Un terremoto puede obligar a las empresas a cerrar temporalmente sus oficinas, activar el trabajo remoto o trasladar parte de su operación. Sin embargo, la emergencia no suspende las obligaciones relacionadas con la protección de los datos personales de trabajadores, clientes, proveedores y aliados.
Durante una contingencia, muchas decisiones deben tomarse con rapidez. Esto puede llevar a que los colaboradores se conecten desde redes domésticas, utilicen computadores personales, descarguen bases de datos o compartan documentos mediante correos y aplicaciones de mensajería no autorizados. Aunque estas medidas parezcan necesarias para mantener la operación, también pueden aumentar el riesgo de pérdida, filtración o acceso indebido a la información.
La primera regla es limitar el acceso a los datos personales. Cada trabajador debe consultar únicamente la información que necesita para cumplir sus funciones y durante el tiempo estrictamente necesario. La empresa también debe mantener controles sobre los equipos utilizados, las contraseñas, las conexiones, las copias de respaldo y los canales empleados para comunicarse con trabajadores y clientes.
Siempre que sea posible, deben utilizarse equipos, correos electrónicos y plataformas corporativas. También es recomendable implementar mecanismos de doble autenticación, conexiones seguras y procedimientos para bloquear rápidamente los accesos cuando un dispositivo se pierda, sea robado o quede expuesto a personas no autorizadas.
Especial cuidado requieren los listados de emergencia y la información relacionada con números telefónicos, documentos de identidad, direcciones, ubicaciones y estado de salud de los trabajadores. Estos datos no deben compartirse indiscriminadamente en grupos de mensajería, cadenas de correo o plataformas personales. La necesidad de coordinar una evacuación, localizar a una persona o conocer su condición médica no convierte esa información en datos de libre uso.
Antes de enviar cualquier listado o documento, la empresa debe preguntarse quién realmente necesita recibirlo, qué datos son indispensables y durante cuánto tiempo deben permanecer disponibles. En muchos casos, es posible cumplir el objetivo compartiendo menos información, restringiendo los destinatarios o utilizando canales con mayores controles de seguridad.
Si se presenta una pérdida de información, una filtración o un acceso no autorizado, la empresa debe actuar inmediatamente. El primer paso es contener el incidente, bloquear los accesos y cambiar las credenciales comprometidas. Después deberá identificar qué información fue afectada, quién pudo consultarla, conservar las evidencias y documentar detalladamente lo sucedido.
También será necesario activar el protocolo interno de respuesta a incidentes y evaluar los reportes y comunicaciones que correspondan. La actuación debe ser coordinada entre las áreas jurídicas, tecnológicas, de seguridad de la información, recursos humanos y comunicaciones, evitando decisiones improvisadas que puedan agravar la exposición de los datos.
La continuidad empresarial no consiste únicamente en mantener la operación. También implica proteger a las personas y garantizar que la información utilizada durante la contingencia reciba un tratamiento adecuado. Por eso, resulta recomendable revisar los protocolos de trabajo remoto, actualizar los permisos de acceso, recordar las reglas internas a los colaboradores y preparar procedimientos específicos para enfrentar incidentes de seguridad.
La emergencia cambia la forma de trabajar, pero no suspende el deber de proteger los datos personales. Una respuesta rápida debe ir acompañada de controles, documentación y medidas de seguridad que permitan continuar operando sin poner en riesgo la privacidad de las personas.
