Privacidad desde el diseño y políticas de conservación de datos

Privacy by Design (PbD) es un marco desarrollado por Ann Cavoukian en la década de 1990 que considera la privacidad un requisito arquitectónico fundamental, no algo que se añade posteriormente. En lugar de incorporar controles de privacidad después de construir un sistema, PbD los integra desde la primera decisión de diseño. El artículo 25 del RGPD codificó formalmente PbD como requisito legal para los sistemas orientados a la UE, al exigir la protección de datos desde el diseño y por defecto, lo que significa que la configuración predeterminada siempre debe ser la opción disponible que ofrezca mayor protección de la privacidad.

Los siete principios de Cavoukian son: Proactivo, no reactivo: anticipar y prevenir los incidentes de privacidad antes de que ocurran. Privacidad por defecto: no se requiere ninguna acción del usuario para proteger la privacidad. Privacidad integrada en el diseño: no se añade como una capa posterior. Funcionalidad completa: la privacidad no exige renunciar a la seguridad ni a la funcionalidad. Seguridad de extremo a extremo: protección durante todo el ciclo de vida, desde la recopilación hasta la eliminación. Visibilidad y transparencia: operaciones abiertas a la verificación independiente. Respeto por la privacidad del usuario: controles centrados en el usuario y configuraciones predeterminadas sólidas.

Privacidad por defecto significa que las configuraciones que ofrecen mayor protección de la privacidad están activas desde el primer momento. Los usuarios no deberían tener que renunciar a la recopilación de datos ni restringir el uso compartido; en su lugar, compartir datos debe requerir una aceptación expresa. Ejemplos prácticos: un perfil de una red social debería ser privado por defecto, no público; una herramienta de analítica debería recopilar la cantidad mínima de datos por defecto; una aplicación no debería solicitar permiso de ubicación por defecto. Los principios de PbD exigen que los ingenieros automaticen las decisiones que protegen la privacidad, en lugar de depender de la concienciación del usuario.

La minimización de datos es un principio de PbD y un requisito legal del RGPD: recopilar únicamente los datos personales estrictamente necesarios para el fin especificado. Antes de desarrollar una funcionalidad, los ingenieros deberían preguntarse: «¿Realmente necesitamos este campo?». Entre las técnicas habituales de minimización se incluyen recopilar valores derivados en lugar de datos sin procesar (el rango de edad en lugar de la fecha de nacimiento), utilizar pseudonimización (sustituir identificadores directos por tokens) e implementar la anonimización cuando no sea necesario analizar a nivel individual. Los datos que nunca se recopilan no pueden sufrir una brecha.

La pseudonimización sustituye los datos que identifican directamente a una persona por un identificador artificial (token), pero conserva la tabla de correspondencias, de modo que es posible volver a identificarla con la clave. El RGPD reconoce la pseudonimización como una técnica de reducción de riesgos, pero NO exime a los datos pseudonimizados del RGPD: siguen siendo datos personales. La anonimización elimina de forma irreversible la posibilidad de identificar a las personas. Los datos verdaderamente anónimos quedan fuera del ámbito del RGPD, pero lograr una anonimización genuina es técnicamente difícil: muchos conjuntos de datos que se consideran anónimos pueden volver a identificarse mediante datos auxiliares o ataques de inferencia.

Una Privacy Impact Assessment (PIA), denominada Data Protection Impact Assessment (DPIA) en el RGPD, evalúa los riesgos para la privacidad antes de poner en marcha un sistema o proceso nuevo. El RGPD exige realizar DPIA cuando el tratamiento probablemente entrañe un riesgo elevado, por ejemplo, en el tratamiento a gran escala de datos sensibles, la elaboración sistemática de perfiles o el uso de nuevas tecnologías. Una DPIA documenta el objetivo del tratamiento, la evaluación de su necesidad, la identificación de riesgos y las medidas para mitigarlos. Completar una DPIA de forma temprana evita rediseños costosos una vez construidos los sistemas.

Una política de conservación de datos especifica durante cuánto tiempo se conserva cada categoría de datos antes de que deba eliminarse de forma segura. Las decisiones sobre conservación equilibran dos presiones contrapuestas: conservar los datos el tiempo suficiente para cumplir los requisitos legales, operativos y de auditoría, pero no tanto como para que se conviertan en un riesgo innecesario. El principio de limitación del plazo de conservación del RGPD exige eliminar los datos cuando ya no sean necesarios para su finalidad original. Los calendarios de conservación deben documentarse y aplicarse técnicamente mediante tareas automatizadas de eliminación y configuraciones de caducidad de archivos.

Los calendarios de conservación deben incluir un mecanismo de excepción para las retenciones legales. Cuando se prevea o se inicie un litigio, las organizaciones tienen la obligación de conservar todos los datos potencialmente pertinentes, independientemente de los calendarios normales de conservación. Destruir datos sujetos a una retención legal puede constituir spoliation of evidence y dar lugar a resoluciones judiciales desfavorables o sanciones. El software de retención legal coloca una marca técnica de preservación en los datos afectados, lo que impide su eliminación automatizada hasta que el equipo jurídico levante la retención. Las retenciones legales deben supervisarse y documentarse durante toda su vigencia.

Cuando los datos llegan al final de su periodo de conservación, deben destruirse de forma que resulte imposible recuperarlos. Para los datos digitales: borrado criptográfico (la destrucción de las claves de cifrado inutiliza el texto cifrado), desmagnetización (para medios magnéticos), sobrescritura segura (NIST SP 800-88 Clear o Purge) o destrucción física (trituración e incineración). Las organizaciones deberían emitir certificados de destrucción, especialmente en el caso de la destrucción de medios por terceros, como evidencia para las auditorías de cumplimiento. En el almacenamiento en la nube, el borrado criptográfico suele ser el único método viable.

Las organizaciones que se basan en el consentimiento como fundamento jurídico deben mantener registros de consentimiento que demuestren quién otorgó el consentimiento, cuándo lo hizo, a qué tratamiento específico se refirió y mediante qué mecanismo. Estos registros deben conservarse mientras continúe el tratamiento y durante un período razonable posterior para resolver posibles controversias. Las plataformas de gestión del consentimiento (CMP) automatizan el consentimiento de cookies, la recopilación de preferencias y la retirada del consentimiento. Un registro de auditoría de los cambios en el consentimiento es esencial: si un usuario retira su consentimiento pero sus datos siguen tratándose, la organización se enfrenta a una responsabilidad considerable en virtud del RGPD.

La privacidad desde el diseño, aplicada en la práctica, significa que los arquitectos plantean cuestiones de privacidad durante la fase de diseño. Es preferible utilizar renderizado del lado del servidor en lugar de balizas de analítica del lado del cliente. Utilice tokenización en vez de almacenar números de tarjeta sin protección. Aplique cifrado a nivel de columna en las bases de datos para los campos confidenciales. Diseñe capas de acceso a datos que apliquen el principio de obtener únicamente los datos mínimos necesarios para cada consulta. Almacene la IIP en un esquema de base de datos independiente y con restricciones más estrictas. Aplique privacidad diferencial a los resultados de analítica. Estas decisiones se combinan para crear un sistema realmente difícil de explotar, incluso para usuarios internos.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido lo siguiente: la privacidad desde el diseño incorpora la privacidad a los sistemas desde el principio mediante siete principios fundamentales, entre ellos que la privacidad sea la configuración predeterminada; la minimización de datos y la seudonimización reducen el valor de los datos para los atacantes y, al mismo tiempo, permiten realizar análisis; y las políticas de conservación de datos equilibran las obligaciones legales con el riesgo de almacenar datos innecesarios, mediante su destrucción segura al final de su vida útil. A continuación, exploraremos la seguridad de los endpoints: las plataformas de antivirus, EDR y XDR.