Cuando el legado se encuentra con la privacidad: las industrias no digitales luchan con la gobernanza de datos y el consentimiento

A pesar del amplio crecimiento de la legislación sobre privacidad en EE. UU. y a nivel mundial, muchas empresas, especialmente aquellas fuera del ámbito digital de la tecnología, aún se encuentran en una situación difícil. Un informe reciente reveló que menos de la mitad de las organizaciones estadounidenses han adoptado las medidas más básicas para cumplir con las leyes estatales de privacidad. Industrias como la manufactura, la agricultura, la construcción y la educación, que históricamente se centraban en la infraestructura física y las operaciones tangibles en lugar de los datos personales, ahora manejan cada vez más información sensible; sin embargo, a menudo carecen de los sistemas, las políticas y la cultura necesarios para una sólida protección de la privacidad y la gestión del consentimiento.

Las organizaciones ancladas en prácticas tradicionales suelen depender de infraestructuras obsoletas e inflexibles. Los datos, como registros de empleados, información de proveedores o detalles de clientes, residen en repositorios fragmentados: archivos físicos en papel, bases de datos aisladas o sistemas heredados con décadas de antigüedad. Estos sistemas suelen carecer de higiene, auditabilidad o métodos de eliminación de datos justificables. Los protocolos de eliminación segura suelen faltar o se aplican de forma inconsistente, lo que expone a las organizaciones a regulaciones o infracciones. Sin embargo, las investigaciones muestran que, incluso en sectores donde existen políticas de saneamiento de datos, solo el 62 % cree que estas políticas se comunican adecuadamente en todas sus operaciones.

De igual manera, cuando estas industrias tradicionales dan pasos hacia el ámbito digital, muchos de ellos tan básicos como el lanzamiento de sitios web e iniciativas básicas de marketing digital, están lamentablemente desprevenidas e informadas sobre sus responsabilidades legales y regulatorias en materia de privacidad y protección de datos, cookies, consentimiento y cumplimiento normativo.

Los fabricantes, posiblemente los más emblemáticos de las industrias que no priorizan la digitalización, son cada vez más blanco de ciberdelincuentes. Un informe de 2023 reveló que la manufactura representó más del 25 % de los ciberataques a nivel mundial, lo que la convierte en la industria más atacada. Solo en 2022, más de 130 filtraciones de datos afectaron a empresas manufactureras, exponiendo 38 millones de registros.

Con este tipo de inseguridad de datos, la privacidad de los datos es inexistente, por lo que incluso los principios básicos de la ciberseguridad, ignorando por completo el momento en que un visitante de un sitio web acepta o rechaza las cookies, no se gestionan adecuadamente.

A diferencia del RGPD en Europa, que ofrece un marco integral y unificado, las leyes de privacidad de datos de EE. UU. son un mosaico de estatutos estatales (como la CCPA) combinados con regulaciones sectoriales como la HIPAA o la COPPA. Esto deja a muchas industrias tradicionales sin un estándar único y cohesivo que seguir.

Además, los requisitos evolucionan rápidamente. En la UE, directivas como NIS2 (Seguridad de la Información de Red 2) y DORA introducen estrictas obligaciones de ciberseguridad, resiliencia e informes en un conjunto más amplio de sectores, como la fabricación, el procesamiento de alimentos y los servicios públicos. Las empresas no digitales a menudo carecen de la preparación necesaria para mandatos tan amplios. Sin la preparación más fundamental para la ciberresiliencia, centrarse en la privacidad de los datos y el cumplimiento del consentimiento se considerará algo secundario, a pesar de los riesgos financieros y reputacionales que puede conllevar el incumplimiento. 

Más allá de los sistemas y las regulaciones, muchas empresas tradicionales se enfrentan a la inercia cultural. Históricamente, las prioridades se han centrado en la eficiencia productiva o los KPI operativos heredados, no en la privacidad de datos, la obtención del consentimiento o el riesgo digital. Sin un catalizador, como una investigación regulatoria o una infracción importante, hay poco interés en invertir en equipos, herramientas o procesos para integrar la privacidad desde el diseño. Aunque sea anecdótico, muchos de nosotros hemos trabajado en industrias tradicionales donde incluso los equipos legales y de TI parecen estar estancados ante los cambios en las regulaciones de privacidad y gobernanza de datos.

Aunque estos equipos se encargan de la aplicación tanto legal como técnica, gran parte de la resistencia puede residir en este nivel. Un ejemplo es el de una empresa de construcción de infraestructuras que está dando sus primeros pasos en el marketing digital. Si bien sus sitios web finalmente habían adaptado sus políticas de cookies y banners de consentimiento de cookies al RGPD, no tenían un enfoque claro para gestionar el consentimiento más allá de eso. Los equipos de ventas, entusiasmados con las oportunidades del marketing digital, pero desinformados sobre el RGPD y el consentimiento, insistieron en enviar boletines informativos y marketing por correo electrónico sin haber recibido el consentimiento de suscripción. El equipo de marketing se opuso (conociendo el RGPD y la falta de un CRM que permitiera registrar el consentimiento y las suscripciones), pero el equipo de TI, con prácticas arraigadas en una década o más, se puso del lado del equipo de ventas hasta que el equipo de marketing consultó a un abogado que le recomendó no hacerlo en absoluto. Esto ilustra la tensión y el tenor del argumento, alimentado principalmente por personas bienintencionadas que nunca han trabajado en entornos digitales. 

Ya sea que comiencen desde cero o trabajen con una huella digital reducida, las industrias tradicionales pueden encaminarse hacia la privacidad de datos y el consentimiento siguiendo estos pasos importantes:

Concientizar y responsabilizar a todos en la organización sobre la privacidad de datos. Ya sea mediante educación formal o integrando constantemente este conocimiento en cada comunicación interna, es un gran paso para superar la resistencia cultural al cambio.

La privacidad de datos no solo preocupa a los gigantes digitales. Las llamadas industrias "analógicas" (plantas manufactureras, instituciones educativas, constructoras, explotaciones agrícolas) están reconociendo la realidad: también poseen datos personales, pueden ser blanco de ciberataques y, si tienen presencia digital, deben cumplir con las normas.

El camino a seguir exige inversión, no solo en tecnología, sino también en gobernanza, cultura y estrategia. Al desarrollar operaciones que prioricen los datos y enmarcar la privacidad como una responsabilidad y una oportunidad, las industrias tradicionales pueden transformar lo que solía ser una carga abrumadora para el cumplimiento normativo en una base para la confianza, la resiliencia y la innovación.

Una medida práctica para las organizaciones tradicionales es adoptar una plataforma de gestión del consentimiento (CMP). Estas plataformas centralizan la forma en que las empresas capturan, almacenan y respetan las preferencias de consentimiento individual en sitios web, aplicaciones e incluso sistemas offline.

Para industrias con infraestructura heredada fragmentada, una CMP ofrece una única fuente de información veraz, garantizando que las señales de consentimiento se respeten consistentemente, independientemente del origen de los datos. Esto no solo simplifica el cumplimiento de marcos como el RGPD, la CCPA y diversas leyes estatales de EE. UU., sino que también genera confianza con empleados, socios y clientes, quienes cada vez más exigen transparencia y control sobre su información personal. Al integrar una CMP en los sistemas existentes, incluso las empresas que no priorizan la digitalización pueden modernizar sus prácticas de privacidad sin necesidad de reestructurar por completo su entorno de TI.