos de clientes, han tenido que replantearse partes importantes de sus procesos — y, en algunos casos, encontrar nuevas fuentes de ingresos en el camino.

Derecho de acceso

El derecho de acceso es un paso importante hacia la transparencia. Las personas pueden preguntar a un responsable del tratamiento si se están recopilando sus datos personales, dónde y con qué finalidad.

Derecho al olvido

Ya implementado en algunos países antes del RGPD, este derecho permite a una persona:

borrar sus datos personales,
detener la difusión ulterior de esos datos,
y, en algunos casos, exigir a terceros que cesen su tratamiento.

III. Mayores responsabilidades y multas más altas

Recoger el consentimiento

Las reglas sobre el consentimiento se reescribieron para ajustarse a la realidad. El consentimiento debe darse ahora de forma inteligible y fácilmente accesible, con un lenguaje claro y sencillo — y debe ser tan fácil de retirar como de otorgar. En conjunto, estas reglas dan más control a las personas y vuelven ilegales unas condiciones de uso deliberadamente opacas.

Sanciones ligadas a la facturación

Las sanciones por incumplimiento son mucho mayores, tanto en cuantía como en alcance. Para las infracciones más graves — como ignorar los principios de privacidad desde el diseño o no obtener el consentimiento — las organizaciones pueden ser multadas con hasta 20 millones de euros o el 4 % de la facturación anual global, la cifra que sea mayor, dentro de un sistema escalonado. También se reconocen nuevas infracciones, como no notificar a las autoridades y a las personas afectadas una violación de datos, o no realizar una evaluación de impacto adecuada.

Delegados de protección de datos

Las organizaciones que tratan datos a gran escala, o que manejan datos sensibles (como historiales médicos o judiciales), deben nombrar un delegado de protección de datos (DPO). El DPO es el principal punto de contacto con las autoridades de protección de datos. Debe estar libre de cualquier función que pueda generar un conflicto de intereses, contar con los recursos y las competencias para desempeñar su labor, e informar directamente al máximo nivel de la dirección. Las violaciones deben registrarse ahora internamente y notificarse a la autoridad competente.

Qué significa el RGPD para las empresas

El RGPD afecta a toda organización que recopila y trata datos personales. Los servicios en línea y las plataformas sociales se ven muy afectados, pero también cualquier empresa que posea grandes ficheros de clientes — operadores de telecomunicaciones y firmas de marketing incluidos. A continuación analizamos el impacto en las empresas de telecomunicaciones y luego apuntamos formas más amplias de abordar el cumplimiento.

El RGPD para las telecos

Las empresas de telecomunicaciones se ven afectadas de manera significativa. Toda empresa que mueva información con fines de almacenamiento, generación de informes o marketing debe estar preparada para eliminar o anonimizar esos conjuntos de datos. Los responsables del tratamiento que traten datos a gran escala deben nombrar un DPO. La portabilidad de los datos obliga a los operadores a facilitar los datos de los clientes en un formato estándar.

Puede parecer mucho — pero hay una ventaja. El marco está unificado en toda Europa: cumplir con un único conjunto de reglas es mucho más sencillo que seguir decenas de regímenes nacionales.

Las empresas que ya manejan datos de clientes europeos deberían repasar algunos puntos esenciales:

Pedir a los nuevos clientes su consentimiento explícito para recopilar y usar sus datos.
Revisar los datos de los clientes existentes y eliminar todo lo que ya no sea necesario.
Formar al personal para que el cumplimiento sea continuo, y no un proyecto puntual.

El cumplimiento como ventaja

Sí, ponerse al día con el cumplimiento exige trabajo a corto plazo. Pero ese trabajo es también una oportunidad para adoptar mejores prácticas de datos y operar de forma más limpia y eficiente. Las empresas que se toman en serio la privacidad y construyen mecanismos fiables ganan la confianza y la lealtad de sus clientes y prospectos — lo que, en última instancia, impulsa el crecimiento. La mayoría habría tenido que ordenar sus prácticas de datos de todos modos. Y a medida que los dispositivos conectados se multiplican y los volúmenes de datos siguen creciendo, la minimización de datos resulta aún más importante para mantener las redes eficientes.

Una nota sobre los límites del RGPD

Ninguna ley es perfecta, y el RGPD no es una excepción. Los derechos que concede a las personas son bienvenidos, pero el marco se diseñó en torno a dos supuestos:

que los datos personales de los ciudadanos de la UE residen en un pequeño número de ubicaciones centralizadas, y
que organizaciones identificables son responsables de aplicar los estándares.

Los sistemas descentralizados e inmutables entran en tensión con ambos supuestos: sus datos están distribuidos en numerosos nodos por todo el mundo, y los registros, por lo general, no pueden alterarse una vez escritos. Cómo se adaptará la regulación a esas arquitecturas sigue siendo una pregunta abierta.

El papel de Callr

Callr opera su propia infraestructura de telecomunicaciones en la UE, con residencia de datos en la UE por defecto — de modo que los flujos de voz, SMS y datos de llamadas que construyas a través de nuestra API REST y webhooks permanecen sobre bases europeas desde el principio. Esto facilita responder a las cuestiones de minimización y localización de datos que vimos más arriba. Si quieres conocer los detalles sobre cómo Callr trata los datos personales, consulta nuestra página de RGPD, o ponte en contacto para hablar de tu caso de uso.