GDPR es una gran cosa obstaculizada por una mala idea

La semana pasada fue importante para usted y su información personal, viva o no en la UE.

GDPR, el Reglamento general de protección de datos que establece directrices sobre cómo se recopila y procesa la información personal de los ciudadanos de la UE, ahora es oficial. Es una gran idea: las reglas uniformes sobre cómo se recopila su información, cómo se almacena y cómo puede recuperarla, están muy atrasadas. Ha habido (y seguirá habiendo) mucha discusión sobre lo que es bueno, malo y feo sobre GDPR, pero la mayoría de las personas que trabajan en seguridad de la información acuerda que los objetivos son bien intencionados y proporcionarán el tipo de protección que todos necesitamos en el 21 siglo.

Un montón de sitios web populares simplemente no están disponibles para los visitantes europeos porque no cumple con el RGPD.

Los artículos individuales de GDPR, sin embargo, no son tan elogiados universalmente. Habiendo entrado en vigor el viernes 25 de mayo, ya vemos consecuencias: el New York Daily News, Chicago Tribune, LA Times y otros sitios web de alto perfil.

ahora no están disponibles en países cubiertos por las regulaciones de GDPR porque no estaban listos para las nuevas reglas. Muchos otros sitios web y servicios en línea han bombardeado a los usuarios con nuevos términos que aceptar, y ya se han presentado quejas contra los gigantes tecnológicos notables Google y Facebook porque no ofrecen servicios gratuitos sin permitir a los usuarios optar por no participar en la recopilación de datos.

Más: Google facilita la comprensión y la administración de los datos de los usuarios que recopila {.cta .large}

Problemas como estos no son sorprendentes. Tampoco lo es el sentimiento de que los servicios basados ​​en la nube perderán ingresos y se verán obligados a subir los precios como resultado de GDPR, que la mitad de los asistentes a Infosecurity Europe 2018 creo que pronto estará sucediendo. También sienten que GDPR sofocará la innovación ya que las organizaciones pequeñas no podrán permitirse la infraestructura necesaria para cumplir. Esta es una buena discusión por parte de las personas que necesitan discutirlo. Una mejor privacidad vale las horas de ida y vuelta necesarias para hacerlo bien.

Pero hay una parte del RGPD que creo que hará más daño que bien: la regla de informes de 72 horas del Artículo 33. Puedes leer el texto completo aquí, pero la esencia es que una empresa que mantiene la identificación personal de los ciudadanos de la UE es totalmente responsable de cualquier violación de la seguridad, sin importar el motivo, y debe proporcionar una divulgación completa a un comité de supervisión dentro de las 72 horas posteriores a una incumplimiento. No hay nada bueno en esta regla, pero dos partes llevarán a los proveedores de servicios a cubrir las violaciones de datos en lugar de informarlas de manera responsable.

El primero es el comité de supervisión. Los diferentes países tienen diferentes formas de gobernar a sus ciudadanos, pero una cosa que todos tienen en común es el trato preferencial cuando se trata de crear y dotar de personal a cualquier comité oficial. Un amigo de un amigo o ese primo tercero que no puede dejar de pedir una limosna son los principales candidatos para cualquier puesto en el comité, y cuando el objetivo principal es proteger los datos del usuario, solo las personas más calificadas deben ser considerado. Esperemos que eso sea exactamente lo que se hace aquí y que las regulaciones puedan ser adaptadas y aplicadas por personas que se preocupan por nuestros mejores intereses y están calificadas.

Las pequeñas empresas que no cuentan con los recursos necesarios para realizar una investigación completa de las violaciones pueden optar por encubrirlas.

Un problema mayor son los informes forzados de 72 horas. Incluso una organización Fortune 500 con todo su personal no sabrá lo suficiente sobre una violación de datos para comenzar a presentar informes ante una agencia gubernamental. Dado tan poco tiempo, espere poco más que el oficial de seguridad de la información de una empresa que diga que hubo una violación y aún no estamos seguros de los detalles. Eso es poco más que una pérdida de tiempo para todos los involucrados, y prefiero dedicar ese tiempo a tratar de averiguar el por qué, el cómo, el cuándo y el quién en torno a cualquier tipo de violación de datos.

Una empresa más pequeña que ya esté luchando por cumplir con el GDPR se verá tentada a investigar si puede contener la infracción y mitigar los daños por sí misma sin ningún informe. Cuando estás bajo presión y tienes poco personal, un encubrimiento puede parecer la opción correcta.

Claramente, nunca lo es. Pero se sabe que empresas grandes y pequeñas elige la opción incorrecta una y otra vez cuando se trata del cable. Cualquier regulación diseñada para proteger a los usuarios de las empresas que toman malas decisiones es mejor sin una regla que pueda empujarlos a hacer precisamente eso.

La notificación responsable y rápida de un robo de datos es imprescindible. Obligar a las empresas que recopilan y conservan nuestros datos a hacer lo correcto no es de mucha utilidad sin él. Crear el comité de supervisión adecuado con las personas adecuadas para revisar cómo se tratan los robos, o incluso ofrecer asistencia cuando sucedan: contribuiría en gran medida a hacer del RGPD una plantilla para que el resto del mundo seguir.

Jerry Hildenbrand

Jerry es el nerd residente de Mobile Nation y está orgulloso de ello. No hay nada que no pueda desarmar, pero muchas cosas que no pueda volver a montar. Lo encontrará en la red de Mobile Nations y podrá pégale en Twitter si quieres decir hola.