La Globalización n de la Privacidad

Transcripción

1 La Globalización n de la Privacidad Juan Ignacio Sánchez Chillón Adjunto al Subdirector General de Seguridad y Medio Ambiente MAPFRE VI VI ENCUENTRO IBEROAMERICANO DE DE PROTECCIÓN N DE DE DATOS Cartagena de de Indias, Indias, de de Mayo Mayo de de

2 Contenido 1. Presentación de MAPFRE 2. Protección de datos: Aproximación histórica 3. Problemas de implantación 4. Plan de Acción 5. Internacionalización

3 Contenido 1. Presentación de MAPFRE 2. Protección de datos: Aproximación histórica 3. Problemas de implantación 4. Plan de Acción 5. Internacionalización

4 MAPFRE Grupo empresarial español independiente que desarrolla actividades aseguradoras, reaseguradoras, financieras, inmobiliarias y de servicios en más de 40 países. Integran más de 100 sociedades mercantiles en España y más de 150 en otros países. Supera los empleados en todo el mundo, de los cuales aproximadamente empleados están en América. Abarca todos los ámbitos de la actividad aseguradora, con una solución competitiva específica para cada una de las necesidades de los clientes. En España abarca también la gestión de Fondos de Inversión y Fondos y Planes de Pensiones, a la actividad inmobiliaria y a otras actividades de servicios.

5 MAPFRE: Presencia en España MAPFRE es el primer grupo asegurador español. La red comercial está compuesta por más de oficinas y agentes y colaboradores. La red comercial más amplia del seguro español y una de las más extensas de iberoamérica. La Red MAPFRE está estructurada en 44 gerencias que se agrupan en 7 Direcciones Generales Territoriales.

6 MAPFRE: Presencia Internacional MAPFRE tiene presencia directa en 42 países, en los que cuenta con más de oficinas y empleados. Su principal negocio en el mundo es el Seguro Directo No Vida. Las actividades con mayor presencia internacional del grupo son Asistencia y Reaseguro. El área geográfica de mayor implantación es el Continente Americano.

7 Canadá México Guatemala El Salvador Estados Unidos Honduras Costa Rica Panamá Ecuador Nicaragua Perú República Dominicana Puerto Rico Venezuela Colombia Irlanda Reino Unido Bélgica Alemania Luxemburgo Francia Hungría Italia Rusia Paraguay Bolivia Brasil Portugal Turquía Chile Uruguay Túnez Grecia Argentina China Bahrain Seguro directo Filipinas Reaseguro Asistencia

8 MAPFRE: Nuestros principios El Código del Buen Gobierno de MAPFRE (revisado en 2005) define los principios institucionales que rigen la actuación del grupo: Independencia Responsabilidad Social Actuación ética Humanismo Crecimiento empresarial y patrimonial

9 Contenido 1. Presentación de MAPFRE 2. Protección de datos: Aproximación histórica 3. Problemas de implantación 4. Plan de Acción 5. Internacionalización

10 Aproximación histórica I Entrada en vigor de la LORTAD y, del Reglamento de Medidas de Seguridad, constituye un punto de inflexión Hasta ese momento (06/1999) a pesar de los esfuerzos, el avance había sido bastante pequeño No conseguíamos conectar con la Dirección ni que se entendiesen nuestros planteamientos Cuando hablábamos de riesgos informáticos asociaban el término a hackers, virus o algo de hollywood No se era suficientemente consciente de que el término RIESGO tan conocido y utilizado por la Alta Dirección, también tenía su componente informática

11 Aproximación histórica II El establecimiento de plazos concretos, en el Reglamento para el cumplimiento de las medidas hizo que las organizaciones se pusieran las pilas Un primer problema: qué pasaba con las aplicaciones antiguas que no soportaban la implantación de ciertas medidas? Al existir plazos concretos de implantación, se hizo caso de las sanciones previstas en la LORTAD Ahora, la Alta Dirección entendía mucho mejor lo del riesgo informático Se aprobó la LOPD (12/1999) Y, recientemente, el nuevo reglamento (12/2007)

12 Contenido 1. Presentación de MAPFRE 2. Protección de datos: Aproximación histórica 3. Problemas de implantación 4. Plan de Acción 5. Internacionalización

13 Problemas de implantación (I) Situación de partida: muchas entidades muchos problemas interpretaciones divergentes situaciones diferentes falta de coordinación entre entidades duplicidades y carencias falta de asesoría debido a

14 Problemas de implantación (II) No se contempla legalmente GRUPO EMPRESARIAL, lo que implicaba repetir actuaciones Se compartían gran cantidad de datos, pero la gestión de cada entidad era autónoma Diversidad de plataformas tecnológicas, sin la flexibilidad necesaria para incorporar las medidas tecnológicas El mismo dato figuraba en varios ficheros con tratamiento muy distinto e incluso con consideración legal diferente Existencia de Áreas Comunes dentro de la Organización que disponían de bases de datos consolidadas (?)

15 Problemas de implantación (III) Personal de una determinada empresa tenía acceso a datos de otra entidad No estaba documentada, ni contemplada la cesión de datos dentro del propio grupo empresarial Se recababa el consentimiento del afectado para una determinada entidad y se utilizaba por varias Algunas plataformas tecnológicas, por su antigüedad, no disponían de segregación de entornos de prueba El borrado de un determinado dato utilizado por una empresa provocaba incidentes en otras empresas

16 Problemas de implantación (IV) El continuo dinamismo del negocio y de sus plataformas no facilitan la implantación de medidas La mayoría de las medidas tienen un componente organizativo, verdadero vía crucis de las entidades Las estructuras organizativas no estaban preparadas para los cambios que había que realizar Una ausencia generalizada de procedimientos formalizados Adquisiciones empresariales que añaden problemas no previstos a la situación, ya de por si, complicada El coste de implantación de alguna de las medidas tecnológicas era muy alto

17 Contenido 1. Presentación de MAPFRE 2. Protección de datos: Aproximación histórica 3. Problemas de implantación 4. Plan de Acción 5. Internacionalización

18 Plan de Acción Creación de un FORO ÚNICO de decisión que proporcionó: interpretaciones únicas instrucciones precisas decisiones firmes representación de todas las entidades asesoría en materia legal Visión única formatos únicos en documentos: contratos y cláusulas, solicitud de conformidad, y Coordinación

19 Contenido 1. Presentación de MAPFRE 2. Protección de datos: Aproximación histórica 3. Problemas de implantación 4. Plan de Acción 5. Internacionalización

20 Internacionalización En MAPFRE el cumplimiento de la legislación en materia de protección de datos es: Responsabilidad de la Subdirección General de Seguridad y Medio Ambiente. Se aborda como parte de un Plan Director de Seguridad. Se inicia en España y se aprovechan las experiencias para expandir el modelo a nuestras empresas en América.

21 Internacionalización: realidad La expansión internacional del Plan Director de Seguridad, presenta una complejidad similar a la de España. Incrementada por la existencia de: Muchas empresas. Heterogeneidad legislativa. Distintas culturas. Distintas realidades sociales. Falta de un modelo único.

22 Internacionalización: Objetivos Plan de proyectos para alcanzar los objetivos del Modelo de Seguridad Corporativo, con las siguientes premisas : niveles de seguridad adecuados a cada empresa/país, adaptando el Modelo de Seguridad a las necesidades, y realidades. alineamiento de acciones con el marco común de actuación. eficiencia de medidas, unificando e integrando esfuerzos, homologando soluciones corporativas que permitan ahorros. asesoría y soporte permanente desde el equipo corporativo de expertos.

23 Internacionalización: proyectos Definir estructura organizativa, para soportar y El plan de proyectos incluía, entre otros: gestionar los procesos de mejora continua de seguridad: Comités locales y red de JSIE. Asignar Proyecto y adoptar de ORGANIZACIÓN las funciones y responsabilidades en la gestión de la seguridad. Designar los mecanismos de supervisión. Proyecto de LEGISLACIÓN Identificar la normativa legal y el marco regulatorio vigente en cada país que afecte a los sistemas de Que información. fueron los primeros en abordarse de acuerdo con el calendario establecido. Elaborar un plan de trabajo con medidas a corto y medio plazo para la adecuación a los requerimientos del marco legislativo aplicable.

24 Internacionalización: Aportaciones Conocer las verdaderas necesidades legislativas y de seguridad. Alinear la seguridad a las necesidades del negocio y del marco regulatorio aplicable. Un Modelo de Seguridad global y particularizado para cada una de las empresas y países. Con los pasos a seguir para alcanzar el nivel deseado. Concienciación sobre los riesgos existentes.

25 Internacionalización: situación MAPFRE BHD c c c c c MAPFRE TEPEYAC c c c c c c MAPFRE PUERTO RICO c c c c c c MAPFRE LA CENTROAMERICANA c c c c c c MAPFRE COLOMBIA c c c c c MAPFRE PERÚ c MAPFRE VENEZUELA c c c c c MAPFRE BRASIL c c c c c c c c c c c MAPFRE PARAGUAY LEYENDA c Medida Organizativa Completada Medida Organizativa en Curso Producto Implantado MAPFRE CHILE c c c c c c MAPFRE ARGENTINA c c c c c c

26 Internacionalización Conclusiones: Legislar en materia de protección de datos es una tendencia creciente a nivel mundial. Los ciudadanos de una sociedad madura son conscientes de sus derechos y los reclaman.

27 Internacionalización 1. La protección de datos es un proyecto de gran envergadura. 2. El objetivo es lograr una eficaz protección de la información. Garantizando la privacidad de los clientes. 3. Requiere inversiones en equipos y desarrollos que impactan en los estados financieros y en las operaciones de las compañías. 4. Con exigencias importantes en cuanto a recursos humanos, técnicos y económicos. 5. La experiencia sugiere una implementación gradual para lograr un desarrollo exitoso. 6. Como referencia en el ámbito español, una implantación similar requiere tres años para que no afecte negativamente a las compañías. 7. Disponer de tiempo suficiente tanto para la búsqueda de soluciones eficaces y económicas, como para la implantación de controles o puesta en producción de dispositivos de control.

28 Internacionalización Sugerencias: Conscientes de la importancia que la seguridad de la información tiene para las compañías, los países y todas las personas involucradas, se sugiere desarrollar un Marco Legislativo de referencia. Previamente, se aconseja un estudio del impacto que pueda tener sobre la operativa de la compañía una legislación de similares características.

29 Muchas Gracias