LOPD y negociados afines: hágase experto en cinco minutos.

R. Martinez / 16 septiembre, 2014

Como atento seguidor de aquello que atañe a mi profesión no deja de asombrarme el hecho de constatar que me dedico a algo que puede hacer cualquiera. Comprenderá el lector que, como en esos programas de Iker Jiménez, pasen como un suspiro ante mis ojos años de esfuerzo y dedicación. No hablemos ya de la LOPD coste cero que sencillamente es una sinvergonzonería más de un país que se niega a abandonar ese siglo de oro que tan bien retrataran El Buscón y El Lazarillo de Tormes. En realidad, lo que es casi más propio más propio de “La nave del misterio” que las Caras de Velmez, es lo que les relato a continuación.

La LOPD è fàcile e divertente.

En un entorno digamos autoritativo, leo una entrevista sobre la existencia de una aplicación que en treinta minutos te permite cumplir con la LOPD y casi sin darte cuenta con la LSSI, con las cookies, y no lo duden, en breve hasta con la legislación sobre seguridad nuclear. La cuestión es ¿qué empresa puede resolver el cumplimiento de la LOPD en treinta minutos? Una apuesta: una zapatería, sin fichero de clientes, con un blog que no hace comercio electrónico, y con un espacio en Facebook, bueno eso no que igual es más complicado.

Una curiosidad, tan extraordinaria empresa, no incluye en su página de Facebook ni media palabra respecto de su condición de responsable del tratamiento. Buenas noticias, encontrar la doctrina de la Agencia Española de Protección de Datos, los informes del Working Party, y las guías de INTECO cuesta más o menos treinta minutos. El problema es que vienen sin preguntitas que clicar, hay que estudiarlas. Y además. El servidor está caído, va a ser que hemos dimensionado mal la cosa de la disponibilidad, elemento de la seguridad que también es un tema LOPD, LSSI, y de prestigio. Y para redondear el titular del dominio es un “registrant non disclosed” en los Who is. Todo un ejemplo.

Seamos serios, VD. ya cuenta con un diagnóstico gratis que le ofrece la Agencia Española de Protección de Datos, EVALUA LOPD, y a poco que se fije y que su empresa sea compleja descubrirá que en treinta minutos le da para inscribir un fichero y rellenar su nombre de empresa y su CIF en un documento de seguridad preformateado. Pero se lo aseguro, no va a cumplir la LOPD. Y no va a hacerlo, porque es una norma que exige un conocimiento profundo de los flujos de información, porque exige ser muy preciso en sus relaciones con terceros desde Hacienda a su proveedor de Cloud. Y sobre todo porque aunque con el Derecho podamos intentar que marque cuadraditos y darle cláusulas prefabricadas, con la seguridad esto no es posible. La seguridad depende de factores específicos de cada entorno que afectan al espacio físico, al factor humano-organizativo, a la naturaleza de los equipos, a si Vd. tiene servicio de limpieza en horario laboral o fuera de él…

Sea Vd. un experto en protección de datos en menos que canta un gallo.

Esta es otra modalidad practicada por mis nuevos amigos, pero también por más de uno. Puede Vd. escoger la modalidad ultrarrápida: asesore en protección de datos personales en dos horas. Está la modalidad en 48 h. Y también tenemos la modalidad curso de una semana de los de veinte horas con algún que otro taller. Cada uno tiene sus virtudes.

Las dos primeras modalidades casi siempre consisten en lo mismo. Hay alguien que posee una aplicación, no sé si de las de treinta minutos o más, y entrena a personas cuya formación previa no le importa un carajo, para que sean capaces de manejarla y “producir”. A continuación, el “nuevo gran profesional” trabajará para el oferente en venta telefónica o equivalente, y realizará inscripciones y documentos de seguridad churriguerescos, si este adjetivo robado al arte lo entendemos en el sentido de hechos como churros. Está la opción franquicia, y también está la opción “fai da te”, donde yo te vendo programa a tanto por mes o por documento, y tú mismo querido amigo ya te apañas.

La cosa se pone todavía más interesante cuando en un mismo párrafo vienen las palabras “consultor” y “certificado”. Si Vd. acaba de pasar por el vía crucis de su niño o niña preparando las pruebas de acceso a la universidad, con la cosa de la nota de corte. Si se ha vuelto loco escogiendo eso que se dice siempre de un título con salida, y si ya empieza a apartar 200 euros al mes para cuando el máster… Con todos mis respetos Vd. es gilipollas. Coge a su niño o niña, se gasta de 300 a 1500 euros, y nuestra empresa amiga le dará en 48 h. un título de consultor certificado y ala, al tajo.

La modalidad 20/40 horas es más completa, se suele ofertar a licenciados con un enganche muy interesante y es que la práctica consiste en que uno mismo pueda cumplir con la LOPD. Y esto, debo confesarlo me parece un trato bastante más honesto con dos notables excepciones. La oferta será honesta, si el curso es con adjetivo por ejemplo “videovigilancia”, o si Vd. ya es experto y el curso le ayuda a preparar una prueba que acredite su capacitación. E incluso, si acaba el curso y nadie le ha vendido nada distinto del propio curso.

Pero si no es así, reitero mi primera objeción. Si le ofrecen previo pago de un potosí un certificado de experto, ese certificado valdrá tanto como Vd. sepa en realidad. Como apariencia frente al mercado en un país de espejismos, es una buena inversión. Pero haga introspección, ¿es Vd. realmente un experto? La segunda es de otra naturaleza. El curso que le ofrecen ¿incorpora un programa variado de expertos de currículum comprobable o es tal vez un programa liderado por un oferente empresarial concreto? ¿Es posible que al final del curso Vd. acabe contratando como asesor a su profesor ante la dificultad de cumplir con la LOPD? Si es así, ha pagado Vd. dos veces por lo mismo: que le asesoren para cumplir con la LOPD.

Seamos serios.

La evolución normativa futura, y la vigente, ponen de manifiesto la necesidad de elaborar juicios cualitativos de proporcionalidad y minimización de los datos, de privacy by design y by default, de privacy impact assessment. Obligan a auditar y a conocer la naturaleza de la empresa, sus condiciones de tratamiento y los flujos de información. Exigen una aplicación integrada con toda la normativa sectorial, sanidad, blanqueo de capitales, videovigilancia, relaciones laborales, administración electrónica, propiedad intelectual…

Así que, “cumpla la LOPD en treinta minutos” o “sea un experto sin estudiar” son proposiciones sencillamente imposibles. No obstante, admitamos la posibilidad de que sea cierto. Si es así, les reto a que verifiquen sin en el contrato el oferente de tan magnos servicio asumirá restituir el importe de cualquier multa impuesta por el regulador derivada de su prestación, o por el contrario tiene uno de esos disclaimers del tipo “lo que Vd. pone en mi programa es bajo su responsabilidad y si le calzan una multa o le exigen responsabilidad a mí que me registren”.