La expansión de las redes empresariales de proveedores externos, asociados comerciales y socios puede dar lugar a menudo a complejos intercambios de datos que pueden ser opacos y difíciles de medir. Por ejemplo, un proveedor externo que gestiona los sistemas informáticos de una empresa puede tener acceso a información confidencial que no se le ha comunicado de forma intencionada o directa. Los riesgos de las políticas poco estrictas de intercambio de datos con terceros son muy elevados, como demuestra nuestro Estudio sobre la gestión de riesgos de terceros 2024, en el que el 61% de las empresas informaron de una violación de datos de terceros o de un incidente de seguridad en los últimos 12 meses.
Este complejo ecosistema de intercambio de datos acentúa la necesidad de cumplir la normativa. Las empresas deben ser conscientes de los constantes cambios en el panorama normativo y dar prioridad a la protección de datos y la privacidad. Este post explora las consideraciones clave para las organizaciones que necesitan navegar por estos desafíos, garantizar el cumplimiento y fortalecer sus defensas contra los riesgos inherentes al intercambio de datos de terceros.
Intercambio de datos con terceros y conformidad
El intercambio de datos con terceros abarca diversos escenarios, desde el uso de soluciones de almacenamiento basadas en la nube hasta la externalización del procesamiento de pagos o la atención al cliente. A medida que aumenta la dependencia de entidades externas, resulta fundamental comprender las implicaciones de cada intercambio de datos para el cumplimiento de la normativa.
Por ejemplo, compartir información de los clientes con una agencia de marketing puede exigir el cumplimiento del GDPR o la CCPA, mientras que confiar datos financieros confidenciales a un procesador de pagos puede requerir la adhesión a las normas PCI DSS. Las normativas específicas del sector, como la HIPAA para la atención sanitaria y la FERPA para las instituciones educativas, añaden niveles de complejidad al panorama del cumplimiento. Para mantener una estrategia proactiva de gestión de riesgos es crucial reconocer la variedad de escenarios de intercambio de datos con terceros y sus repercusiones en el cumplimiento de la normativa.
Ejemplos de intercambio de datos con terceros
He aquí algunos ejemplos en los que el intercambio de datos con terceros puede afectar al cumplimiento de la normativa:
- Almacenamiento en la nube y normativa sobre privacidad de datos: Las empresas suelen utilizar soluciones de almacenamiento en la nube como AWS o Microsoft Azure para guardar datos sensibles de sus clientes. Deben cumplir leyes de protección de datos como GDPR en Europa o CCPA en California. El cumplimiento requiere que el servicio en la nube elegido proporcione medidas de seguridad adecuadas, cifrado de datos y garantías contractuales para proteger la información confiada.
- Gestión de la información sanitaria personal (PHI): las organizaciones sanitarias a menudo subcontratan la gestión de la historia clínica electrónica (HCE) a proveedores externos o externalizan funciones como la facturación de pacientes, lo que requiere que el socio comercial acceda a la PHI electrónica. El cumplimiento de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) exige verificar que los proveedores de HCE se adhieren a estrictas normas de privacidad y seguridad. Esto incluye la gestión adecuada del acceso, el cifrado y los procedimientos de notificación de infracciones. Los proveedores externos que trabajan con PHI también deben cumplir la norma de seguridad de la HIPAA.
- Procesamiento de pagos y PCI DSS: Muchas organizaciones se asocian con servicios externos como Stripe o PayPal para el procesamiento de pagos, compartiendo datos financieros confidenciales como números de tarjetas de crédito. Deben asegurarse de que estos socios cumplen la norma de seguridad de datos del sector de las tarjetas de pago (PCI DSS), aplicando las medidas de seguridad necesarias para proteger la información de los clientes.
El intercambio de datos con terceros es clave para el cumplimiento de la normativa
Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios
La HIPAA, creada en 1996, protege la información confidencial de los pacientes. Con el auge de los historiales médicos digitales y el aumento de la dependencia de socios externos, es crucial comprender el cumplimiento de la HIPAA para el intercambio de datos con terceros. Entre las áreas críticas para el cumplimiento de la HIPAA se incluyen:
- Acuerdos de empresa asociada (Business Associate Agreements, BAA): La HIPAA exige que las entidades cubiertas celebren acuerdos de empresa asociada con terceros proveedores que manejen información sanitaria protegida (PHI). Los BAA establecen las responsabilidades y obligaciones de ambas partes para salvaguardar la PHI, como la aplicación de medidas de seguridad adecuadas, el cumplimiento de las normas de privacidad y seguridad de la HIPAA y la notificación de cualquier violación de datos.
- Evaluaciones de riesgos y medidas de seguridad: Las entidades cubiertas deben llevar a cabo evaluaciones de riesgo exhaustivas de sus socios comerciales para garantizar que se aplican las salvaguardas necesarias de la PHI. Las evaluaciones deben valorar las medidas de seguridad administrativas, físicas y técnicas del proveedor externo. También deben realizarse auditorías y evaluaciones de seguridad periódicas para supervisar y mantener el cumplimiento en curso.
- Formación y concienciación: La HIPAA exige que todo el personal implicado en el manejo de la PHI reciba una formación adecuada sobre la normativa y las políticas y procedimientos de la organización. Este requisito se extiende a los socios comerciales, y es responsabilidad de la entidad cubierta asegurarse de que sus socios terceros reciben la formación adecuada y son conscientes de sus obligaciones en virtud de la HIPAA.
GDPR e intercambio de datos con terceros
Implementado en mayo de 2018, el GDPR es un reglamento integral de protección de datos que rige la recopilación, el procesamiento y el almacenamiento de datos personales de individuos dentro de la Unión Europea. Los principios clave incluyen la minimización de datos, la limitación del propósito y la garantía de medidas de seguridad adecuadas para proteger los datos personales. Aquí hay un par de consideraciones clave para el GDPR y el intercambio de datos de terceros:
- Acuerdos de procesamiento de datos (APD): El GDPR exige que las organizaciones celebren Acuerdos de Procesamiento de Datos con proveedores externos que procesen datos personales en su nombre. Estos acuerdos describen las responsabilidades de ambas partes, incluido el alcance y la finalidad del tratamiento de datos, la aplicación de medidas de seguridad y la supresión o devolución de los datos a la finalización del contrato.
- Evaluaciones de impacto sobre la protección de datos (EIPD): Las organizaciones deben llevar a cabo DPIA para evaluar los riesgos potenciales asociados con el intercambio de datos de terceros y el posterior procesamiento de datos personales. Esto incluye la identificación de posibles amenazas a los derechos de los interesados y la adopción de las medidas necesarias para mitigar esos riesgos.
CCPA e intercambio de datos con terceros
Promulgada en enero de 2020, la Ley de Privacidad del Consumidor de California(CCPA, por sus siglas en inglés) es una normativa de privacidad de ámbito estatal cuyo objetivo es mejorar los derechos y la protección de la privacidad de los consumidores residentes en California. Entre sus disposiciones clave se incluye el derecho a acceder a la información personal, eliminarla y optar por no venderla.
- Acuerdos con proveedores de servicios: En virtud de la CCPA, las organizaciones deben establecer acuerdos con terceros vendedores, conocidos como proveedores de servicios, que procesen información personal en su nombre. Estos acuerdos deben detallar la finalidad y el alcance del tratamiento de datos, prohibir la conservación, el uso o la divulgación de información personal para fines distintos de los especificados en el contrato y exigir al proveedor de servicios que mantenga las medidas de seguridad adecuadas.
- Diligencia debida de los proveedores: Al igual que el GDPR, la CCPA exige que las organizaciones ejerzan la debida diligencia al seleccionar y contratar proveedores de servicios externos. Esto implica evaluar el cumplimiento de la CCPA por parte del proveedor de servicios, garantizar la aplicación de medidas de seguridad adecuadas y supervisar su adhesión continua a la normativa.
PCI DSS e intercambio de datos con terceros
Desarrollada originalmente en 2004 y ahora en su versión 4.0, la Norma de Seguridad de Datos del Sector de Tarjetas de Pago(PCI DSS) pretende mejorar la seguridad de los datos de los titulares de tarjetas y facilitar la adopción generalizada de medidas coherentes de seguridad de datos en todo el mundo. La norma está diseñada para garantizar que las organizaciones dispongan de los controles y procedimientos adecuados para proteger los datos de los titulares de tarjetas. Entre las principales consideraciones que deben tenerse en cuenta a la hora de compartir datos con terceros figuran las siguientes
- Evaluaciones de proveedores externos: Para mantener el cumplimiento de la norma PCI DSS, las organizaciones deben actuar con la diligencia debida al seleccionar proveedores externos que manejen datos de titulares de tarjetas. Este proceso implica evaluar el estado de cumplimiento de la norma PCI DSS, las medidas de seguridad y las prácticas de tratamiento de datos del proveedor. Contratar a proveedores que cumplan la norma PCI DSS minimiza el riesgo de filtración de datos y garantiza el tratamiento seguro de la información de los titulares de tarjetas.
- Requisitos PCI DSS para proveedores de servicios: Terceros proveedores de servicios que procesan, almacenan o transmiten datos de titulares de tarjetas deben cumplir los requisitos de PCI DSS. Entre los requisitos clave se incluyen:
- Mantener una red segura mediante cortafuegos y otras medidas de seguridad de la red.
- Proteger los datos de los titulares de tarjetas aplicando mecanismos de cifrado y control de acceso sólidos.
- Supervisar y probar periódicamente las redes para detectar vulnerabilidades y garantizar la rápida resolución de los riesgos detectados.
- Implantar y mantener una política de seguridad de la información que describa el compromiso de la organización con la protección de los datos de los titulares de tarjetas.
- Acuerdos contractuales y responsabilidades: Las organizaciones deben establecer acuerdos contractuales con proveedores externos, en los que se describan sus responsabilidades en el mantenimiento del cumplimiento de la norma PCI DSS. Estos acuerdos deben abordar las medidas de seguridad y la gestión de incidentes.
Las medidas cruzadas pueden mejorar el cumplimiento global
Múltiples normativas, como el GDPR y la CCPA, comparten similitudes en sus objetivos de protección de datos. Las organizaciones que operan en varias jurisdicciones pueden beneficiarse de la aplicación de medidas de conformidad cruzada, como:
- Privacidad por diseño y por defecto: Integrar prácticas centradas en la privacidad en el desarrollo y aplicación de nuevos productos, servicios o procesos, garantizando que los datos personales sólo se recopilan y procesan cuando es necesario, y limitando el acceso a los datos en función de la necesidad de conocerlos.
- Mapeo e inventario de datos: Mantenga un registro actualizado de todos los datos personales procesados dentro de la organización, incluidos los datos compartidos con terceros proveedores. De este modo, las organizaciones pueden gestionar y supervisar eficazmente los flujos de datos, garantizando el cumplimiento de los requisitos del GDPR y la CCPA.
- Gestión y notificación de incidentes: Establezca procedimientos sólidos para identificar, gestionar y notificar violaciones de datos o incidentes de seguridad, ya que tanto el GDPR como la CCPA exigen una notificación rápida de tales eventos.
- Evaluación y supervisión continuas: Realice evaluaciones periódicas de los controles de privacidad y seguridad de datos de terceros y valide la eficacia de dichos controles con métricas cibernéticas observables. Si los datos de sus clientes aparecen en un foro de la web oscura a raíz de una filtración de datos de un proveedor externo, sugiera medidas correctoras para mitigar los riesgos.
- Establezca medidas contractuales aplicables: Asegúrese de que todos los contratos con proveedores externos incluyan medidas ejecutables para auditorías, respuesta a incidentes y recuperación de datos.
Conclusión
Navegar por el complejo mundo del intercambio de datos de terceros y el cumplimiento de la normativa es un reto continuo en todos los sectores. En este artículo se hace hincapié en la HIPAA, el GDPR, la CCPA y la PCI DSS, pero hay muchas otras normativas regionales, sectoriales y mundiales que regulan las prácticas de intercambio de datos con terceros. Es esencial invertir en estrategias sólidas de gestión de riesgos y mantener acuerdos contractuales claros. Al abordar estas consideraciones de forma proactiva, las organizaciones pueden beneficiarse con confianza del intercambio de datos de terceros, al tiempo que protegen los datos de sus clientes y cumplen con los requisitos reglamentarios.
Cómo puede ayudar Prevalent
Prevalent proporciona a las empresas una solución integral para gestionar sus relaciones con terceros para el cumplimiento de la compartición de datos a través de múltiples regulaciones. Nuestra plataforma única e integrada de gestión de riesgos de terceros (TPRM) facilita:
- Incluir medidas de protección de datos en los contratos con proveedores externos
- Descubrir y mapear datos entre relaciones de terceras, cuartas y enésimas partes.
- Realizar autoevaluaciones para comprender la madurez de los procesos internos, así como de los propietarios de los datos.
- Evaluar los controles de privacidad de datos de terceros
- Automatice la respuesta a los riesgos y las medidas correctoras cuando las respuestas de terceros no se ajusten a las expectativas.
- Informe sobre las normativas de cumplimiento pertinentes con informes integrados
- Simplifique y agilice la elaboración de informes asignando automáticamente los resultados de las evaluaciones a más de 50 normativas y marcos de mejores prácticas.
- Reciba notificaciones automatizadas de violaciones de datos para conocer los posibles riesgos para los datos de sus clientes.
Para obtener más detalles sobre cómo Prevalent puede ayudar a las organizaciones a evaluar sus controles de seguridad de datos de terceros, lea nuestro documento técnico sobre normativa de privacidad de datos o solicite una demostración y una llamada estratégica hoy mismo.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
