¿Cómo convertir el cumplimiento de GDPR en una oportunidad?Claves para la correcta gestión de los datos personales en documentos

2 | ¿Cómo convertir el cumplimiento de GDPR en una oportunidad? Claves para la correcta gestión de los datos personales en documentos

¿Cómo convertir el cumplimiento de GDPR en una oportunidad?

Claves para la correcta gestión de los datos personales en documentos

El pasado 5 de marzo, se filtraron los datos personales (nombres, apellidos, DNI, fechas de nacimiento, …) y las calificaciones de más de 30.000 aspirantes que se habían presentado a las pruebas de formación sanitaria MIR 2018(1). Ante las más que probables denuncias por parte de los afectados, el Ministerio de Sanidad tendrá que afrontar las posibles sanciones por esta filtración. Sin embargo, de haberse producido en la actualidad tras la reciente entrada en vigor del nuevo reglamento Europeo de Protección de Datos (GDPR) y aplicarse su régimen sancionador, éstas hubiesen sido de una cuantía mucho mayor. Se estima que con este nuevo reglamento, las sanciones por vulnerar el derecho fundamental a la protección de datos de carácter personal de los ciudadanos, pueden alcanzar los 20 millones de euros o el 4% del volumen de negocios anual de las empresas e instituciones (2).

Con la aplicación de esta norma se pretende convertir a Europa en una de las zonas más seguras del mundo para el desarrollo de un comercio de confianza y establecer la privacidad de los datos como un derecho fundamental de las personas.

Como los malos estudiantes con falta de previsión y organización, muchas empresas de nuestro país han dejado pasar el tiempo sin hacer convenientemente las tareas para prepararse y adaptarse a la aplicación del reglamento. No es fácil, ajustarse a la nueva norma no es una cuestión banal, es un reglamento complejo, holístico, que en aras de defender y asegurar con impecable criterio la privacidad de los datos de los ciudadanos europeos, requiere de cambios organizativos, procedimentales y una elevada inversión en el área de TI para adecuar la dispersión de repositorios finales de información que existen en cualquier gran organización.

Las advertencias del profesor no han sido suficientes y, pese a ser el tema de actualidad en todo el sector empresarial, las organizaciones tienen todavía, incluso

habiendo entrado ya en vigor la norma, muchas dudas sobre cómo aplicar la GDPR, lo que les está llevando a poner en marcha iniciativas básicas (localizando los datos, asegurándolos y gestionando los consentimientos de los interesados) que les permitan conseguir pasar la prueba de la mejor forma posible.

En esa preparación hacia el examen final, con carácter general, se ha olvidado una materia muy importante para aprobar: la información no estructurada.

Las organizaciones manejan un gran volumen de datos personales en los documentos electrónicos, digitalizados y físicos que custodian, y el 90% de los documentos que las empresas almacenan tiene algún tipo de información de carácter personal, ya sea de clientes, empleados o terceros.(3)

Los sistemas documentales y de gestión de contenidos absorben enormes cantidades de información de soporte para el negocio muy relevante en un contexto de GDPR, como contratos, facturas y otra documentación proporcionada por el cliente en el marco de procesos de negocio que afecta a distintos ámbitos de la empresa como recursos humanos, marketing, servicios financieros, etc. Por ello los modelos de gestión de contenidos enfocados a la gestión de expediente del cliente 360º se antojan fundamentales, ya que permiten optimizar la

1 http://www.elmundo.es/espana/2018/03/05/5a9d92d9e2704e157d8b45d4.html2 https://www.eugdpr.org3 Minsait

3 | ¿Cómo convertir el cumplimiento de GDPR en una oportunidad? Claves para la correcta gestión de los datos personales en documentos

gestión de los datos personales, asegurando la confianza de los clientes (los reguladores de la UE afirman que no tener confianza en la seguridad de los datos es uno de los inhibidores clave en la digitalización) e incluso aplicar procesos de retención diferenciales, cuando los clientes soliciten la portabilidad.

A pesar de la intimidación que provocan las posibles sanciones, el GDPR no debe entenderse únicamente como una imposición, sino también como una oportunidad de diferenciarse a nivel competitivo. Con el cumplimiento de la nueva norma, sobre todo gracias a una eficiente Gestión del Contenido Digital, se pueden aprovechar una serie de oportunidades que aporten valor diferencial a la obligada inversión, como la mejora de la relación con los clientes o la optimización de procesos:

• Mejor relación con los clientes: es indudable que el nuevo reglamento va a cambiar de forma sustancial la relación entre los clientes y las organizaciones/entidades que gestionan los datos. Las empresas deben garantizar el dominio y la privacidad de los datos personales, mejorando la capacidad de decisión y control de los clientes sobre los mismos. En este contexto, disponer de un modelo documental enfocado a la gestión del “expediente” del cliente 360º se antoja fundamental, permitiendo recopilar los datos de los clientes hasta ahora dispersos en los sistemas de las empresas. Esto posibilita tener un mayor conocimiento de los clientes, pudiendo gracias a ello orientar mejor la propuesta de valor e incluso aplicar procesos de retención diferenciales.

• Optimización de procesos: La implantación de esta norma, que se adivina gradual por imperativo de la realidad, será de enorme complejidad. La Gestión de Contenidos ayudará a aplicar la GDPR consiguiendo optimizar el tratamiento de la información, consiguiendo dos ventajas importantes: ahorrar costes y tener mayor control sobre los procesos de negocio.

— Localizar de forma rápida los documentos que incluyen datos personales en el preciso instante

que se necesite conocer, ahorra tiempo y, por ende, costes.

— Permitir la implantación de políticas de disposición (transferencia, conservación y expurgo) inherentes a la norma en el plano de derecho al olvido mediante herramientas como Record Management, permite a través de reglas, tener un control del recorrido que sigue el dato para así custodiar la información que esté sujeta a la legislación y destruir o transferir la que no. Esto facilita enormemente la adaptación a la GDPR de la operativa de negocio y evita posibles sanciones económicas cuantiosas.

Mucha información con datos personales se gestiona a través de email y en aplicaciones no integradas con las políticas de gestión requeridas por el GDPR. Habitualmente los CRMs absorben enormes cantidades de información que podría no ser esencial para el negocio pero que es muy relevante en un contexto de GDPR. Se trata de un riesgo oculto, donde en el caso de una violación de datos, si la información no está categorizada ni gestionada correctamente de manera centralizada, puede provocar que se incumpla esta norma. Por ello, con la aplicación de tecnologías con un nivel de madurez adecuado en la actualidad como el uso de técnicas de procesamiento de lenguaje natural (Natural Languaje Procesing o NLP por sus siglas en inglés), con procesos de clasificación, extracción y jerarquización, se puede conseguir ordenar esta información no estructurada, de manera que podamos tener un mayor dominio de los datos.

En consecuencia, aquellas empresas que cuenten con una acertada Gestión de Contenidos consolidada en su política de gobierno de información parten con ventaja a la hora de implementar la GDPR, ya que sus sistemas están más ordenados y son capaces de identificar antes los datos personales para poder realizar todas las operaciones requeridas por el nuevo reglamento.

4 | ¿Cómo convertir el cumplimiento de GDPR en una oportunidad? Claves para la correcta gestión de los datos personales en documentos

Para sacar valor de las oportunidades que presenta la GDPR, al igual que los buenos estudiantes que basan su preparación en la aplicación de sencillas técnicas de estudio que permiten alcanzar con facilidad sus metas y conseguir excelentes resultados, las empresas deben aplicar una metodología que permita conseguir sus objetivos, debiendo concienciar a la empresa en su totalidad, de forma que busquen que los derechos del cliente se cumplan en todo momento mediante el tratamiento adecuado de datos y una continua evaluación de los riesgos que afecten a los mismos. Para ello se propone una metodología dividida en cuatro fases principales: análisis, mapa documental, tratamiento de los datos y, por último, la gestión y custodia de esos datos en todo su recorrido por la empresa hasta su expurgo. De este modo, la gestión de contenidos permite a las empresas acercarse a la matrícula de honor en el cumplimiento de la GDPR.

El escenario que ha aparecido ante las empresas con la entrada en vigor de la GDPR es radicalmente distinto al pasado, muchas de ellas tendrán que ir a la repesca de septiembre, fundamentalmente por no haber pensado en el 80% de la información que gestionan que no está en bases de datos.

En Minsait somos especialistas en procesos de gobierno de contenidos, trabajando desde hace ya más de tres años en optimizar la gestión de documentos aplicando robotización cognitiva para búsqueda y clasificación, empleando capacidades tecnológicas y consultoras. Estas capacidades son claves para el despliegue de nuevos modelos de aseguramiento del cumplimiento de la legislación vigente y futura para empresas y, por consiguiente, en línea con la actual GDPR. Desde Minsait creemos que gracias a una sólida Gestión de Contenidos las compañías pueden sacar provecho de su aplicación, consiguiendo diferenciarse y aportar al cliente un valor basado en su seguridad y confianza, que, además, evite las elevadas sanciones económicas que conlleva el incumplimiento de este reglamento, o aún peor, el descrédito que puede suponer frente a sus clientes dicho incumplimiento.

Metodología

• Seguimiento del dato

• Expurgo de datos: — Borrado lógico — Borrado físico

• Portabilidad

• Definición de características para cada uno de los datos:

— Ciclo de vida según el tipo de documento

— Ofuscado o anonimizado de los datos según indique la norma

— Consentimiento por parte de la persona afectada

• Sistemas de búsqueda y localización

• Expediente 360 de cliente

• Elaboración del mapa o modelo documental en los que se definen los datos afectados por GDRP

— Definición de la estructura jerárquica de tipos y subtipos documentales

— Definición esquema de metadatos.

— Descripción detallada de las características de cada serie, tipo y subtipo documental, y del esquema de metadatos.

— Interlocutores y áreas usuarias.

• Análisis de la localización de los datos en los diferentes documentos/ procesos / sistemas de la empresa

• Análisis de los datos afectados por GDPR

• Diagnóstico de la situación actual

Análisis Modelo documental Tratamiento Gestión y custodia

• Aplicación de estrategias de retención de clientes

• Consecución de la confianza de cliente

• Obtención diferenciación reputacional

• Conocimiento del cliente

• Orientación de la propuesta de valor

• Gestión del expediente 360 de cliente

• Conocimiento de los datos manejados por cada área de la empresa

• Capacidad de decisión mayor sobre los mismos

• Optimización de procesos

• Localización y categorización de información no estructurada

Oportunidades derivadas de la aplicación de GDPR

Acompañamiento estratégico a través de una Oficina de ProyectoReflexiones estratégicas sobre la GDPR para conseguir sacar valor de su aplicaciónSeguimiento con la dirección de objetivos de eficiencias y de líneas de trabajo

5 | ¿Cómo convertir el cumplimiento de GDPR en una oportunidad? Claves para la correcta gestión de los datos personales en documentos

Minsait es la unidad de negocio de Indra que da respuesta a los retos que la transformación digital plantea a empresas e instituciones. Indra es una de las principales empresas globales de consultoría y tecnología y el socio tecnológico para los negocios clave de sus clientes en todo el mundo.

Autores

Andrés DuqueHead of Content Management at Minsait by Indra

Cristina LópezManager of Content Management at Minsait by Indra

Dolores CarrascoProject Manager of Content Management at Minsait by Indra

6 | La clave para el cumplimiento de la GDPR. La correcta gestión de los datos personales en documentos