Pasados diez meses desde su entrada en vigor efectiva, el Reglamento General de Protección de Datos (RGPD) ha dado mucho o poco que hablar, según las expectativas que cada cual tuviera. No ha habido episodios escandalosos ni se ha producido la estampida pronosticada por algunos. En la práctica, el modelo europeo se va extendiendo por el mundo, como acaba de revelar la edición 2019 del Data Privacy Benchmark Study publicado por Cisco. El porcentaje de compañías que todavía no cumplen con la mayor parte de sus requisitos se queda al borde del 60%, pero este grupo empieza a percibir las ventajas de cumplirlos. Este es sólo un juicio genérico, porque dos realidades corren paralelas, como se verá.
Es relevante que un número creciente de organizaciones destinen cada vez más recursos al cumplimiento de esta norma, pero mientras tanto se van produciendo brechas de seguridad que, de no atajarse efectivamente, podrían crear una sensación de impunidad.
Se dirá que diez meses es poco tiempo para sacar conclusiones en materia tan sensible. Y es cierto. Pero no lo es menos que una de las consecuencias de la aplicación de la norma es que las empresas no sólo sienten la presión de las autoridades responsables sino también la exigencia creciente de los usuarios, concluye el estudio de Cisco.
El RGPD resuelve formalmente una buena parte de las inquietudes precedentes. El 59% de las compañías dicen cumplirlo [el estudio se basa en una encuesta a 3.200 profesionales en 18 países] y el 29% que así lo hará antes de fin de este año. Un 9% considera que le llevará más tiempo y un 3% que no es pertinente.En el caso de España, esta conclusión difiere de otros análisis, al parecer superados en pocos meses: el grado de cumplimiento sería del 76%, siete puntos porcentuales por encima de Reino Unido, doce puntos si se compara con Francia y a gran distancia del 58% alemán.
De hecho, el RGPD tiene consecuencias globales, incluso allá dónde la legislación europea no tiene por qué cumplirse, pero sí pueden llegar las eventuales sanciones. Mención especial merece el caso de Estados Unidos con un 57% de cumplimiento: muchas empresas han optado por tender un cordón sanitario en torno a sus actividades transatlánticas, antes que exponerse a sanciones que, llegado el caso, podrían calcularse como cuota de su negocio mundial.
Entre los grandes retos que han encontrado las organizaciones a la hora de adaptarse al RGPD, el estudio destaca la seguridad de los datos, la formación interna y lo que se conoce como “privacidad por diseño”. Con todo, quienes avanzan en esta dirección han podido comprobar cómo los retrasos iniciales en sus ciclos de venta se han acortado ligeramente, comparados con los de aquellas que no se han puesto al día.
En su estudio del año anterior, Cisco ya advertía que no cumplir con las expectativas de los usuarios en materia de privacidad, juega en contra de los objetivos empresariales y afecta negativamente las actitudes de compra. Desde el inicio del informe 2019, los autores se esfuerzan por exponer la situación desde la óptica más optimista posible, asegurando que las empresas se están beneficiando del cumplimiento de la normativa, afirmación que requeriría más tiempo – y más encuestas – para su validación.
Empíricamente, las personas ya no confían ciegamente en las compañías, ni siquiera en aquellas que se sienten avaladas por muchos millones de usuarios activos e inversiones multimillonarias en tecnología. Sobre el papel, parten de cero y han de ganarse cada día la confianza de los usuarios deseosos de saber qué datos personales de los suyos se han almacenado, cómo han sido recogidos, cómo y para qué se utilizan, si son transferidos a terceros e incluso dónde están almacenados, de lo que se inferiría una garantía de que no serán violados.
La consecuencia de todo lo anterior es que un 87% de las empresas representadas en la muestra de Cisco admite que su preocupación por la privacidad de los datos está ralentizando sus ciclos de venta, porcentaje inferior al 66% del año pasado. No se trata de retrasos menores ni se trata sólo de plazos: la captación de clientes se está viendo afectada. Como dato curioso, y pese a ser aparentemente un país muy bien situado en el ranking oficioso, España lidera los retrasos que se están experimentando por este motivo.
Así las cosas, el estudio de Cisco constata que las compañías no sólo están reforzando las medidas para garantizar internamente la privacidad de los datos, sino que han empezado a exigir ese blindaje a sus proveedores y partners, procurando abarcar todo el ciclo de su negocio. No se trata de un mero temor a las multas en las que podrían incurrir sino de la mejora de sus resultados. Reducir las demoras en el ciclo de ventas – de 5,4 a 3,4 semanas – tiene impacto económico. También ha contribuido el RGPD a mejorar la seguridad: un 89% de las empresas que no se han puesto al día con el reglamento han sufrido alguna brecha en 2018, pero el porcentaje baja al 74% en las que sí lo han hecho. Un elemento complementario es que el volumen de archivos afectados ha bajado de 212.000 a 79.000, así como se acortaba el tiempo de caída de los sistemas, de 9,4 a 6,4 horas de media.
El informe de Cisco se atreve a traducir el refuerzo de las medidas de privacidad en dinero. Bien el que se ingresa por la aceleración de las ventas o el que no se pierde a través de las brechas de seguridad, más su innegable impacto en la reputación. Antes de adoptar el RGPD, un 64% de las empresas estimaban sus pérdidas en más de medio millón de dólares y después de ajustarse al reglamento sólo un 37% hace el mismo cálculo.
A decir verdad, el estudio de Cisco presenta una realidad bien distinta de la que se vislumbraba hace un año, cuando el RGPD era generalmente visto como un horizonte incierto. Han pasado diez meses de vigencia y las empresas admiten sus beneficios en ciertos aspectos, como la agilidad en la innovación al tener controles adecuados de los datos, sin contar con la eficiencia operativa debida a una mejor catalogación de esos datos.
Del informe de la compañía californiana se desprende que las empresas de Estados Unidos han cambiado sustancialmente de actitud, que llega en muchos casos a la expresión de que su país debería dotarse cuanto antes de un instrumento normativo semejante al europeo. Desde este punto de vista, el RGPD – que algunos describían inicialmente como una intromisión burocrática en la libertad empresarial – está resultando eficaz para que las empresas otorguen al dato la importancia que merece. En el fondo, se trata de la necesidad de construir (y en algún caso reconstruir) la relación de confianza con los clientes y usuarios. Y quien no lo vea así, haría bien en prestar atención a los mensajes públicos de Tim Cook o, esta misma semana, el giro que anuncia Mark Zuckerberg en la política de privacidad de Facebook, una de las primeras a las que la Comisión Europea ha abierto un expediente sancionador.
[informe de David Bollero]