A l’àmbit empresarial, complir amb les normatives i regulacions és fonamental no només per evitar sancions, sinó també per construir una reputació sòlida i confiable. No obstant això, existeix un fenomen preocupant conegut com a “cosmetic compliance” o “compliment cosmètic“, que es refereix a pràctiques superficials destinades a aparentar conformitat amb les lleis i regulacions sense realment adherir-s’hi. Aquest concepte, prestat dels programes de Compliance Penal, és especialment rellevant també en l’àrea de protecció de dades, on el compliment efectiu és crucial per protegir la privacitat i la seguretat de la informació personal.
En el context de la protecció de dades, el “cosmetic compliance” pot manifestar-se de diverses formes. Per exemple, una empresa pot dissenyar polítiques de privacitat detallades i completes, però si no s’implementen de manera efectiva o si els empleats no estan adequadament capacitats per seguir aquestes polítiques, la conformitat és només superficial.
Una altra manifestació d’ aquesta pràctica és la utilització de tecnologies avançades per a la protecció de dades, sense configurar correctament aquestes eines o sense integrar-les adequadament en els processos operatius de l’ empresa. Això pot crear una falsa sensació de seguretat tant per a l’empresa com per als clients, quan en realitat les dades poden estar en risc.
Com detectar el “Cosmetic Compliance” en Protecció de Dades
Textos Legals Web “copiats i enganxats”
Un dels exemples més comuns de “cosmetic compliance” és l’ ús de textos legals copiats i enganxats d’altres fonts. Moltes empreses copien polítiques de privacitat, termes i condicions, o avisos legals d’altres pàgines web sense adaptar aquests documents a la seva pròpia realitat operativa i regulatòria. Això no només és una infracció de drets d’ autor, sinó que també pot portar a un incompliment real, ja que aquests textos poden no reflectir les pràctiques i necessitats específiques de l’ empresa.
Política de Cookies Irreal
Una altra pràctica comuna és la implementació de polítiques de cookies que no reflecteixen la realitat de les cookies que s’instal·len al navegador del client. Algunes empreses publiquen polítiques detallades sobre l’ús de cookies, però a la pràctica instal·len més cookies de les declarades, o cookies amb finalitats diferents a les anunciades.
Manca de Signatura d’ Acords de Confidencialitat o de Contractes d’ Encarregat de Tractament
L’absència d’acords de confidencialitat o contractes d’encarregat de tractament adequats és un altre senyal de “cosmetic compliance”. Les empreses han d’assegurar que qualsevol tercer que manegi dades personals en el seu nom (com a proveïdors de serveis) estigui legalment obligat a protegir aquesta informació, sense excepció. La manca d’ aquests acords pot posar en risc la seguretat de les dades i contravenir les normatives de protecció de dades.
Manca d’ Implementació de Mesures de Seguretat Efectives
L’ adquisició d’ eines avançades de seguretat sense una integració adequada en els processos operatius és un altre indici. Si una empresa inverteix en tecnologia de protecció de dades, però no configura aquestes eines correctament o no les utilitza de manera coherent amb les seves polítiques, està simplement aparentant compliment.
Auditories Internes Inadequades
Les auditories internes que són infreqüents, superficials o realitzades per personal no qualificat poden ser un signe de “cosmetic compliance”. Les auditories efectives han d’ ésser exhaustives i dutes a terme per professionals capacitats que puguin identificar i corregir deficiències en les pràctiques de protecció de dades.
Conclusió
El “cosmetic compliance” és una pràctica que pot tenir greus conseqüències per a les empreses, tant en termes de sancions econòmiques com de pèrdua de confiança dels clients, entre d’altres.
És molt important que l’ empresa implanti una cultura interna de compliment, no només pel que fa a privacitat, sinó també en les altres àrees de responsabilitat. Això requereix tenir una estratègia i, des de la responsabilitat proactiva i partint dels principis del RGPD de protecció des del disseny i per defecte, la protecció de dades es prepari abans d’ iniciar les activitats i que el tractament estigui configurat per utilitzar únicament les dades personals estrictament necessàries.
I la direcció ha d’ implicar tota l’ empresa en el compliment.
I, com sempre, cuideu les dades i ¡cuideu-vos!
