Loe raamatut: «Disrupción tecnológica, transformación y sociedad », lehekülg 17

TATIANA GAONA CORREDOR^* DIEGO ANDRÉS SOLANO OSORIO^**
Tratamiento de datos personales y aseguramiento de la responsabilidad derivada de la ocurrencia de amenazas digitales ^***
Processing of personal data and liability insurance for digital threats

RESUMEN

El presente capítulo tiene por objetivo explicar las amenazas digitales, su impacto en la organización empresarial y la forma en que su ocurrencia ha tratado de ser mitigada mediante la adopción de mecanismos contractuales como la toma de seguros de responsabilidad civil extracontractual para la empresa.

PALABRAS CLAVE

Datos personales, ciberataques, amenazas digitales, seguro de responsabilidad civil, tratamiento de datos personales.

ABSTRACT

The purpose of this chapter is to explain digital threats, their impact on business organization and the way in which they have been attempt to be mitigated by adopting contractual mechanisms such as liability insurance.

KEYWORDS

Habeas data, cyber-attacks, digital hazards, liability insurance, digital threats, processing of personal data.

SUMARIO. Introducción. I. Las amenazas digitales y los riesgos que implican para una organización empresarial en el marco del tratamiento de datos personales, comerciales y financieros. II. Régimen de tratamiento de datos personales, comerciales y financieros. III. Desarrollo del principio de seguridad, acceso y circulación restringida del dato personal, e implicaciones para una organización empresarial. A. Conceptualización del principio de seguridad, acceso y circulación restringida. IV. Principio de responsabilidad demostrada o principio de accountability. V. Medidas de protección de la información. VI. Responsabilidad civil de las empresas por la ocurrencia de amenazas digitales o ciberriesgos y su aseguramiento. VII. Aseguramiento de la responsabilidad civil por la ocurrencia de amenazas digitales. Funciones del seguro de responsabilidad. VIII. Aspectos generales del aseguramiento de amenazas digitales. Conclusiones. Bibliografía.

INTRODUCCIÓN

En la primera parte de este capítulo se estudian las amenazas digitales que normalmente se presentan en el ciberespacio, así como aquellas que se pueden materializar en las instalaciones físicas de las organizaciones empresariales. Estas amenazas digitales representan grandes desafíos para las organizaciones que manejan y administran datos personales de sus usuarios, sus clientes y los consumidores de sus bienes y servicios; posteriormente se presenta el régimen actual de tratamiento de datos personales y de información de carácter comercial, financiera y crediticia, los sujetos que intervienen en ella y las obligaciones que la ley ha impuesto para llevar a cabo un adecuado tratamiento de los datos. Finalmente se expone el principio de responsabilidad demostrada, así como las medidas de prevención, detección y evaluación de las amenazas digitales que deben ser adoptadas por las organizaciones, en aras de exculpar su responsabilidad de carácter administrativo ante las autoridades de protección de datos personales.

En la segunda parte se aborda el régimen de responsabilidad civil aplicable a las empresas en relación con las transacciones que realizan en el ciberespacio y, en especial, con el tratamiento de datos personales. Igualmente, se explica la importancia de que las empresas que realicen operaciones cibernéticas contemplen como parte de su gobierno corporativo políticas y procedimientos para la detección, prevención y gestión de los riesgos asociados a amenazas digitales. Estas reglas juegan un papel fundamental en el funcionamiento de la empresa, y por supuesto en la prevención de posibles hechos dañosos derivados de la responsabilidad civil por el indebido tratamiento de datos personales. Para finalizar, se exponen los principales elementos del seguro de responsabilidad civil extracontractual, cuyos amparos protegen al empresario frente a la indemnización de terceros por la vulneración del régimen de protección de datos.

Desde ya manifestamos que bajo los postulados del régimen de responsabilidad civil extracontractual no hay duda de que las empresas tienen la obligación de reparar los perjuicios causados a terceros por la vulneración del régimen legal de tratamiento de datos. De esa forma, el seguro juega un papel fundamental en la protección del patrimonio del empresario frente a la materialización de las amenazas digitales.

I. LAS AMENAZAS DIGITALES Y LOS RIESGOS QUE IMPLICAN PARA UNA ORGANIZACIÓN EMPRESARIAL EN EL MARCO DEL TRATAMIENTO DE DATOS PERSONALES, COMERCIALES Y FINANCIEROS

Con la utilización masiva de la tecnología la sociedad actual ha venido adaptándose al funcionamiento de un nuevo orden económico y social. El uso de las Tecnologías de la Información y Comunicación (TIC) ha instaurado un nuevo paradigma relacional entre las interacciones personales y sociales¹. Esta nueva realidad no solo ha impactado el relacionamiento entre las personas físicas, sino que se ha convertido en pieza esencial y fundamental para el debido funcionamiento de las organizaciones empresariales. De esa forma ha surgido un nuevo espacio de interacción en el que participan organizaciones empresariales y usuarios. Este espacio, en el que se produce un intercambio de información que en muchos casos resulta ser privada y confidencial de los usuarios, ha sido denominado por la doctrina y por distintas autoridades ciberespacio.

El ciberespacio ha sido concebido como un entorno donde interactúan personas, softwares y servicios en Internet mediante el uso de dispositivos tecnológicos que se encuentran enlazados a una red común². Este ciberespacio se caracteriza por no presentarse en una forma física concreta, sino que se entiende como un ambiente donde los intervinientes intercambian información en busca de la satisfacción de sus necesidades, y en muchas ocasiones para la prestación de servicios. Así las cosas, el ciberespacio se instituye en un ambiente en el que se intercambia información de carácter personal, comercial y financiera, y en el cual se debe brindar seguridad con el fin de dotar de confianza a los usuarios. De esa forma, para el caso colombiano, la regulación decidió situar en cabeza de las organizaciones empresariales la responsabilidad de brindar seguridad y protección a sus clientes, usuarios y consumidores en las operaciones que se puedan realizar en el ciberespacio. Esa obligación de garantía de seguridad se materializa mediante la exigencia de que las organizaciones empresariales adopten medidas físicas y administrativas ante la ocurrencia de lo que hemos denominado amenazas digitales.

Las amenazas digitales se entienden como toda acción, omisión o elemento que tiene la potencialidad de afectar la seguridad de la información, tanto en los espacios físicos y operativos de las organizaciones empresariales, como en el ciberespacio. Este concepto de amenazas digitales engloba los distintos medios que afectan directamente la seguridad de la información de una organización empresarial, por lo cual el ordenamiento colombiano ha agrupado los eventos correspondientes en ataques cibernéticos, eventos de ciberseguridad, incidentes de ciberseguridad e incidentes de seguridad³. Estas amenazas digitales pueden representar distintos riesgos para las organizaciones, y de acuerdo con su gravedad se han clasificado técnicamente en amenazas terciarias, secundarias y primarias.

Las amenazas terciarias normalmente se categorizan a su vez en ataques (referidos a un actuar determinado de un agente específico con capacidad y determinación para hacerlo), accidentes (relacionados con fallas físicas o lógicas del hardware por defecto o uso prologado) y errores (referidos a los posibles defectos de configuración, programación o respuesta del software); las amenazas secundarias disminuyen o eliminan el grado de éxito de las medidas que adopta la organización empresarial para mitigar las amenazas primarias, por ejemplo, la eliminación de la efectividad de firewalls, y las amenazas primarias evitan que se mantengan o se lleguen a establecer las medidas que mitigan las amenazas terciarias o secundarias. Al final estas amenazas digitales pueden consistir en ataques al sistema de seguridad, espionaje, sabotaje, fraudes, inserción de códigos maliciosos, y/o comprometer los medios de autenticación de los usuarios, entre otros.

En muchos casos las amenazas digitales no solo están dirigidas a afectar el funcionamiento de una organización empresarial, sino que pueden consistir en un ataque dirigido a la obtención de información de carácter personal de sus usuarios y clientes, ya sea un dato personal, o información comercial y financiera. Cuando la amenaza digital afecta específicamente los datos personales de sus usuarios, puede derivar en una responsabilidad de carácter administrativo y civil para la organización empresarial. Sin embargo, la adopción de un sistema adecuado de gestión de seguridad de los datos personales puede conllevar la exoneración de la compañía de la responsabilidad civil o administrativa. De esa forma, es necesario analizar el régimen de tratamiento de datos personales y de información comercial y financiera, y las medidas que pueden conllevar la exoneración de responsabilidad de la organización empresarial⁴.

II. RÉGIMEN DE TRATAMIENTO DE DATOS PERSONALES, COMERCIALES Y FINANCIEROS

La Ley 1266 de 2008 (conocida comúnmente como Ley de habeas data financiero) y la Ley 1581 de 2012 (conocida comúnmente como Ley de protección de datos personales) se han encargado de delimitar los conceptos base en materia de tratamiento y administración de datos personales, y aunque ambas regulaciones establecen una definición común para el concepto de dato personal como “Cualquier información vinculada o que pueda asociarse a una o varias personas determinadas o determinables”, presentan un matiz diferenciador: la Ley 1266 de 2008 construye el dato personal como un derecho personal⁵ cuya titularidad corresponde tanto a las personas naturales como a las jurídicas, es decir, el derecho al habeas data financiero; y en un sentido más limitado, la Ley 1581 de 2012 reconoce la existencia de este derecho personal exclusivamente a la persona natural, el habeas data personal.

La diferencia en la construcción del concepto de dato personal en ambas regulaciones se explica por la naturaleza de las relaciones que impactan, lo que también se refleja en la delimitación del concepto de las personas que intervienen en el tratamiento del dato personal. La ley de habeas data financiero se encamina a la protección de aquella información crediticia, comercial y financiera contenida en centrales de información públicas o privadas, que recopilan, tratan y circulan esos datos con el fin de establecer el nivel de riesgo financiero de su titular⁶. Así, la operación que ampara esta ley es el análisis del perfil financiero de cualquier participante como tomador de servicios comerciales y/o financieros, donde la naturaleza del titular le es indiferente al mercado.

De esa forma, en el régimen de habeas data financiero quienes intervienen en la relación de tratamiento del dato personal son el titular de la información, la fuente de información, el operador de información y el usuario, donde se resalta la labor de la fuente y del operador cuyas calidades pueden confluir en un solo agente⁷. La fuente y el operador son las personas que reciben, conocen, administran y ponen en conocimiento de un tercero (usuario) la información suministrada por el titular⁸. De ese modo, las principales obligaciones en el tratamiento de los datos personales en este régimen son predicables de estos dos agentes. Siendo las obligaciones de la fuente de información más de tipo formal y de verificación de la veracidad, exactitud y actualidad de la información suministrada⁹. Por su parte, si bien en el operador de la información recaen obligaciones similares, se le agregan obligaciones de carácter material, como la de garantizar el acceso a la información únicamente a las personas autorizadas o habilitadas, enfocándose principalmente en el principio de seguridad y de responsabilidad¹⁰.

De otra parte, la ley de protección de datos personales se enfoca en la protección del derecho de las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido de ellas en bases de datos o archivos, siendo esta una concepción más amplia del dato personal¹¹, y con menos especificidad que la contenida en la ley de habeas data financiero¹². Consecuentemente, se entiende el dato personal como un bien personalísimo¹³, predicable solo de la persona natural, de forma que esta normativa se acerca al doble carácter que puede tener el dato personal, como derecho personal¹⁴ y como activo o bien comercial utilizable en una organización empresarial¹⁵. Así las cosas, la ley de datos personales se preocupa del trato que se le pueda dar a la información suministrada, recolectada y estudiada al interior de una determinada organización¹⁶, el uso que esta pueda realizar de ella y la posibilidad de transferir esa información a otros agentes que intervienen en el mercado¹⁷.

En consecuencia, la ley de protección de datos personales establece un sistema de roles distinto al propuesto en la ley de habeas data financiero, por cuanto menciona al titular del dato personal, a los responsables del tratamiento del dato personal y a los encargados del tratamiento del dato personal¹⁸. Entendiendo el tratamiento como cualquier operación que implique la recolección, almacenamiento, uso, circulación o supresión del dato personal¹⁹. Consecuentemente, la ley establece que el rol de responsable lo ocupa aquella persona que decide respecto del tratamiento, siendo el encargado el colaborador del responsable que materialmente realiza el tratamiento. De esa forma, al encontrarse el encargado en una situación de delegación, como un administrador a nombre de un tercero responsable, les son predicables a ambas partes obligaciones de carácter formal y material en desarrollo de su labor, y su responsabilidad se encuentra intrínsecamente ligada, destacándose para nuestro interés los principios de circulación restringida y de seguridad del dato personal²⁰.

III. DESARROLLO DEL PRINCIPIO DE SEGURIDAD, ACCESO Y CIRCULACIÓN RESTRINGIDA DEL DATO PERSONAL, EIMPLICACIONES PARA UNA ORGANIZACIÓN EMPRESARIAL

En el apartado anterior se mencionó que en el tratamiento de los datos personales intervienen diversos sujetos a quienes la ley les ha impuesto una serie de obligaciones de carácter formal y material. Corresponde exponer en este acápite la participación del operador de la información (régimen de habeas data financiero) y del responsable y encargado del tratamiento de la información (régimen de habeas data personal), particularmente la descripción de los principios de seguridad, circulación restringida y de responsabilidad predicable a estos sujetos involucrados en el tratamiento de los datos personales, comerciales y financieros.

A. CONCEPTUALIZACIÓN DEL PRINCIPIO DESEGURIDAD, ACCESO Y CIRCULACIÓN RESTRINGIDA

Tanto la Ley 1266 de 2008 como la Ley 1581 de 2012 consagran principios que son comunes para realizar un adecuado tratamiento de los datos personales. En el artículo 4.º común a ambas normativas se consagra el principio de seguridad consistente en la garantía que se debe brindar al tratamiento de datos, lo que demanda adoptar las medidas necesarias para garantizar la seguridad de los registros con el fin de evitar la adulteración, pérdida, consulta o uso no autorizado o fraudulento de los datos personales²¹. De igual forma, en el artículo 4.º de la Ley 1581 de 2012, y de la mano del principio de seguridad, encontramos el principio de acceso y circulación restringida, el cual le da el derecho al titular de la información de decidir quiénes pueden acceder a su información, así como el derecho de que sus datos personales no se den a conocer en medios de divulgación masiva a terceros no autorizados²².

De esa forma, estos principios consagran unos parámetros de garantía de uso adecuado para la información suministrada por el titular en cabeza de los responsables y encargados del tratamiento de datos personales. El titular está legitimado para saber cuáles datos han sido suministrados, conocidos y deducidos por una determinada organización empresarial, y el uso que se hace de ellos, así como su transferencia a terceros ajenos a su organización. Estos datos se convierten en un activo intangible cuyo uso y aprovechamiento otorgan una ventaja competitiva que se transforma en ingresos para la organización empresarial que los explota²³, como ocurre con la predicción de los comportamientos del consumidor para fines de marketing comercial o político²⁴.

En ese tipo de actividades de análisis de datos se presenta una mayor ocurrencia de amenazas digitales que incluyen el acceso a información caracterizada como dato personal, y que se traducen en su uso para fines distintos a los autorizados por el titular²⁵. Así se refleja en el conocido caso de Cambridge Analytica, en el que, según la autoridad de protección de datos colombiana, a través de la aplicación thisisyourdigitallife se pudieron haber utilizado indebidamente los datos personales de más de 50 millones de usuarios de Facebook. En la misma decisión la autoridad colombiana de protección de datos advirtió que, a través del uso de aplicaciones en la plataforma social, se pudo haber influenciado y manipulado el comportamiento de los titulares de datos personales con las llamadas noticias falsas²⁶.

De esa forma, los principios de seguridad, acceso y circulación restringida son los mecanismos idóneos para exigir a los operadores de información, responsables y encargados del tratamiento personales²⁷, la adopción de acciones afirmativas de prevención, protección y detección de amenazas digitales, destacando las autoridades de protección de datos que el principio de seguridad debe operar por la simple realización del tratamiento de datos²⁸. En ese sentido, el principio de seguridad demanda la adopción de medidas que no estén condicionadas a la existencia de un daño o perjuicio para los derechos de los titulares de los datos personales –deber de prevención en el tratamiento de los datos personales–²⁹.