Compliance digital: cómo proteger tu empresa en la era de los datos

En la era digital lo más importante es la implementación de una política de seguridad en tu empresa para la protección de datos  y el método más indicado es el compliance digital (Un método que previene problemas en lugar de intentar solucionarlos una vez que ya se hayan producido.

Compliance significa “cumplimiento”, haciendo alusión a la normativa vigente que debe cumplirse.

¿Qué es el compliance digital y por qué es relevante?

El compliance digital es un conjunto de prácticas que garantizan que las empresas cumplan con las normativas de seguridad y privacidad en el entorno digital. Su implementación ayuda a evitar sanciones y fortalecer la confianza de los clientes en las empresas.

Diferencias con el compliance tradicional

El Compliance tradicional establece los principios generales de legalidad, ética y buena gobernanza, mientras que el Cibercompliance o compliance digital se encarga de garantizar que esos principios también se respetan y aplican en el ámbito digital.

Nuevos riesgos legales en la era digital

Entre los nuevos riesgos legales en la era digital, entre otros, según nos ha informado D. Francisco Bonatti Bonet como socio y experto en Derecho sobre compliance de la firma Bonatti Compliance, podemos mencionar los siguientes :

• Ransomware: el secuestro de información mediante malware que encripta el contenido de unidades, discos duros y servidores.
• Estafas del CEO: la suplantación de la identidad de los directivos para engañar a los empleados que tienen las claves y códigos para realizar transferencias bancarias.
• Ataques a servidores y bases de datos: los delincuentes explotan brechas de seguridad para acceder a los servidores y sustraer los datos que contienen. Los datos son el petróleo del siglo XXI y es uno de los grandes tesoros que poseen las empresas.
• Ataques Botnet: los equipos y servidores de empresa son convertidos en zombies a través de Botnets, que gestionan los cibercriminales para evitar ser rastreados, eludir las listas de SPAM o para realizar transferencias económicas ilícitas, envíos masivos de correos o ataques DDoS.
• Sustracción de las credenciales: el acceso a las credenciales y contraseñas de los empleados y directivos facilita a los cibercriminales un amplio abanico de delitos a costa de la empresa: desde el envío de correos maliciosos hasta robo de secretos de empresa o la sustracción de bases de datos.

Claves para implementar un plan de cumplimiento digital eficaz:

Evaluación de riesgos y análisis de cumplimiento normativo

La evaluación de riesgos de compliance es un análisis de todos los factores que pueden hacer que una empresa (ya sea a través de las acciones o decisiones de sus directivos o empleados) incumpla con las sus obligaciones legales, normativas, estatutarias o contractuales.

Políticas internas y formación del personal

Hay que detectar a tiempo las posibles carencias del personal que trabaje en la empresa con respecto al conocimiento de la protección de datos, de la privacidad y la ciberseguridad en la empresa.

Uso ético y legal de la inteligencia artificial

Las empresas que usen IA generativa y software avanzado pueden ser muy innovadoras, pero deben evitar ofrecer datos erróneos o sesgados que dañen su reputación. Aquí es clave la regulación de la inteligencia artificial y ética digital.

Normativa vigente y obligaciones legales para las empresas

Las empresas han de adoptar un código ético y de conducta y un plan de compliance legal que incluya el compliance laboral, compliance penal, compliance medioambiental, de diversidad e inclusión, protección de datos y ciberseguridad. 

Reglamento General de Protección de Datos (RGPD)

Las empresas deben cumplir con el RGPD, incluyendo medidas como la pseudonimización de datos, sistemas de seguridad adecuados, formación del personal, y designación de un delegado de protección de datos.

Leyes de ciberseguridad y propiedad digital

En España existe un Código de la Ley de Ciberseguridad llamada Ley de Ciberseguridad 5G, publicado en el Boletín Oficial del Estado (BOE) el 29 de marzo de 2022, que establece las principales normas a tener en cuenta en materia de protección del ciberespacio y para garantizar la ciberseguridad. Estos aspectos están estrechamente ligados a los derechos digitales en la empresa.

Compliance digital en procesos de transformación empresarial

El Compliance no solo deberá acompañar  a la empresa en su transformación digital, sino también trabajar en su propia transformación digital, automatizando tareas, construyendo mejores informes, operando los sistemas de control de manera más eficaz, definiendo mejores métricas e indicadores, etc.

La industria legaltech está evolucionando y creciendo de manera rápida y su objetivo es claro: ayudar a los juristas y paralegales (en sentido amplio) a utilizar todas las capacidades tecnológicas posibles para mejorar su trabajo, su rendimiento y su visibilidad, aprovechando al máximo la automatización para que el profesional aporte su máximo valor.

Buenas prácticas en la digitalización de documentos

Los documentos y los expedientes vienen siendo digitalizados y deberán ser guardados mediante herramientas tecnológicas conforme a programas informáticos adecuados de manera que no resulten accesibles electrónicamente a cualquiera y se pueda mantener su confidencialidad de acuerdo con la normativa vigente. Esta digitalización documental segura forma parte del compliance administrativo dentro de la propia empresa.

Herramientas tecnológicas para auditorías internas

Los auditores internos han ido adaptando estas nuevas herramientas tecnológicas a su labor y esto ha ido generando un sin número de beneficios. Las auditorías son esenciales para mejorar y verificar el desempeño de una empresa, pero ellas mismas son propensas a someterse a situaciones de cambio y mejora continua, mediadas por los avances que se hagan en materia de manejo y análisis de la información.

Casos prácticos y errores comunes que evitar

Existen casos de errores habituales de compliance que hay que evitar cometer como son la no implicación de la dirección de la empresa en el compliance, los nombramientos desenfocados, falta de implicación de los responsables de área, falta de revisión de los socios comerciales y proveedores, falta de análisis de riesgos específicos para la empresa, falta de actualización, política de compliance incomprensible, falta de análisis de evaluación de riesgos etc

Lecciones aprendidas de sanciones a empresas

La Agencia Española de Protección de Datos (AEPD) ha impuesto sanciones millonarias por no cumplir la normativa de protección de datos y privacidad a CaixaBank; la cantidad, 6.000.000 de euros. Esta no es la primera sanción que impone la autoridad de control española. El pasado mes de diciembre de 2021 se publicó la resolución por la que se imponía una sanción de cinco millones de euros al BBVA por dos vulneraciones del Reglamento Europeo de Protección de Datos (RGPD). Estas sanciones han sido refrendadas recientemente en noviembre de 2024 por el Tribunal Supremo que ha dado la razón a la AEPD.

Pero además del riesgo de sanciones millonarias por incumplimiento de la normativa de protección de datos, está el riesgo de robo de datos y existe el riesgo de incumplimiento de normativa penal que no solo dañaría la reputación de las empresas, sino que conlleva condenas en el ámbito empresarial, tanto a los socios de la empresa como a las propias empresas como personas jurídicas.

Cómo integrar el compliance desde el diseño

No existe un modelo único de compliance digital. Cada empresa debe contar con un diseño de compliance proporcional a su tamaño, actividad, estructura y exposición al riesgo. Esto incluye la identificación de riesgos, medidas de prevención propias, protocolos de actuación propias y mecanismos de supervisión diseñadas para la misma.

Conclusión

Si eres un profesional del derecho y quieres especializarte en compliance digital, para asegurar los conocimientos tecnológicos requeridos hoy día ya sea en tu propio despacho profesional o en otros despachos profesionales, es recomendable cursar el Máster en Derecho Digital de OBS Business School.

Este programa te especializa en el conocimiento del Derecho a nivel de compliance digital y el uso responsable de Inteligencia Artificial de forma ética con casos prácticos, proporcionando una visión moderna e innovadora de las herramientas digitales siendo una escuela de negocios nativa digital.