La expansión de las redes comerciales de proveedores externos, socios comerciales y colaboradores a menudo puede generar intercambios de datos complejos que pueden resultar opacos y difíciles de medir. Por ejemplo, un proveedor externo que gestiona los sistemas informáticos de una empresa puede tener acceso a información confidencial que no se ha compartido con él de forma intencionada o directa. Los riesgos de las políticas laxas de intercambio de datos con terceros son muy frecuentes, como se evidencia en nuestro estudio sobre la gestión de riesgos de terceros de 2024, en el que el 61 % de las empresas informaron de una violación de datos o un incidente de seguridad con terceros en los últimos 12 meses.
Este complejo ecosistema de intercambio de datos aumenta la necesidad de cumplir con la normativa. Las empresas deben estar al tanto de los constantes cambios en el panorama normativo y dar prioridad a la protección de datos y la privacidad. En esta publicación se analizan las consideraciones clave para las organizaciones que necesitan afrontar estos retos, garantizar el cumplimiento normativo y reforzar sus defensas contra los riesgos inherentes al intercambio de datos con terceros.
Compartir datos de terceros y cumplimiento normativo
El intercambio de datos con terceros abarca diversos escenarios, desde el uso de soluciones de almacenamiento en la nube hasta la externalización del procesamiento de pagos o la atención al cliente. A medida que aumenta la dependencia de entidades externas, resulta fundamental comprender las implicaciones que tiene cada intercambio de datos en materia de cumplimiento normativo.
Por ejemplo, compartir información de clientes con una agencia de marketing puede requerir el cumplimiento del RGPD o la CCPA, mientras que confiar datos financieros confidenciales a un procesador de pagos puede requerir el cumplimiento de las normas PCI DSS. Las normativas específicas de cada sector, como la HIPAA para la sanidad y la FERPA para las instituciones educativas, añaden complejidad al panorama del cumplimiento normativo. Reconocer la variedad de situaciones en las que se comparten datos con terceros y sus repercusiones en el cumplimiento normativo es fundamental para mantener una estrategia proactiva de gestión de riesgos.
Ejemplos de intercambio de datos con terceros
A continuación se muestran algunos ejemplos de cómo el intercambio de datos de terceros puede afectar al cumplimiento normativo:
- Normativa sobre almacenamiento en la nube y privacidad de datos: Las empresas suelen utilizar soluciones de almacenamiento en la nube como AWS o Microsoft Azure para almacenar datos confidenciales de sus clientes. Deben cumplir con las leyes de protección de datos, como el RGPD en Europa o la CCPA en California. El cumplimiento exige que el servicio en la nube elegido ofrezca medidas de seguridad adecuadas, cifrado de datos y garantías contractuales para proteger la información que se le confía.
- Gestión de la información médica personal (PHI): Las organizaciones sanitarias suelen externalizar la gestión de los registros médicos electrónicos (EHR) a proveedores externos o externalizar funciones como la facturación a los pacientes, lo que requiere que el socio comercial acceda a la ePHI. El cumplimiento de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) exige verificar que los proveedores de EHR cumplan con estrictas normas de privacidad y seguridad. Esto incluye una gestión adecuada del acceso, el cifrado y los procedimientos de notificación de infracciones. Los proveedores externos que trabajan con PHI también deben cumplir con la norma de seguridad de la HIPAA.
- Procesamiento de pagos y PCI DSS: Muchas organizaciones se asocian con servicios externos como Stripe o PayPal para el procesamiento de pagos, compartiendo datos financieros confidenciales, como números de tarjetas de crédito. Deben asegurarse de que estos socios cumplan con la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), implementando las medidas de seguridad necesarias para proteger la información de los clientes.
Normas clave de cumplimiento para el intercambio de datos con terceros
Ley de Portabilidad y Responsabilidad del Seguro Médico
La HIPAA, establecida en 1996, protege la información confidencial de los pacientes. Con el auge de los registros médicos digitales y la mayor dependencia de socios externos, es fundamental comprender el cumplimiento de la HIPAA para el intercambio de datos con terceros. Las áreas críticas para el cumplimiento de la HIPAA incluyen:
- Acuerdos con socios comerciales (BAA): La HIPAA exige que las entidades cubiertas celebren acuerdos con socios comerciales con terceros proveedores que manejen información médica protegida (PHI). Los BAA establecen las responsabilidades y obligaciones de ambas partes en la protección de la PHI, tales como la implementación de medidas de seguridad adecuadas, el cumplimiento de las normas de privacidad y seguridad de la HIPAA y la notificación de cualquier violación de datos.
- Evaluaciones de riesgos y medidas de seguridad: Las entidades cubiertas deben realizar evaluaciones exhaustivas de los riesgos de sus socios comerciales para garantizar que se apliquen las medidas de protección necesarias de la PHI. Las evaluaciones deben valorar las medidas de seguridad administrativas, físicas y técnicas de los proveedores externos. También deben realizarse auditorías y evaluaciones de seguridad periódicas para supervisar y mantener el cumplimiento continuo.
- Formación y concienciación: La HIPAA exige que todo el personal involucrado en el manejo de la PHI reciba la formación adecuada sobre las normativas y las políticas y procedimientos de la organización. Este requisito se extiende a los socios comerciales, y es responsabilidad de la entidad cubierta garantizar que sus socios externos estén debidamente formados y sean conscientes de sus obligaciones en virtud de la HIPAA.
RGPD y uso compartido de datos de terceros
Implementado en mayo de 2018, el RGPD es un reglamento integral de protección de datos que regula la recopilación, el procesamiento y el almacenamiento de datos personales de los individuos dentro de la Unión Europea. Entre sus principios fundamentales se incluyen la minimización de datos, la limitación de la finalidad y la garantía de medidas de seguridad adecuadas para proteger los datos personales. A continuación se presentan algunas consideraciones clave sobre el RGPD y el intercambio de datos con terceros:
- Acuerdos de procesamiento de datos (DPA): El RGPD exige a las organizaciones que celebren acuerdos de procesamiento de datos con terceros proveedores que procesen datos personales en su nombre. Estos acuerdos describen las responsabilidades de ambas partes, incluyendo el alcance y la finalidad del procesamiento de datos, la implementación de medidas de seguridad y la eliminación o devolución de los datos tras la finalización del contrato.
- Evaluaciones de impacto relativas a la protección de datos (EIPD): Las organizaciones deben realizar EIPD para evaluar los riesgos potenciales asociados al intercambio de datos con terceros y al posterior tratamiento de datos personales. Esto incluye identificar las posibles amenazas a los derechos de los interesados y adoptar las medidas necesarias para mitigar esos riesgos.
CCPA y uso compartido de datos de terceros
Promulgada en enero de 2020, la Ley de Privacidad del Consumidor de California (CCPA) es una normativa estatal sobre privacidad cuyo objetivo es mejorar los derechos y la protección de la privacidad de los consumidores residentes en California. Entre sus disposiciones clave se incluyen el derecho a acceder, eliminar y optar por no vender la información personal.
- Acuerdos con proveedores de servicios: Según la CCPA, las organizaciones deben establecer acuerdos con terceros proveedores, conocidos como proveedores de servicios, que procesan información personal en su nombre. Estos acuerdos deben detallar el propósito y el alcance del procesamiento de datos, prohibir la retención, el uso o la divulgación de información personal para fines distintos a los especificados en el contrato, y exigir al proveedor de servicios que mantenga las medidas de seguridad adecuadas.
- Diligencia debida del proveedor: Al igual que el RGPD, la CCPA exige que las organizaciones actúen con la debida diligencia a la hora de seleccionar y contratar a proveedores de servicios externos. Esto implica evaluar el cumplimiento de la CCPA por parte del proveedor de servicios, garantizar la aplicación de las medidas de seguridad adecuadas y supervisar su cumplimiento continuo de la normativa.
PCI DSS y uso compartido de datos de terceros
Desarrollada originalmente en 2004 y ahora en su versión 4.0, la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) tiene como objetivo mejorar la seguridad de los datos de los titulares de tarjetas y facilitar la adopción generalizada de medidas de seguridad de datos coherentes en todo el mundo. La norma está diseñada para garantizar que las organizaciones dispongan de los controles y procedimientos adecuados para proteger los datos de los titulares de tarjetas. Las consideraciones clave sobre el intercambio de datos con terceros incluyen:
- Evaluaciones de proveedores externos: Para mantener el cumplimiento de la norma PCI DSS, las organizaciones deben actuar con la debida diligencia a la hora de seleccionar proveedores externos que manejen datos de titulares de tarjetas. Este proceso implica evaluar el estado de cumplimiento de la norma PCI DSS por parte del proveedor, sus medidas de seguridad y sus prácticas de manejo de datos. Contratar a proveedores que cumplan con la norma PCI DSS minimiza el riesgo de violaciones de datos y garantiza el procesamiento seguro de la información de los titulares de tarjetas.
- Requisitos de PCI DSS para proveedores de servicios: Proveedores de servicios externos que procesen, almacenen o transmitan datos de titulares de tarjetas deben cumplir los requisitos de PCI DSS. Los requisitos clave incluyen:
- Mantener una red segura mediante cortafuegos y otras medidas de seguridad de red.
- Proteger los datos de los titulares de tarjetas mediante la implementación de mecanismos sólidos de cifrado y control de acceso.
- Supervisar y comprobar periódicamente las redes en busca de vulnerabilidades y garantizar la resolución rápida de los riesgos identificados.
- Implementar y mantener una política de seguridad de la información que describa el compromiso de la organización con la protección de los datos de los titulares de tarjetas.
- Acuerdos contractuales y responsabilidades: Las organizaciones deben establecer acuerdos contractuales con proveedores externos, en los que se describan sus responsabilidades en el mantenimiento del cumplimiento de la norma PCI DSS. Estos acuerdos deben abordar las medidas de seguridad y la gestión de incidentes.
Las medidas cruzadas pueden mejorar el cumplimiento general
Múltiples normativas, como el RGPD y la CCPA, comparten similitudes en sus objetivos de protección de datos. Las organizaciones que operan en múltiples jurisdicciones pueden beneficiarse de la implementación de medidas de cumplimiento cruzado, tales como:
- Privacidad desde el diseño y por defecto: integrar prácticas centradas en la privacidad en el desarrollo y la implementación de nuevos productos, servicios o procesos, garantizando que los datos personales solo se recopilen y procesen cuando sea necesario, y limitando el acceso a los datos según la necesidad de conocerlos.
- Mapeo e inventario de datos: mantenga un registro actualizado de todos los datos personales procesados dentro de la organización, incluidos los datos compartidos con proveedores externos. De esta manera, las organizaciones pueden gestionar y supervisar eficazmente los flujos de datos, garantizando el cumplimiento de los requisitos del RGPD y la CCPA.
- Gestión y notificación de incidentes: Establezca procedimientos sólidos para identificar, gestionar y notificar violaciones de datos o incidentes de seguridad, ya que tanto el RGPD como la CCPA exigen la notificación inmediata de tales eventos.
- Evaluación y supervisión continuas: Realice evaluaciones periódicas de los controles de privacidad y seguridad de los datos de terceros y valide la eficacia de dichos controles con métricas cibernéticas observables. Si los datos de sus clientes aparecen en un foro de la web oscura debido a una violación de datos de un proveedor externo, sugiera medidas correctivas para mitigar los riesgos.
- Establecer medidas contractuales exigibles: Asegurarse de que todos los contratos con proveedores externos incluyan medidas exigibles en materia de auditorías, respuesta ante incidentes y recuperación de datos.
Conclusión
Navegar por el complejo mundo del intercambio de datos de terceros y el cumplimiento normativo es un reto constante en todos los sectores. En este artículo se destacan las normas HIPAA, GDPR, CCPA y PCI DSS, pero hay muchas otras normativas regionales, sectoriales y globales que regulan las prácticas de intercambio de datos de terceros. Es esencial invertir en estrategias sólidas de gestión de riesgos y mantener acuerdos contractuales claros. Al abordar de forma proactiva estas consideraciones, las organizaciones pueden beneficiarse con confianza del intercambio de datos de terceros, al tiempo que protegen los datos de sus clientes y cumplen los requisitos normativos.
Cómo puede ayudar Prevalent
Prevalent ofrece a las empresas una solución integral para gestionar sus relaciones con terceros en materia de cumplimiento normativo en el intercambio de datos en múltiples regulaciones. Nuestra plataforma única e integrada de gestión de riesgos de terceros (TPRM) facilita:
- Incorporar medidas de protección de datos en los contratos con proveedores externos.
- Descubra y mapee datos entre relaciones de terceros, cuartos y enésimos.
- Realizar autoevaluaciones para comprender la madurez de los procesos internos, así como de los propietarios de los datos.
- Evaluar a terceros en materia de controles de privacidad de datos.
- Automatice la respuesta ante riesgos y las medidas correctivas cuando las respuestas de terceros no se ajustan a las expectativas.
- Informe sobre las normativas de cumplimiento pertinentes con funciones de generación de informes integradas.
- Simplifique y agilice la elaboración de informes mediante la asignación automática de los resultados de las evaluaciones a más de 50 normativas y marcos de buenas prácticas.
- Reciba notificaciones automáticas sobre violaciones de datos para comprender los posibles riesgos para los datos de sus clientes.
Para obtener más información sobre cómo Prevalent puede ayudar a las organizaciones a evaluar los controles de seguridad de los datos de terceros, lea nuestro informe técnico sobre normativas de privacidad de datos o solicite hoy mismo una demostración y una llamada estratégica.
Nota de la Redacción: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido se ha actualizado desde entonces para incluir información alineada con nuestras ofertas de productos, cambios normativos y cumplimiento.
