Del dato a la dignidad. El reto de los derechos digitales.

Buenas tardes a todos. Eh, gracias por
acompañarnos en esta aventura. Hoy
inauguramos la primera sesión de una
serie de tres webinars que o tres
webinar, tres conversatorios que
comparten un mismo hilo conductor y
sobre todo dos preguntas de fondo que
queremos mirar de frente e y lo vamos a
hacer entre entre compañeros y entre
profesionales. Yo creo que esto es un
poco lo bonito de lo que vamos a hacer
en el día de hoy, ¿no? La primera de
esas preguntas es, ¿cuál es el papel del
profesional del GRC en la era digital? Y
la segunda gran pregunta son, ¿cuáles
son sus verdaderos desafíos más allá del
papel y los organigramas? Yo creo que
ese ese encaje muchas veces en el que eh
nos suelen ubicar, ¿no?, directamente,
¿no? El título de esta primera cita eh
creo que es bastante interesante, ¿no?
Al menos eh muy atractivo eh
profesionalmente, ¿no? Del dato la
dignidad, el reto de los derechos
digitales. Yo creo que resume muy bien
el punto de de partida en el que
queremos ubicarnos, ¿no?, en este en
este entorno de economía digital, de
disrupción tecnológica
y sobre todo donde se yo creo que se
está cuestionando eh muchísimo el eh o
se está cuestionando de forma eh real
la figura y la posición de los de los eh
de las personas eh al fin y al cabo,
¿no? Al final estamos en un problema
geopolítico, un problema geoestratégico
que nos está colocando también en la
necesidad de de aumentar la dosis,
digamos, de regulación y hay una
discusión filosófica entre muchas partes
interesadas en en este en este debate,
¿no? Por eso digo que vivimos en un
entorno marcado por la
hiperconectividad, la la economía
digital, el peso creciente de los
grandes operadores tecnológicos,
donde los datos personales se han
convertido en la materia prima para los
modelos de negocio, para las decisiones
automatizadas, para el perfilamiento de
de los comportamientos de los usuarios,
¿no? Pero lo cierto es que detrás de
cada dato hay una persona. Y si hablamos
de GRC, de gobierno, riesgo y
cumplimiento, pues hablamos precisamente
de los profesionales que están en medio
de esa atención entre la tecnología, el
negocio y los derechos de las personas.
Entonces, la pregunta incómoda que
queremos hacer hoy, entonces no no no va
no va a ser un debate cómodo, va a ser
un debate entre amigos, que lo que
queremos es por encima de cualquier otra
cosa eh entrar un poco en la en la parte
disruptiva. Vamos a, yo creo que a
pelear, a pelear cariñosamente un poco
sobre la la figura de de que nos tiene
hoy acá, ¿no? La verdad que la pregunta
de verdad es eh estamos ejerciendo el
rol de GRC como simples gestores de
cumplimiento
o lo estamos haciendo como perdadoros
garantes de la dignidad y los derechos
en lo digital.
Bueno, es una de esas preguntas las que
quiero poner el punto sobre las IES,
¿no? Y y y actuar de forma incómoda,
¿no? Eh, inconformista y simple rebelde,
¿no? Entonces, en esta primera sesión
nos vamos a centrar en los derechos
digitales y cómo se aterrizan en los
distintos perfiles, los el perfil
jurídico, técnico, los perfiles de
negocio que tienen responsabilidad en el
mundo del gobierno riesgo y
cumplimiento, ¿no? Y en la próxima cita
iremos ampliando la mirada hacia el
mundo de la ciberseguridad, de la
economía digital, la nueva realidad en
regulatoria. Pero hoy queremos empezar
por la la raíz de de este tema, ¿no? Eh,
cómo pasamos del dato a la dignidad, que
es un poco la gran cuestión, ¿no?
Entonces, al final de la sesión también
vamos a dedicar unos minutos también a
presentar un poco la razón de ser de GRC
por TR en este ecosistema y vamos
también a hacer una pequeña presentación
de nuestra propuesta de valor para todos
los que nos desempeñamos como como
profesionales en el mundo de la de la
privacidad, ¿no? Y y del mundo del
gobierno riesgo y cumplimiento. Para
este debate nos va a acompañar por un
lado Daniela Masías, que es abogada
desde Ecuador. Bienvenida, Daniela.
Vale. También nos acompaña desde España
Patricia Mendoza Mayares, que es también
es abogada y además es profesora también
el ONIR. Y eh también tenemos por otro
lado a nuestro querido y admirado
compañero del mundo del GRSD, nuestro
amigo eh Daniel Fernández Viagas, eh un
un referente en el mundo de del
cumplimiento normativo y y de la gestión
de riesgos, ¿no? Bienvenido a los tres.
Eh bienvenido a todos los que nos están
acompañando también como parte del
auditorio. vais a tener oportunidad
también de hacer preguntas en un momento
determinado, así que podéis ir
haciéndola en el chat, luego ya os voy
dando voz, eh, o os podía permitir
también que podáis abrir micro, pero
tenemos una serie, digamos, de grandes
bloques, ¿no? Eh, el primer bloque vamos
a dedicarlo a hablar del contexto, del
dato, la dignidad y el papel del GRC. El
segundo bloque es cuál es el papel del
profesional del GRC. El tercero, yo creo
que donde vamos a tener el músculo de
verdad, ¿no? Cuáles son los verdaderos
desafíos reales a los que nosotros nos
enfrentamos y y en la parte final eh
hablaremos de competencia, futuro y
cierre, que es un poco la la el digamos
el la gran razón de ser también de de
explicar eh todo este evento, ¿no? Como
he dicho, es el primero de tres. El el
segundo que tenemos el próximo viernes
eh se intitula ciberseguridad de
economía digital y la nueva realidad
regulatoria. Eh, así que ya os voy dando
un poco de de spoiler de cuál va a ser
el segundo motivo de de esta reunión y y
la la idea por encima de cualquier otra
cosa es que sea una un conversatorio
abierto, ¿vale? Entre compañeros
profesionales que nos dedicamos a esto,
pero también entre todos y cada uno de
los que estáis al otro lado que también
sois profesionales que os queréis
dedicar también a a este mundo. ¿Vale?
Eh, voy a a eso, a dejar entrar algunos
compañeros que estaban en cola esperando
y y yo quiero empezar ya con mi primera
pregunta para los compañeros, un
segundito que aquí tengo la otra
pantalla que si no no lo veía por acá. Y
eh yo la las preguntas no sabéis que no
están nominadas, ¿no? Las preguntas
están para el primero que quiera salir
al a la plaza a a a a responderlas, ¿no?
Eh, dentro del primer bloque contesto el
dato, la dignidad y el papel del GRC.
Eh, cuando hablamos de del dato, la
dignidad,
la pregunta que uno se podría plantear
es, ¿dónde sienten que se juega hoy esa
dignidad en lo digital?
Porque fijaros que eh yo creo que el
dato lo tenemos muy claro, ¿no?
Pero, ¿dónde se juega hoy la partida de
la dignidad en lo digital? No, esa es la
misma pregunta que que os lanza,
te recojo yo el guante, Leocadio, y
abrimos el rompemos el hielo. Eh,
todo tuyo, Dani.
El Me parece muy interesante la pregunta
y el y el planteamiento general de del
webinar porque se aleja un poco de de lo
que solemos hacer, ¿no? de la
conversación técnica o la conversación
jurídica o la de la del mero
cumplimiento, que por desgracia se
recurre mucho a nosotros solamente para
que digamos si algo cumple o no cumple y
eso duele un poquito porque va esto va
tiene un trasfondo mucho mayor. Para mí
la dignidad en estos momentos, en el
ecosistema que nos movemos con el tanto
la regulación como la inteligencia
artificial en nuestras puertas para mí
es la autonomía del individuo, la
autonomía del usuario cuando cuando está
navegando por internet, cuando entra en
una web, cuando decide registrarse
para obtener un producto, el mantener
esa autonomía, esa libertad a la hora de
de moverse en el ecosistema digital y en
muchos casos
esa esa autonomía o esa libertad la
acaba perdiendo por una mala
configuración, por unos patrones
oscuros, ya sab que que seguramente
saldrá más de en más de una ocasión por
esa por esa falta de pensamiento en el
usuario final que va a usar un producto,
que va a registrarse o que va a leer
unas condiciones que debería conocer
bien antes de dar sus datos o prestar un
consentimiento o incluso más allá, ¿no?
tener una una orientación a través de de
esos perfilados que se hacen pues de sus
redes sociales, una orientación política
o llevarlo a un determinado pensamiento.
Para mí está ahí en esa la dignidad está
en el mantenimiento de la voluntad del
usuario y en respetar también esa
voluntad del usuario, no condicionarlo y
no llevarlo a a donde interesa, sino
dejarlo elegir libremente.
Yo creo que estamos en en en muy de
acuerdo en en el enfoque, Dani. Lo
sabemos, ¿no? A ver, que tenemos una una
visión muy muy humanista y por eso el
debate eh lo he querido centrar no en
los modelos económicos y las necesidades
de las organizaciones, sino
evidentemente en las personas que al
final somos el objeto del deseo de las
organizaciones públicas y privadas,
porque al final también estamos en en
ambos eh entornos, ¿no? Eh, no sé si que
o Patricia gustaría también comentar
algo. Hola, Gabriel.
¿Cómo vas? Ocadio, perdón que la
interrumpa, Daniela. Eh, yo escuchaba
recién la persona que me antecedió y no
dejaba de pensar que si bien esto es una
cuestión de personas con personas,
también es una una cuestión de
organizaciones versus personas, porque
tenemos organizaciones que son éticas en
su compartimiento y otras que por
definición no lo son. Hay gente que es
simplemente delincuentes con un disfraz
de empresario. Hm. Y entonces ahí no
podemos hablar de que si es una buena
mala persona, no, no estamos hablando de
gente enrada versus gente con intereses
torcidos. Y ante eso, la única defensa
que nos queda es la ley. Es ese pacto
social que construimos entre todos de
decir qué es aceptable y qué no lo es.
Y mil disculpas por la interrupción,
pero como viejo no me puedo morder la
lengua.
Gracias, Gabriel.
Y muy acertadamente, además,
Daniela, te escuchamos.
Bueno, sí, yo también concuerdo que que
todo parte justamente de entender que
para llegar a esa autonomía nosotros
tenemos que centrar a la persona en en
el todo, ¿no? La el ser humano termina
siendo el inicio y el fin de toda
sociedad, de todo ecosistema, ya sea el
ecosistema digital, el ecosistema eh
físico incluso y es el centro de la
economía, es el centro de todos los
esfuerzos que como humanidad de hecho
hacemos. Y desde esa perspectiva creo
que todo esto nace de reconocer que de
alguna manera nuestros datos en este
ecosistema digital somos nosotros
mismos. Es la traducción de el ser
humano en un ecosistema que no es
tangible, pero que conforma nuestra
identidad, que es parte de nuestro ser.
Es de hecho nuestro ser, nuestra
representación. Y por lo tanto tenemos o
yo creo que todo esto nace para lograr
como este reconocimiento de la dignidad,
de la autonomía, de los derechos, de la
igualdad, de evitar que alguien más nos
controle, sino de empoderar muchísimo a
las personas para entender que la única
manera de lograr que se reconozca
nuestra dignidad y nuestros derechos es
empezar por nosotros mismos y saber que
no podemos transaccionar eh con esa
información de forma tal que todo llegue
a un abuso, sino que tiene que ser
siempre en respeto de nuestra propia
identidad, de nuestra narrativa personal
y de alguna manera reconocer que todos
estos derechos no son los derechos de un
dato, sino son los derechos de la
persona, porque de alguna manera en este
entorno ecosistema digital, pues
nuestros derechos se van a ver de alguna
manera menospreciados o se van a ver
vulnerados incluso eh por distintos
tipos de intereses. Y creo que no se
trata como de una buena intención o de
una mala intención. Se trata de lograr
que se haga un uso adecuado de esa
información, entendiendo que esa
información representa a un ser humano y
por lo tanto la dignidad siempre va a
tener que estar por encima de cualquier
interés, sea un interés económico, sea
un interés eh social, siempre vamos a
tener que poner pues a la persona por
delante porque simplemente es la
traducción del sí mismo en este nuevo
ecosistema en el que estamos aprendiendo
a andar para hacerlo constructivo.
Efectivamente, Nabela. Eh, totalmente de
acuerdo, ¿no? Eh, Patricia.
Y bueno, yo quería comentar dos
palabras, una, falta de concienciación y
dos, transparencia, que creo que aquí
resume todo lo que hemos dicho entre
Daniel, Daniela y Gabriel, porque si no
hay concienciación, si nosotros mismos
no somos capaces de hacer respetar
nuestros derechos y este el derecho
fundamental a la protección de datos,
entonces no avanzamos como sociedad. Y
dos, la parte de la transparencia de
parte de quienes operan con nuestros
datos, que son las grandes tecnológicas
o incluso el autónomo de turno, que
tiene pues una base de datos o unos
leads que tiene que saber cómo tratar
esa información. Entonces creo que es
fundamental el que haya más
concienciación en el ámbito digital, por
una parte, y por la otra parte, pues el
el compromiso de transparencia. Y yo
creo que eso sería un impulso para la
dignidad, ¿no?, del del dato o lo que
estamos hablando. Solo eso,
¿no? No, me parece fantástico, ¿no?
Estaba recordando en en el rato lo que
los cuatro comentarios que que habéis
aportado,
eh, que hay un aspecto importantísimo en
detrás de todo esto, que es entender
nosotros que esto es un derecho nuestro,
un derecho fundamental nuestro, ¿no? y
que tenemos que darle valor,
porque cuando nosotros mismos no somos
conscientes y no le ponemos el valor al
a este derecho, estamos permitiendo que
las organizaciones nos nos lo pisoteen,
¿no? Y y esto creo que es uno de los
grandes debates, ¿no? Recientemente yo
estaba invitado a Ecuador,
invitado desde casi desde principio de
año a un congreso en Río Bamba y en todo
iba superb hasta el momento en el que me
llamaron para cerrar el billete de avión
y y el hospedaje y en ese momento me
pidieron una copia de mi pasaporte para
sacar un billete de avión.
Entonces, en la mesa, sobre la mesa,
estaba
eh eh ir con los gastos pagados, ¿vale?
a cambio de claudicar
entregando un dato que es ilegal la
entrega o mantener firme mis principio
entendiendo que lo que se está jugando
es con mi dignidad como ser humano y
entonces perder el dinero del viaje.
Fijaros un poco esa esa situación a
veces la que nos tenemos que plantear,
¿no? La respuesta en mi caso fue lo
segundo, es decir, renuncié a la
financiación del billete de avión y
hospedaje y al final lo tuve que pagar
yo de mi bolsillo, sencillamente porque
no estaba dispuesto a claudicar. Yo creo
que esto es una de las cuestiones que
tenemos que aprender a entender, porque
si no insistimos en esto, probablemente
las organizaciones
no no van a a cambiar su actitud, no
digo en entidades públicas y privadas,
porque aquí al final hay elementos
conexos, ¿no?, que que van a dificultar
mucho el el digamos la operativa, ¿no? A
veces es una institución la que quiere,
hay otra otra que no. no pasa muchas
veces con problemas en la
Superintendencia de Banco, por ejemplo,
eh eh aplicando normas que son
anteriores a a la aplicación de la de la
normativa de protección de autos, por
ejemplo, ¿no? Voy a hacer una segunda
pregunta y bueno, la respuesta ya lo voy
planteando como como penséis, ¿no? O más
cómodos sentáis, ¿no? Eh, la pregunta
que teníamos planteada era un ecosistema
dominado por las grandes operadores
tecnológicos. Yo creo que esto es una
realidad, ¿no? Ya no son lobbies, ¿no?
Comentaba ayer, esta mañana, no
recuerdo, que ahora son lobis
institucionalizados.
Es decir, el gran problema de la
claudicación que y la el gran debate que
tenemos ahora mismo en la Unión Europea
en con esta proyecto de ley nibus que
está detrás, ¿vale?
eh eh y que se nos están vendiendo con
una capa de pintura sobre eh pro
innovación y otro tipo de de de
cuestionamientos.
En realidad eh
lo que está habiendo es es una situación
de doblar la rodilla por parte de la
Unión Europea ante el el Imperio
Tecnológico norteamericano liderado en
este caso por su presidente, señor
Trump. Vale, esto es una una realidad.
Por eso digo, hablo hablo muchas veces
de problemas geoestratégicos,
geopolítico, más que un problema de
innovación. Eso es lo que se nos quiere
vender y otra cosa es la realidad
detrás, ¿no? Entonces, e en este
contexto, ¿vale? En este contexto, ¿no?
De de de capitalismo de vigilancia y
también de autoritarismo de vigilancia,
de la cual ya hablaba en su momento la
en ISA, la entidad de ciberseguridad
europea, ¿no? ¿Por qué es especialmente
crítico en este momento el rol de los
profesionales que nos dedicamos al mundo
del GRC? O sea, ¿por qué es importante
del punto de vista técnico, jurídico,
económico? ¿Por qué es importante que
nosotros ocupemos bien un papel papel
central acá? No,
sí, empiezo yo. Está eso.
Eh, bueno, yo creo que esto se puede
resumir en una gran premisa y es la
necesidad de un contrapeso ante este
superpoder frente al uso de datos.
realmente e de alguna manera al no
sentir que somos nosotros mismos en este
ecosistema digital, eh esta como
ausencia de de criterio de cultura
frente a nuestra información ha
permitido que grandes organizaciones se
enriquezcan de forma indiscriminada con
nuestra información. Y eso es algo que
es real y que ya sucede y que durante
mucho tiempo y en muchos territorios
pues no existía regulación o la
regulación era muy poco rígida frente al
uso de estos datos y en consecuencia
eh se ve esta necesidad de contar con
esquemas que nos permitan gestionar
mecanismos de control y ética, porque no
solo se trata de un cumplimiento
normativo, sino de la forma ética en que
internamente Las organizaciones aseguran
que este poder que ellos tienen a nivel
económico pues vulneren o no vulneren
nuestros derechos y no vulneren la
dignidad de las personas. Evidentemente
esto se vuelve algo mucho más crítico en
un contexto eh digital. ¿Por qué? Porque
no nos enfrentamos a una jurisdicción,
nos enfrentamos a empresas que incluso
están sobre las jurisdicciones o los
territorios en sí mismo. Entonces, nos
hace necesario contar con esquemas e que
nos permitan navegar en un marco
regulatorio complejo, global, en donde
necesitamos nuevas habilidades, mucho
conocimiento y y lograr ser justamente
estrategas para no dañar la innovación,
no dañar el negocio, pero siempre en
respeto de los derechos y no solo desde
la perspectiva de cumplimiento, sino eh
desde la perspectiva en la que tenemos
que ser proactivos, porque atrás de todo
están personas y por lo tanto sus
derechos tienen que ser garantizados.
Nadie quiere comprar en el mundo físico
algo que te daña o que te o que te
genera algún perjuicio. ¿Por qué lo
quisiéramos así en el mundo digital?
cuando hay una invasión tan grande a
nuestra privacidad, hay una invasión tan
grande a eh incluso la forma en la que
tomamos decisiones. Entonces, se ven
comprometidos nuestras libertades, se
ven comprometidos nuestros derechos y
eso es algo que de alguna manera el GRC
pues te ayuda a de alguna manera generar
este contrapeso.
Interesante, Daniela. Yo creo que
efectivamente
e yo creo antes también en Gabriel
apuntaba en esa dirección, ¿no? Hay
empresas éticas y empresas no éticas. El
problema es que las grandes empresas,
los grandes operadores tecnológicos eh
son avaros por naturaleza y y en esa
constitución genética eh nosotros somos
somos las víctima, ¿no? Yo creo que ese
es el el gran problema. Y si no, eh creo
que hay algún documental por ahí en el
que se ve eh creo recordar, si no no
recuerdo mal, señor Mar Zuckenberg, en
una sesión en el delante del Congreso o
del Senado de los Estados Unidos
pidiendo perdón a a las víctimas, a los
hijos, a los padres de de de esos
chavales que habían sido eh habían
sufrido las consecuencias de eh de
digamos de la de la mala gestión técnica
de de los datos a a la misma vez y con
el mismo descaro que ya había dado
instrucciones y órdenes dentro de Meta
para que siguiesen haciendo eso de
manera incremental, ¿no? Y y estaba
pidiendo perdón de manera supuestamente
eh honesta, ¿no? Con su rostro y su
expresión facial hacia los papás y mamás
de de aquellos chavales que estaban
siendo afectados, ¿no? Pero en realidad
esto son creo que es uno de los grandes
problemas que que nos enfrentamos, ¿no?
Es una son en operadores no éticos. eh y
que iba contra su modelo de negocios,
¿no? Eh, Daniel,
bueno, pues frente a estos gigantes que
que por supuesto, como bien comentas,
ambiciosos y que llevan años h manejando
muchísima información sobre nosotros,
para mí el GRC es la la resistencia,
¿no? La resistencia, ¿no? Eh, cada uno
en su en su pequeña parcela y dentro de
sus posibilidades. Todos los
profesionales del GRC intentan divulgar,
sensibilizar, evangelizar a las personas
que tienen cerca a veces son empresarios
o o compañeros de trabajo y otras veces
son pues en en espacios como este donde
se puede se puede charlar abiertamente.
Evidentemente estos gigantes enormes eh
se han acostumbrado a que la gran
mayoría de datos, información ya se la
regalamos en su momento, la gran
mayoría. Y ahora cuando queremos
recuperar o queremos sensibilizar para
que no sigan explotando tantísima
información, pues les cuesta y ponen
pegas a la regulación. comentabas antes,
pues esta posible claudicación con el
tema del ómnibus, hasta los aranceles
están por medio, por lo que escuchado,
hasta los aranceles
se ha amenazado con los aranceles a a
Europa porque son formas de presión
porque el dinero ha entrado a raudales y
ahora si alguna norma, como bien decía
Gabriel, si la ley está para cumplirla y
hacemos que se cumpla y pedimos que se
cumpla, va en contra de muchos intereses
que ya están funcionando. Además son
empresas que normalmente primero tiran
la puerta abajo y luego piden esas
disculpas. Y pongo como ejemplo el caso
de aplicaciones de inteligencia
artificial, muchos lo conocéis, donde
han salido al mercado sin una seguridad
ni privacidades del diseño y cuando se
han dado cuenta que se ponen a hablar
con adolescentes y esos adolescentes
todavía con una mente bastante
influenciable, pues toman malas
decisiones y no ha habido ni un caso ni
dos, ha habido varios, pues entonces sí
pone control parental, pero ya ha pasado
totalmente eh en este caso eh reactivo y
no proactivo. Con lo cual eh nosotros
somos para mí siempre me gusta pensar
que somos esa pequeña resistencia.
Bienvenido al mundo de la resistencia,
¿verdad?
Ahí estamos. Somos los rebeldes en este
ecosistema, ¿verdad, Patricia?
Así es. Yo también pienso lo mismo.
Pienso que somos el freno ético ilegal.
Somos esa resistencia, como dice Daniel.
Y yo creo que aquí tenemos que ver el
valor que nos da el poder tener ese
conocimiento tan amplio de ese mercado,
¿no? A través de esas tecnológicas. Por
ejemplo, yo pongo de ejemplo siempre en
todas las clases, pues todo lo que me
pasa a diario, porque trabajo con
diversas pymes y empresas, estoy muy en
contacto con los departamentos de
publicidad y marketing y me sé todo el
proceso de sus ventas, que es lo que
tenemos que saber, ¿no? Todo el proceso
del dato, preventa, venta, postventa,
¿cómo cómo va yendo ese dato? Y tenemos
que saber pues cómo están alineadas las
landings. Por ejemplo, por eso les
preguntaba al inicio, estamos en pleno
Black Friday y hemos tenido que revisar
esas landings, esos checkbox. Esta
mañana buscábamos el metadato del
checkbox de privacidad, de términos y
condiciones, ¿no? Haciendo como ese
análisis para que saliera pues esa ese
lanzamiento de del día de hoy, ¿no? Y lo
maravilloso es poder conocer y tener ese
conocimiento tan amplio de estas
tecnológicas, tanto si nos vamos a la
parte de Google como si nos vamos a la
parte de Facebook. Tenemos ese
conocimiento tan completo ya de la parte
también técnica que eso pues nos
enriquece mucho, ¿no? Es lamentable, sí,
que que sabemos que somos esa
resistencia, ese freno ético legal,
porque la mayoría de las veces pues nos
toman a nosotros como que les estamos
frenando el mercado, no les dejamos
vender, ¿no?, a nuestros a las empresas.
Creo que esa es un poco la pelea del día
a día, pero finalmente creo que tenemos
que estar alineados todos y explicar las
cosas por qué tienen que ser una a una,
paso a paso, para que luego los
lanzamientos salgan muy bien, las ventas
sigan. y todos sigan, pero siempre con
el cuidado de no vulnerar los datos.
Bueno, el derecho fundamental y la
protección de datos, ¿no?, de las
personas. Así que yo yo tomo esta estos
momentos tensos como aprendizajes,
sinceramente, porque estamos ampliando
esa visión, ¿no? Y el conocimiento
estratégico, sobre todo.
¿Cuántas veces te han llamado Stopper?
Eh, porque a mí unas poquitas me han
llamado stopper.
Yo me lo tenía puesto hasta en el en la
entrada en la reunión, en algunas
reuniones yo me ponía stopper porque
como me lo decían, pues ya me lo tomé,
me lo tomé como como algo positivo
incluso.
Sí, sí. Eh dentro de poco que se celebra
el día de los de los inocentes, no van a
colocar el posi por detrás, ¿no? De
stopper, el stopper
de la
Quería comentarles dos cosas de lo que
hablaba Daniela hace un momento. La
primera es que eh
si hiciéramos una encuenta entre
nosotros sobre qué porcentaje de la
población creemos que tiene por lo menos
un lejano conocimiento del tema de que
un dato es personal y es propio de ella,
lo más probable es que el más positivo
de nosotros va a decir que el 1% y ese
es un exagerado. Hm.
Entonces, si esa es la situación real,
yo me alegro de lo que Daniela está
haciendo. Me parece muy bien, pero me
parece totalmente insuficiente.
¿Por qué es insuficiente? Porque la gran
mayoría de la gente va a seguir
regalando sus datos. ¿Y por qué va a
seguir regalando sus datos? Porque si no
leen el periódico para enterarse, si
viene una oleada de tanques a pasarle
por encima, peor va a leer el periódico
para enterarse que Mark Zuckenberg le
está usando sus datos.
¿A qué me quiero referir con esto? A que
tenemos una responsabilidad que la
academia no nos dice y nuestra
responsabilidad es ser voceros de la
integridad de la información. Nosotros
en cada oportunidad que tengamos, con
cualquier audiencia que tengamos
enfrente, tenemos que decir en voz alta,
los datos son nuestros, no de las
empresas, no de las organizaciones. Y
queremos respeto y quiero respeto para
mí y quiero respeto para el señor que
recoge la basura toda la mañana de la
puerta de mi casa. es lo mismo. Los dos
merecemos el mismo respeto.
Así es, ¿no? Esa es un poco la la
visión, ¿no? De hecho, eh yo acabo de
llegar eh hace unos par de semanas de de
Chile, donde el día 5 y 6 he participado
tanto en Santiago como en Valparaíso, en
centos congresos para hablar eh con la
temática mis datos soy yo. Ese es el el
evento que llevamos ya un tiempo
trabajando y y la la idea es esto, ¿no?
Y siempre digo que el la el mayor
desprecio es la falta de aprecio.
Entonces, el gran problema que tenemos
que no conocemos nuestros derechos y
como no lo conocemos no lo no lo
apreciamos y como no lo apreciamos
despreciamos nuestros datos porque
pensamos que no tienen valor. Sin
embargo, evidentemente, en esa eh
conjusión de lo que es el modelo de
defensa en profundidad, que es los
derechos inherentes de la personalidad,
eh nuestros datos personales eh no
solamente protegen nuestra privacidad y
nuestra intimidad, sino que también
protegen nuestro conjunto de derechos y
libertades que que que tenemos como
ciudadanos, ¿no? Que nos permiten ser
personas libres, ¿no? Y al final un poco
como comentaba en el caso en mi caso en
Valparaíso, eh decía, sobre todo porque
era un público muy muy juvenil e de la
estudiante universitario, que hoy por
hoy probablemente el la esfera de la
privacidad y la esfera de la protección
de datos sea el último reducto de
nuestras libertad e que nos está
quedando, porque estamos en un mundo muy
muy muy
tensado y y además la ignorancia es un
poco la el elemento que prevalece,
Yo solamente quería comentar un detalle
para concluir este bloque uno. Hablando
del profesional del GRC, el profesional
del GRC es un profesional híbrido, es un
profesional que trabaja
o tiene un desarrollo, digamos, de
competencias bien amplio, que no
solamente trabaja en en en la vertical
de su conocimiento, sino que se ha
ensanchado para poder trabajar, como
antes comentaba perfectamente Patricia,
eh desde el punto de vista jurídico,
entender los conceptos técnicos, el
metadato, cómo se configura, cómo se
audita, ¿vale? Cómo se supervisa. Eh,
esto son cuestiones importantísimas.
Entonces, hay que salir de la zona de
confort a una zona de no confort y ahí
es donde el profesional se convierte en
un profesional integral, ¿no? Completo
de de gobierno, riesgo y cumplimiento.
Lo contrario es lo que muchas veces nos
vamos a encontrar en entorno e de
cumplimiento normativo. Voy a explicar,
¿no? Donde eh todo el mundo nos
preguntan los clientes qué es lo que hay
que hacer, ¿vale? Y ese es el gran
error. Eh, cuando nos están preguntando
qué es lo que hay que hacer, eh, cuando
estamos en un marco regulado, eh,
estamos prestando atención a la C de
cumplimiento, es decir, nos están
pidiendo cuál es el control
y ese es el peor de nuestros errores,
porque es empezar la casa por el tejado.
Por eso gobierno y riesgo de
cumplimiento no es por no están en ese
orden sencillamente de forma caprichosa,
sino porque es la forma jerárquica en la
que se actúa. Primero tiene que haber un
gobierno perfectamente, tiene que haber
un liderazgo, tiene que haber todos los
elementos de gobernanza, luego vienen
los análisis de riesgo y luego vienen
los controles mitigantes.
Esta es la cuestión importante. Por eso
hablo del la importancia crítica del rol
del profesional del GRC, ¿no? Entonces
es un poco la esta visión, ¿no? Vamos al
segundo bloque, si no se nos va el
tiempo. Creo que el debate es bonito.
Aquí vamos a hablar sobre cuál es el
papel del profesional de GRC en este en
estos entornos tecnológicos, ¿no?
Entonces la siguiente pregunta es, si
tuviésemos que definir en una frase, en
una frase, ¿vale? Aquí va a ser muy
escueto, ¿vale? ¿Cuál es el papel del
profesional del GRC en esta era digital?
¿Qué diríamos? No, en una frase para una
frase maestra de Patricia que está
levantando ahí la mano.
Yo yo yo
tú
yo es que aquí yo siempre digo somos
arquitectos y guardianes, ¿no?
Arquitectos de de estructuras de
cumplimiento, arquitecturas de
cumplimiento, como queramos llamarles,
para generar confianza digital.
Ya está.
Maravilloso. Vale, otra frase por ahí.
Yo creo que nosotros somos eh aquellos
llamados eh para asegurar la confianza y
la resiliencia organizacional
con integración de la gestión de riesgos
y el cumplimiento normativo en cada
decisión estratégica que realiza una
organización, siempre con
responsabilidad ética.
Fantástico, ¿no? Eso, acabar siempre la
parte ética es clave. Es clave, ¿no?
Daniel,
yo me quedo no tanto con una frase. Yo
siempre os suelo decir mucho que somos
traductores también traducimos al al
técnico le tenemos que traducir la norma
y a y al y al jurídico le tenemos que
traducir la tecnología. Al final somos
traductores, somos puentes. Ese entorno
híbrido que hace que equipos diferentes
hablen hablen de lo mismo, porque hasta
hace no muchos años y todavía hay muchas
organizaciones que operan así, legal va
por un lado, IT va por otro, eh recursos
humanos ya ni te cuento, eso ya está en
otra dimensión y nosotros nos dedicamos
a ir tejiendo, tejiendo, tejiendo,
traduciendo el por qué hasta lograr ese
marco, como bien dice lo de gobernanza.
metiendo a mucha gente en el mismo en el
mismo grupo, en el mismo equipo y y para
eso se necesita pues mucha empatía,
traducir mucho, hablar mucho y bajarle a
tierra muchos conceptos. También
aprender de unos y de otros. Tenemos que
ser, yo siempre pienso que tenemos que
ser esponjas, ir cogiendo de unos y de
otros para lograr cohesionar esos esos
equipos. Para mí somos traductores.
Me parece fantástica cada una de la de
la de las definiciones, ¿no? Al final eh
es nuestra paleta de color, ¿no? Cómo
nosotros nos identificamos en este en
este entorno, ¿no? Porque eh eh somos
traductores, evidentemente somos eh los
vertebralores, digamos, del
comportamiento ético en el uso eh de los
datos y y al final también somos palanca
o muchas de la transmisión. O sea, yo
creo que eh en se nos vende mal el
concepto de de stopper cuando en
realidad eh yo que lo siempre digo
cariñosamente y en este auditorio lo
vuelvo a repetir, ¿no? Siempre digo que
cariñosamente tengo la gran suerte de no
ser abogado y la gran suerte de no ser
ingeniero, ¿vale? tengo formación
económica, entonces yo me expreso en
número. Entonces para mí es muy
importante expresar esto del punto de
vista económico, ¿no? El punto de vista
de lo de lo que es la cuenta resultado
de una organización, la cuenta de
pérdida y de ganancia y y llevarlo
directamente a un balance de situación
de de un estado económico de de de una
organización. Creo que es tremendamente
importante que las organizaciones
entiendan que nosotros los profesionales
del CRC somos eh conductores eh
conductores de la gestión de riesgo, o
sea, somos gente que lo que vamos a
hacer es facilitar la consecución de los
objetivos de de negocio de la
organización sin cometer el error,
digamos, de de estropear o o tirar
directamente el presupuesto, ¿no? que
cuando eh eh hacemos los análisis de
riesgo, que lo hacemos de de esta visión
tridimensional e en muchos de los
escenarios, lo que estamos haciendo es
ahorrar a las organizaciones muchísimo
dinero, pero muchísimo dinero. Antes
comentaba Daniel una una frase, yo creo
que es es magistrada hoy en un Black
Freeder, ¿no? Que era algo así como, eh,
¿quién quiere comprar un producto
defectuoso
o un producto que te vaya a hacer daño?
No, nadie. Nadie, no, nadie, no. Y
pongámoslo des el punto de vista
sanitario o pongámoslo del punto de
vista farmacológico. ¿Quién va a comprar
un producto una farmacia sin que se
hayan eh implementado correctamente los
controles que el Estado realiza sobre la
farmacéutica? ¿O confiaríamos en un
modelo de autorregulación de las
farmacias de la farmacéutica?
¿Confiaríamos en un modelo de
autorregulación del sector alimentario?
Por mucho que que los los grandes lobis
no quisiesen presionar ahí, señores,
nadie, ningún estado, ningún estado en
ningún sitio claudica de su
responsabilidad.
Y yo creo que esto es una una cuestión
que creo que es importante que también
la veamos y por tanto creo que es un
papel importante el que desempeñamos los
profesionales del mundo GRC, ¿no?
Marcelo, te escuchamos.
Eh, gracias, Leo. Eh, nada más para
complementar que este profesional de GRC
y como lo mencionas, no necesariamente
es el abogado eh que generalmente está
en el área de como DPO de no
necesariamente un técnico sistemas,
telecomunicaciones, ciberseguridad que
maneja la parte justamente de seguridad
información.
Pero es tanto el DPO y el OSI eh son
profesionales de GRC, o sea, eh tienen
mucho que ver con el tema de gobierno,
riesgo y cumplimiento, pero debe ser de
alguna manera eh
que se acoplen los dos dentro de una
organización. Si una organización tiene
un DPO y y y pasa por desapercibido las
acciones del oficial de seguridad, esta
institución no va a funcionar. Si una
organización X piensa que hay que darle
eh caso a la ciberseguridad o al
asegurar la información y no a la parte
de la protección de datos, entonces
quiere decir que no entiende cómo
funciona eh la protección del dato desde
el inicio hasta hasta el final. Eh, o
sea, en conclusión, esto debe ser algo
que se acople los profesionales de GRC,
aparte de tener la parte técnica, la
parte tecnológica y manejarla bien,
porque es necesaria, necesariamente
tiene que hacerlo, pero también están
las habilidades blandas, las habilidades
de la persona de comunicación, de saber
llegar a la gente con concienciación
sobre temas de eh seguridad de la
información, protección de datos, porque
si no comunica, ¿quién le hace casa.
Entonces es eso más bien es mi mi
observación y y de la experiencia eh de
tratar con la gente porque hay
organizaciones y hay organizaciones,
¿no? Pero eh este complemento es muy
necesario y y sirve para las
organizaciones. Eso nada más de
Marcelo, creo que casa muy bien con el
comentario de Daniel, ¿no? De ser
traductor. Al final eh cuando hablamos
de la comunicación, yo siempre hablo
8020, o sea, los profesionales de Mundo
GRC tenemos que escuchar mucho, eh
tenemos que escuchar más que hablar. Eh,
pero cuando tenemos que hablar
fundamentalmente tenemos que hacerlo de
manera eh muy pedagógica, muy muy
didáctica, sobre todo, ¿no? Es decir,
tenemos que hacernos entender porque
nuestro público es diverso y nosotros
tenemos un dominio un poco más eh
digamos más eh más abierto, más
transversal y manejamos muchas veces eh
más materia, pero eh no todo nuestro
público tiene esa capacidad. Por tanto,
es importante también, evidentemente,
que que nos expliquemos bien, ¿no? Que
seamos buenos profesores, eh buenos
buenos docentes a la hora de comunicar,
¿no? Por eso digo, e sobre todo en en la
parte alta, en la dirección de de la
organización, ¿no? Para que se timone de
forma correcta en y consigan los
objetivos de negocio, ¿no? Que no lo
vean como el stopper, ¿no? Sino como el
canalizador, ¿no? que le permitió justo
llegar a a cumplir el éxito, como
comentaba Patrice y decir, "Oye, la
sesión maravillosa hoy del Black Freeder
ha funcionado de manera maravillosa
porque alguien ha supervisado de forma
responsable toda esa campaña, porque si
no todo lo que quieres conseguir en
positivo lo estropeas sencillamente con
una mala gestión del riesgo." Esta es la
la visión integradora de de del
profesional del GR, ¿no? Vamos a pasar a
otra pregunta, ¿vale? Eh, una cuarta,
¿no? Eh, dentro de ese segundo bloque,
el rol del profesional de GRCer, ¿no?
Se agota cuando cumplimos la ley, es
decir, e nuestro techo es el
cumplimiento legal o implica una
responsabilidad ética mucho más amplia,
incluyendo dentro de esa responsabilidad
ética las personas afectadas.
Yo creo que es una una buena pregunta,
¿no? Porque sobre todo en en entornos de
cumplimiento,
no digo todavía de cumplimiento, sino de
cumplimiento,
hay como muchas veces que el límite es
lo que dice la ley, ¿vale? Eh, y yo en
una frase concluí en Banco Estado el día
3 de noviembre en en Santiago de Chile
concluía la presentación con una frase
eh, que alguien le chocó, ¿no? Porque en
una norma como la chilena que te invita
a empatar, te invita a cumplir, ¿no?
Cumple y ya está. Eh, lo que le dije es
que el Banco Estado tenía como tiene un
eslogan que su eslogan era eh el banco
de tu confianza, el banco para conseguir
el cumplimiento de ese eslogan no puede
salir a empatar, tiene que salir a
liderar el cambio. Y esto los abogados o
algunos abogados en sala no entendió
esto porque ellos lo que quieren ver es
el cumplimiento y por eso la pregunta
tiene mucho sentido. O sea, el rol del
profesional del GRC se agota cuando
cumplimos en la ley o tenemos una
responsabilidad mucho mayor. Es aquí la
la pregunta. Esta te la te la te la cojo
yo. Eh, para mí no. Eh, para mí para
nada. El no podemos ir a mínimo. No
podemos ir a mínimo. Eh, cumplir no es
gobernar. Eh, cumplir es cumplir, pero
nosotros tenemos una responsabilidad muy
grande con el usuario, con la con el
titular del dato, con la persona que
está, como hemos hablado desde el
principio, con la persona que está
detrás.
Eh, yo, por ejemplo, he tenido siempre
la costumbre cuando he asesorado
empresas y algunas tecnológicas y
grandes Contact center y demás de de
asesorar desde un punto de vista muy muy
neutral, no desde exclusivamente desde
el negocio, sino neutral pensando en la
en las personas. Siempre pongo un
ejemplo. A mí en imaginar Contact
Center, todos los que conocéis y habéis
sufrido alguna llamada a horas
introspectivas, conocéis cómo es el
sector. Pues yo era delegado de
protección de datos de uno muy grande y
que llamaba mucho. Eh, todos los días
tenía pues cientos de ejercicios de
derecho y muchos usuarios solo me ponían
en el ejercicio de derecho en un correo
baja o no me llamen más o insultos
varios.
¿Qué voy qué voy a contar? No, pero
detrás de ese detrás de ese detrás de
ese correo había una persona molesta que
no estaba a lo mejor ejercitando su
derecho de forma correcta, académica y
con un formulario, no quería que le
dejásemos de llamar, quería suprimir sus
datos. Y yo en muchos casos contestaba
el correo directamente, le decía, "¿Qué
es lo que necesita? Lo primero le van a
dejar de llamar, pero quiere que
suprimamos el dato, quiere tener derecho
de acceso, le puedo ayudar." y ponía
tenía cometía a veces el enorme fallo de
poner mi teléfono como delegado de
protección de datos y me llamaban eh me
llamaban, me llamaban. Eh, por supuesto,
yo cumplía simplemente con con ejercitar
el derecho y punto. Pero yo quería ir
más allá. Yo creo que ese es el espíritu
de del profesional del GRC, ir más allá,
eh tener una responsabilidad proactiva,
anticiparte y sobre todo una vez que
cumples estar pensando en cómo cumplir
más.
Yo creo que está perfectamente dicho,
¿no? Totalmente de acuerdo, ¿no? Eh,
Patriir
más, sino cumplir en el tiempo, porque
yo te puedo mostrar muchas empresas que
hoy en día cumplen la ley, pero si te
damos 90 días, te garantizo que más de
la mitad ya no va a estar cumpliendo.
Sí, sí.
Es que ese es el otro gran problema, el
otro gran desafío, ¿no?
Pat. Eso, eso iba yo a decir ahora a
continuación y y yo creo que el ejemplo
lo tenemos ya en la sala, ya que he
hablado de él y es que las empresas
tienen muchas cuando van a vender hoy te
venden una serie, hacen un lanzamiento
para x productos o lo que quieran
vender, servicios y luego pues pasan
unos días y van a hacer otro lanzamiento
de otros productos y servicios que hay
que estar constantemente revisando.
Entonces, no, el cumplimiento no se
agota con solamente haber revisado hoy
para el Black Friday. Es decir, yo ya
sé, estoy concienciada que voy a
continuar porque parte de la
responsabilidad proactiva que se pide el
responsable del tratamiento es que
cumpla siempre, ¿no? Que demuestre el
cumplimiento constante, ¿no? Conforme y
los negocios evolucionan mucho, sobre
todo ahora en el ámbito digital que todo
el mundo está utilizando inteligencia
artificial. Eso lo tenemos que eh
tenemos que estar atentísimos a que si
la evaluación de impacto, a que si si
quieren implementar nuevas herramientas.
A mí yo he hecho evaluaciones de impacto
y aquí aprovechando un poco el la notici
de Aena,
esto eh yo muchas veces he eh y como
dice Daniel,
he visto y he velado más por que no se
vulneren los derechos de las personas. Y
les he dicho, no es tanto que te
sancionen, sino es por las personas que
no puedas implementar determinado
proveedor X porque lo estás haciendo
mal. Y creo que aquí la respuesta de la
mayoría de las de las empresas es, no,
pero es que si lo están haciendo ellos,
¿por qué no lo podemos hacer nosotros?
por una por una razón ética que tenemos
que cuidar los datos y claro, luego le
teleplantas con una evaluación de
impacto y finalmente le pones que además
porque como tenemos ese conocimiento tan
amplio, ¿no?,
les decimos que además existe la
responsabilidad penal como persona
jurídica, ahí ya te hicieron caso, pero
para el tema de proteger el dato de la
persona, ahí no te hicieron caso.
Entonces es un poco jugar con todo este
conocimiento tan amplio que tenemos,
¿no? Bueno, pues en otras en otras
partes hago de compliance office
y mezclo un poco solamente para con la
finalidad ética de proteger ese dato,
¿no? Proteger a esas personas que están
detrás de esos datos.
En realidad, yo que vengo de una
profesión técnica, tengo la manía de
buscar ejemplos que sean fácilmente
entendibles por la gente y los
empresarios que normalmente deberían ser
muy entendidos porque todos ellos han
hecho su MBA, han buscado seguir
estudiando una vez que se han
transformado en empresarios exitosos.
Pero han seguido estudiando sobre cómo
ser más exitosos en su empresa y nadie
les ha dicho qué cosas no deben hacer.
Todos le dicen qué cosas sí deben hacer
y nadie se para le dice, "Pero
cuidadito, no vaya a hacer tal cosa
porque eso está mal. Eso ni en ninguna
escuela de negocio se lo dicen."
Entonces uno tiene que buscar ejemplos,
eh, porque es difícil decirle a una
madre, "Su hijo es feo." Hm. Y lo mismo
nos pasa con los empresarios, decirle,
"Su empresa es fea por tal motivo."
Entonces, tiene que buscar ejemplos que
hagan que él interprete claramente por
qué la norma debe ser cumplida.
Entonces, lo primero que se me ocurre es
decir, "Bueno, ¿quién debe cumplir la
ley? la muy gran empresa, esa empresa
multinacional enorme tipo Google, otras
que pueden pagar millones y van a seguir
existiendo. Eh, las empresas más
locales, las medianas, las pequeñas y la
respuesta lógica es todos, pero nadie
entiende que todos tienen que cumplir
con la ley. Le voy a dar un ejemplo de
un profesional que usted seguramente
conoce y tiene alguno en su familia que
desde ya le garantizo que no cumple con
la ley. Entonces, cuando te miran con
cara de este atorrante, ¿qué me va a
salir ahora? Dec, en su familia seguro
hay un psicólogo a un psicoanalista, ¿sí
o no? Y sí, la mayoría de ellos tienen o
un hijo, una hija, sobrino, lo que sea,
psicólogo, psicoanalista.
Él guarda los datos más personales de
sus pacientes. Saben quién se hace el
pis en la cama, quién patea para el otro
equipo, saben todo de esa persona.
¿Dónde guarda los datos? ¿En cuaderno,
en una grabadora?
Hm. En algún lugar los pone porque no se
puede acordar todo de memoria. ¿Y cómo
los protege?
No los protege. Parte del supuesto de
que él está más allá del bien y del mal.
y que los ladrones nunca le iban a sacar
los datos. Ahora le digo, bueno, usted
ya conoce al psicólogo, ya sabe el tipo
de datos que guarda, ya sabe dónde
atiende, ya sabe en qué cajón del
escritorio guarda los cuadernitos
famosos. Si usted va un día y le roba el
cuaderno así solo por hacer un ejercicio
y lo llama al día siguiente le dice, "Me
tenés que dar $50,000
para devolverte el cuaderno sin decirle
que es usted, seguro que esa persona lo
va a llamar a usted sí sabiendo que es
usted, a pedirle, por favor, tío,
préstame $50,000 porque me acaba de
pasar esto." Sí, desesperado.
Entiendan, los datos personales nos
pueden afectar a todos. No importa el
tamaño, no importa el tipo de datos.
Claro que cuanto más personales son los
datos, datos de menores, datos de salud,
etcétera, etcétera, más complejo se
vuelve el tema. Pero la masa de los
datos es lo que hace la radiografía de
la persona cuando yo entrego todos mis
datos y cualquiera me desnuda sin que yo
ni siquiera me entere. H por eso es que
necesitamos tener un discurso
quitándonos nuestros defectos
profesionales. ¿A qué me refiero con
nuestros defectos
personales? Me refiero a profesionales,
perdón. Me refiero a No tenemos que
hablar en Argot, tenemos que hablar en
sencillo. Tenemos que buscar las
audiencias que realmente necesitamos
influir sobre ellas y son los más altos
directivos de las empresas. por un lado
y son los medios de comunicación por
otro, porque con los más altos
directivos podemos lograr que las
empresas sean más éticas y con los
medios de comunicación podemos lograr de
que nuestro mensaje llegue a más gente.
Y discúlpeme por hablar tanto, ya te
dije, no me dejes hablar. Bueno,
encantado.
Okay, Gabriel, gracias por por tu
aporte. Siempre es un gusto escucharte
también, ¿no? Daniela.
Bueno, sí. Eh, yo creo que me voy a
tomar una palabra que que es importante
y es que la concepción de los
profesionales que se enfocan en GC es
esto de ser un stopper. Y creo que
justamente esta falta de cultura eh que
tienen todas las organizaciones de
alguna manera nos hace pensar que somos
eh la burocracia o la traducción de la
burocracia a la hora de gestionar
productos o servicios. Y esta falta de
cultura eh lo que nos lleva es a perder
de alguna manera el valor agregado de
una organización. Porque si cambiamos
esta concepción tan absurda de pensar de
eh únicamente nos vamos a enfocar en un
tema de cumplimiento y muchas
organizaciones no me van a dejar mentir,
dicen, "Yo quiero cumplir lo mínimo, lo
más rápido y ya, porque me quiero sacar
de de la cabeza que tengo que gastar.
Adicionalmente es una ley más. eh me
quieren sacar plata, por eso ponen
multas tan grandes. Entonces, siempre
estamos pensando como de alguna forma en
negativo respecto de todos los temas que
tengan que ver con protección de datos
personales, seguridad de la información,
ética e inteligencia artificial,
etcétera, etcétera, etcétera, ¿no? Pero
eh si las organizaciones empiezan a ver
a esto como un tema estratégico. ¿Y por
qué estratégico? porque nos genera un
valor agregado. Solo los productos y
servicios que de alguna manera cubren
necesidades, pero en el cubrir
necesidades me hacen sentir protegido,
tienen un valor eh mucho más amplio en
el mercado y me permiten transaccionar
de mejor manera y por lo tanto promover
justamente esta cultura de integridad,
porque la verdad es que tenemos una
cultura en mientras más oculto mejor,
mientras menos rendición de cuentas
mejor, donde las áreas grises de alguna
manera pululan en todos lados. Lo que se
busca es una cultura de integridad, una
cultura en donde podamos generar de
alguna forma un tema sostenible, que nos
genere valor a largo plazo, que la
empresa más allá de evitar multas se
vuelva mucho más eficiente. Porque
cuando empezamos a ver esto y se
empiezan a gestionar implementaciones,
medias de control, planes de acción,
podemos ver que los procesos se repiten,
podemos ver que hay procesos que
ejecutamos, pero no estamos
documentando, que hay muchas buenas
prácticas que pueden aportar a un
cumplimiento, que pueden aportar incluso
a la generación de publicidad diciendo,
"Mira, mi empresa es la única que cumple
con esto, pero que no se está
documentando ni se evidencia." de alguna
manera nos ayuda a determinar que no es
un stopper, que lejos de ser un stopper
este consejo, esta traducción, esto que
no pasa usualmente en la organización,
en donde la el abogado no tiene ni idea
y se pelea con el ingeniero porque
hablan idiomas distintos y entonces
tenemos a alguien que por fin les puede
decir, "Mira, esto es lo que piensa el
ingeniero y esto es lo que quiere el
abogado y hasta aquí y no invirtamos
tanto en esto que está acá porque de
alguna manera está mal. Mejor
enfoquémonos en esto, nos hace mucho más
eficientes y por lo tanto no solo es un
tema de cumplimiento, sino que la ética
nos genera un marco amplio para ser
diferentes en un mercado en donde el
usuario final de alguna forma es más
exigente, cada vez más exigente, quiere
las cosas de alguna manera más
personalizadas, quiere las cosas más
rápido y de alguna forma no solo quiere
las cosas más rápido, las quiere bien y
las quiere protegido, porque solo así yo
me voy a sentir Bien, veamos un ejemplo
con temas de cámaras. Si yo tengo un
bebé y contrato estos monitores, no sé
si ustedes han visto ya la sensación de
mamás es ya no quiero comprar monitor
porque si bien puede ser que me ayuda a
ver que mi bebé esté sano, de alguna
manera ya siento que por ahí me pueden
estar vigilando y que es mi hijo,
entonces ya no quiero yo comprar la
cámara. Y empiezo y las y las mamás se
empiezan a preocupar y empiezan a decir,
"Bueno, ya, ¿cuáles son las medidas de
seguridad? qué está pasando en el mundo
y ya empezamos a competir en otro
ámbito. Ya no solo es quién me ofrece un
buen producto, sino es quién me ofrece
un buen producto que me proteja. Y desde
esa perspectiva eh empezamos a ver que
ya no es un tema de cumplimiento,
empezamos a ver que ya no es un tema
solo de ética, es un tema de que la
ética nos va a ayudar a ser muchísimo
más competitivos en esta nueva economía
de datos en donde los productos tienen
que adaptarse ya no a una norma, porque
además las normas son insuficientes
porque son en territorios y las empresas
ya trascienden mucho más, sino que es un
tema de la sostenibilidad y la
reputación.
Totalmente de acuerdo, ¿no? Eh, es que
la visión es esa y solo puede ser esa,
porque si sin esa visión eh ética yo
creo que perdemos la la oportunidad de
hacer buenos negocios. Siempre digo que
estamos en modelo de economía de datos
donde eh evidentemente las empresas son
digitales, los clientes son digitales y
el hilo que une a esas empresas
digitales con el cliente digital es muy
finito, muy finito, muy finito. Se llama
confianza digital.
Entonces, se nos rompe la confianza
digital cuando nosotros no respetamos a
la a la contraparte. Y luego la la otra
gran lección que lo comentó Daniela,
creo que es clarísimo, ¿no? Cuando las
cosas se hacen bien, hay que aprender a
contarlas porque lo que no se cuenta no
se sabe. Entonces, cuando nosotros
estamos construyendo y estamos
trabajando en una gestión e sobre los
datos personales, o sea, sobre el uso
ético de datos y nuestra competencia no
lo está haciendo, nosotros tenemos que
sentirnos felices porque estamos
haciendo las cosas bien, estamos
trabajando mucho mejor que la
competencia. Pero hay que contarlo. Hay
que contar que ese producto que es que
que que una mamá va o o los papás van a
comprar para monitorear a al hijo, al
bebé que está en cuna, tiene medidas de
ciberseguridad y y tránsito cifrado de
datos. Pero si lo compras en Alibaba,
por poner lo compras en y compras el
baratito más barato que hay,
aprovechando hoy que Black Freed, que
sepas que estás metiendo al enemigo en
casa, que probablemente algunos
pederastas y algunos clubes de
pederastas pueden estar alimentando su
mentes nocivas eh a base de esta
intercepción de esta información. Y esto
creo que es lo que lo que es el mensaje
que hay que aprender a comunicar. Y por
eso el profesional del GRST tiene esta
visión holística, ¿no?, de entender
esto, ¿no?, de entender cómo podemos
ayudar a las organizaciones a realizar
sus o modelos de negocio, ¿vale? Pero
una forma ética. Hay una frase
magistrada en el despacho de Davara y
Davara que fundó don Miguel Ángel Davara
en España y que empilotan sus hijas
Elena y Laura que eh don Miguel Ángel
siempre la cuenta de manera maravillosa
que dice, "En este despacho tengo una
frase que decimos, nosotros nunca
decimos que eso no se puede hacer."
Siempre decimos, entra, cuéntanos y
nosotros te vamos a ayudar a que las
cosas se puedan hacer. Pero, ¿cómo? De
una forma ética y legal. ¿Vale? Este es
un poco el papel nuestro, ¿no? Vamos a
tenemos que escuchar, pero también
nuestro cliente tiene que entender que
efectivamente nuestro público tiene unas
necesidades y unas expectativas,
¿vale? Y esas expectativas se tienen que
satisfacer por ambas partes, ¿no? Me voy
a saltar la siguiente pregunta porque eh
un poco lo de lo del traductor entre lo
jurídico, lo técnico y los negocios, yo
creo que es un poco lo que hemos ido
comentando, ¿no? Yo sencillamente quería
comentar un detalle sobre esta sobre
esta pregunta cinco que tenía un poco
planteada para entrar el siguiente
bloque y sobre todo en esta gira que he
hecho por Ecuador y Chile, donde me he
encontrado fundamentalmente donde no sé
yo, por lo menos un poco la percepción
que tengo eh donde me he sentido mucho
más entendido es entre compañeros de
perfiles híbridos y donde me he
encontrado mayores mayor problemas es
especialmente con eh compañeros solo con
de perfil jurídico o solo de perfil eh
tecnológico. decir, creo que tenemos un
problema y lo comentaba Marcelo, tenemos
que acercar a estas líneas, lo comentaba
también, tenemos que acercar a estas
líneas. Eh, hay organizaciones que están
tomando decisiones porque las áreas
legales le están diciendo que se puede
ir hacia delante, porque están leyendo
el texto, pero no entienden cómo cómo se
configuran esa triada que es tecnología
por ser su persona. No entiende cómo
cómo se configura ahí y cómo cómo emerge
el riesgo en esa triangulación. Y
nosotros tenemos el papel de decir,
"Bueno, eh, cuidado, eh, ese control,
esa cláusula legal que quieres aplicar
aquí no sirve absolutamente nada. es un
apósito cuando lo que necesita es un
neurocirujano. Es decir, esta es un poco
la visión y a ver si hay que decir las
cosas con con la crudeza, eh, y sobre
todo hablando un poco de los números,
¿no? Eh eh cumplir. Eh, cuando la gente
te pide cumplir, lo que está pidiendo es
no quiero que me sancione. Pero el
riesgo de sanción, siempre digo que es
eh económicamente la menor de la
preocupación que tiene que tener una
organización. el costo reputacional es
muchísimo mayor, el la pérdida de
oportunidad, la lo que es el el costo
beneficio, la pérdida de oportunidad.
Hay que tener en cuenta que en la
tercerización, ahora mismo e en la
subcontratación eh sobre todo en Europa,
se nos está pidiendo poder entregar para
postular
expedientes nítidos, limpios
de apertura de procedimiento informativo
sancionadores.
Se nos está pidiendo informes de
porcentaje, por ejemplo, de ejercicio de
derecho que se nos están llegando y
capacidad de respuesta a esos ejercicios
de derecho. Sí, al final se nos está
poniendo en evidencia lo que tenemos que
ser, ¿no? Voy al tercer bloque, que creo
que es un poco la la chicha, un poco lo
más divertido de lo que vamos a
encontrar hoy, ¿no? Que son cuáles son
los desafíos reales. Vamos a hablar a
nuestros compañeros de que están junto
con nosotros de la realidad de nuestro
trabajo. ¿Vale? Entonces, en la pregunta
seis es, ¿cuál es el mayor obstáculo que
nos encontramos de verdad, no? Eh, a la
hora de proteger lo los derechos
digitales en el día a día. Esto es ya lo
no es marco teórico, esto es nuestro
sufrimiento, nuestros callos, ¿no? En en
las manos, ¿no? A ver, Patricia, que has
abierto micro.
Sí, yo diría que la falta de
concienciación o la falta de la cultura,
¿no? En el caso de la privacidad, falta
de cultura de la privacidad, en el caso
de de otros ámbitos, siempre va a ser la
falta de cultura o o de de cada ámbito
dentro de una organización. En este caso
hablamos de privacidad y hay muchísima y
yo creo que ese sería uno de los mayores
desafíos y frenos porque si las personas
que hacen forman parte de ese sistema,
¿no?, de esa arquitectura de privacidad
que nosotros eh estamos intentando
alinearnos día a día, enseñarles y no es
suficiente.
Pues si hay poca cultura, por mucho que
les entendemos enseñar, porque no vean
la importancia de ese dato que están
tratando en cada una de las de las fases
o los procesos de negocio, como como
queramos llamarlo, en cada área de de
negocio o cada área de cada empresa,
eh si no hay ese mínimo de cultura, eh
todo lo que le digamos pues no va a
significar nada y no va no no vamos a
poder realmente crear una arquitectura
de cumplimiento normativo, ¿no?
Entonces, yo creo que es eso. Eh, y yo
recuerdo mucho eh, cuando yo empezaba
con las primeras auditorías,
recuerdo mucho pues el miedo, ¿no?, que
tú generas o que cuando tú, yo creo que
entras en una empresa que la gente sabe
que vas a auditarles o que vas a hacer
una toma de datos o lo que fuera, la
primera impresión siempre les asusta. Y
con el paso de los años, yo creo que ya
eh generamos esa esa parte de
comunicación, como decía Daniel, que
somos traductores y creo que tenemos el
desafío nuestro es saber comunicarnos y
como dice Gabriel, si somos abogados
tenemos que salirnos de la parte de la
parte de arg tecnológico jurídico o
técnico jurídico como le queramos
llamar, porque no quieren ver gente que
les asuste con tenismos que no
entienden, sino quieren saber ver
realmente
qué es lo que significa todo lo que les
estamos enseñando, ¿no? Entonces creo
que es un gran desafío por una parte la
falta de concienciación,
pero para nosotros el gran desafío es
saber comunicarlo de forma correcta con
las palabras más sencillas, como decía
Gabriel, porque si no no se van a no nos
van a entender y no queremos generar más
tensión, sino que todos seamos una piña
finalmente y vayamos en el mismo en el
en un solo camino, que es proteger ese
dato.
Yo me voy a quedar con una idea. Yo lo
voy a traducir al sistema de ejeción,
Patricia. Eso es cláusula cuatro, que es
contexto, la cultura. Eso impacta la
cláusula 5C de liderazgo porque tiene
que ver con la parte de formación,
¿vale? Y luego en en la cláusula ocho
cuando hablamos del tema de competencia
y la parte de desarrollo, ¿vale? Decir,
eso es un poco la la interacción. Estoy
traduciendo sistema de gestión, ¿vale?
Para los compañeros, ¿vale? Dani, el que
tiene el micro abierto.
Pues yo te yo dificultades voy a
plantear dos que además me la encuentro
muchísimo en el día a día, trabajando en
el día a día. La primera es la
velocidad.
Eh, hay prisa y con las nuevas
tecnologías y toda. Yo no hay día que no
que no me vaya a una reunión y me plante
una nueva inteligencia artificial, un
navegador con agente, un y claro, ¿no?
En muchos casos para para el trabajo
real de GRC necesitas reflexión,
necesitas hacer preguntas, necesitas
analizar, necesitas contexto y no
quieren contexto en muchas
organizaciones, quieren ya, ya, porque
esto se tiene que presentar el viernes y
yo necesito o o un análisis de riesgo,
una evaluación de impacto o ya, ¿qué
ocurre? Pues una grandísima dificultad,
aparte de que te quita mucho el sueño
como es normal, porque en muchas en
muchos casos no no puedes realizarlo,
eh, porque ni siquiera la persona que te
está planteando esa nueva tecnología,
ese nuevo uso, conoce en profundidad lo
que te está planteando, solo que es
rápido, lo acaba de descubrir, le gusta
mucho y lo quiere implementar. Esa es
una de las mayores dificultades que veo
y con el que me encuentro día sí, día
no. Y el segundo, hablando también de
tecnología, es eh conocer en profundidad
qué se está implementando, dónde está el
dato, quién lo maneja. Hay una cadena y
lo estaréis viviendo todos y sobre todo
especialmente con inteligencia
artificial, una cadena de subencargados
del tratamiento,
de dónde está el dato real. Yo hay veces
que me pongo a preguntar y estoy
hablando con especialistas en la materia
muy potentes, que ellos mismos les
cuesta traducir dónde está acabando el
dato. Eh, te dicen, "No, está en nuestro
tenan, está aquí Unión Europea, ¿no? Los
que estamos en Europa, Unión Europea,
sí, sí, muy bien, pero ¿quién lo está
manejando? ¿Quién está detrás? No, es
Microsoft 365. Sí, sí, estupendo, pero
¿quién está detrás de Dame el listado de
los subcargados? Y es una dificultad
porque estamos a lo mejor en una sala 10
personas, cada uno con un gran
conocimiento en su materia y en muchos
casos no podemos llegar bien a la
conclusión porque se une también esa
prisa, no hay tiempo para analizar, para
preguntar, para pedir documentación. Si
yo le digo a una corporación, mire
usted, la evaluación de impacto la voy a
tener dentro de dos meses, eh bueno,
salgo de allí escopetado. Entonces, esas
dos dificultades, yo creo que os la
estáis encontrando muchos y para eso
también lo que tenemos es sobre todo que
que tener buenos buenas estrategias,
buenos contactos, eh una velocidad de
crucero importante y y no parar de
formarte porque como te yo siempre
pienso que si te das de baja dos días ha
salido del juego práctica prácticamente,
¿no? Entonces, esa velocidad y esa esa
dificultad en en profundizar en
tecnología,
creo que lo has comentado laente con de
forma magistral, ¿no? Yo creo que el
fast food nos está matando. Eh, las
empresas en movimientos estratégicos
operacionales se suelen tomar su tiempo
y sin embargo, sin embargo, cuando el
producto a consumir es la tecnología, lo
quieren ayer. Es decir, esto es una cosa
que es es asombroso. Por eso me gusta
hablar de modelos de negocio y me gusta
hablar a negocios con con lenguaje
gerencial y lenguaje económico, ¿no? Es
decir, si tú quieres eh introducirte en
un en un mercado internacional, ¿no? Te
quieres yo que estoy en Canarias, te
quieres ir a África, ¿no? Nuevamente el
proceso de de externalización o de
internacionalización
de de una entidad
se ocupa meses meses de trabajo, meses
de de investigación de mercado, o sea,
lleva muchísimo tiempo. Necesitas
conocer, necesitas viajar, necesitas
contextualizar, necesitas eh eh buscar
alineamiento. muchas veces tienes que
información de inteligencia
internacional para ver cómo están esos
mercados eh eh definidos y y operar,
¿no? Eh, y sin embargo eh cuando
hablamos de tecnología eh lo queremos
ayer, ¿no? pensamos que no son temas
estratégicos y los tratamos
sencillamente con, yo creo, con una
falta de respeto muy grande y entonces
nos quieren pues nada que cocinemos una
eh un buen cocido a la velocidad de una
hamburguesa y no puede ser,
no puede ser,
no puede ser,
no puede ser. A ver, Daniela.
Bueno, yo eh comparto plenamente todo lo
que han dicho. Realmente creo que como
para poder como sumar en esta parte sí
es importante entender que una de las
principales eh
debilidades que tenemos es poder
gestionar un concepto que es privacy by
design, porque
eh hay que cambiar un poco el enfoque en
el que toda la parte de dato, seguridad,
todo esto si lo dejamos al final se hace
mucho más costoso y sí se vuelve un
stopper porque yo ya invertí, ya
gestioné ya creé una plataforma, ya le
puse datos a la inteligencia artificial,
ya hice todo y llega alguien que me
dice, "Ah, mira, no miraste este
requisito, no hiciste tal cosa, tal." Y
entonces sí, sí, para el negocio puede
ser como todo esto como impactante
porque ya hubo a veces una eh gestión de
recursos bastante fuerte, bastante
amplia. Entonces empiezas a ver a esto
como un tema de eh la persona mala que
me dice que no tengo que hacer. cuando
en realidad si nosotros empezamos a
hacer esto por diseño, ya sea
privacidad, seguridad, el cumplimiento,
la regulación, etcétera, todo desde el
diseño, pues me evito el hacer gastos
innecesarios de alguna manera que pueden
impactar en la inversión que estoy
haciendo. Y esto van a hacer desde una
parte importantísima que es la
influencia, ¿no? Porque tenemos que
pasar de ser el policía malo a ser un
socio estratégico que pueda influir
también en la decisión, porque realmente
e creo que también vemos a los
profesionales GC como profesionales
operativos, profesionales que no están
vinculados a la decisión o al negocio, a
la forma en la que vamos a invertir,
cuando realmente tenemos que tener a los
geres al lado para decir, "Mira, ¿me
conviene o no me conviene?"
Voy a dar un ejemplo. Tenemos en el
Ecuador, sobre todo, tenemos muchas
plataformas que se encargan de vendernos
la idea de verificar datos a través de
fuentes accesibles al público o de
registros públicos y te dicen, "No, es
que es información pública y y tienen un
montón de plataformas que uno dice, es
atractivo porque si quiero hacer
cobranza, hay encuentro en la dirección
de la persona. Si quiero verificar
antecedentes laborales, hay encuentros
los antecedentes penales.
Y uno le diría a su cliente o a la
organización le dice, "¿Sabes que no?
Esta esta plataforma que te están dando
es ilegítima, te puede llevar a cometer
delitos, no solo por tema de protección
de datos personales, te puede llevar una
multa, sino que hay como cosas
involucradas un poquito más fuertes que
de alguna manera no te hacen tan
rentable invertir en este tipo de
licencias, pero hay muchas empresas que
ya lo compraron y que luego te dicen,
solo hágame el DPA. Es como o sea,
realmente no no no empezamos a ver esto
como que si me involucras desde el
inicio, te puedo decir cuáles son los
riesgos y de alguna manera decirte o no
la contrates, busquemos a alguien que
nos dé el valor añadido, que venga con
data eh legítima, que no tenga este este
inconveniente de alguna manera y lo
invertimos bien y optamos por un buen
proveedor, pero no. La idea es que yo te
veo como un operativo que me va a hacer
un contrato netamente jurídico, que
además pensamos que el abogado no sabe
nada de de de temas digitales, que va a
saber de una plataforma, de cómo se
origina una una la información,
etcétera. Entonces, la verdad es que
lejos de eh hacerle un bien a la
organización, ellos piensan que nosotros
vamos a hacer este stopper realmente
cuando lo que buscamos es cambiar y
decirle, "Mira, una persona GC es
multidisciplinaria, tiene muchas
habilidades, es tu socio estratégico y
tiene que estar desde que concibes tu
negocio, no solo desde que concibes la
tecnología, sino desde que concibes cómo
quieres actuar, cómo quieres participar,
cómo qué quieres contratar, en qué
quieres es invertir. ¿Para qué? Para que
de esa manera tú no tengas un doble
gasto, seas mucho más eficiente y no
solo te enfoques en el cumplimiento,
sino que también protejas tu reputación.
Efectivamente,
¿no? Yo creo que tenemos ahí un trabajo
importantísimo. El provision design es
la la clave, entender efectivamente que
cuando se aplica correctamente el
artículo 25 europeo, el 39 ecuatoriano y
el 14 quáter de chileno, eh ahorramos
muchísimo dinero a las organizaciones.
Pero para que esto funcione eh tenemos
que funcionar como un reloj suizo. Es
decir, no vale que tengamos una pieza
maravillosa
dentro de del ecosistema. si la pieza
está inconexa con el resto del
ecosistema. E recuerdo estando en
Ecuador, en una de las eh formaciones
internas que tuve oportunidad de
impartir en a una entidad financiera
eh
que comenté
que cada vez que en nuestras áreas
consideramos que esto era nuestro y que
no tenemos que compartir ese
conocimiento con ninguna otra área,
quien estaba pagando el plato era el
banco, quien sufría era el banco, quien
eh iba a pagar el precio alto era el
banco y que efectivamente
la víctima va a ser los clientes, ¿no? E
es curioso porque fueron 90 minutos de
de conversación y durante esos 90
minutos eh empezó a haber un bombardeo
de llamadas de WhatsApp, en este caso de
mensajes de WhatsApp a la oficial de
protección de datos diciendo, "Hemos
entendido el mensaje. A partir de este
minuto eh nada de compartimiento
estanco. A partir de este minuto tiene
que haber permeabilidad en todas las
áreas, ¿no? Y esto creo que es el
mensaje importante, ¿no? Porque al final
cada área es recibe una encomienda, unas
unas autorizaciones para realizar unas
tareas y creen que son los dueños de esa
tarea y y se y y operan de una forma eh
no conectada con el resto del
ecosistema. Y eso es un gravísimo error.
Tenemos que enseñar y el oficial o en
este caso los profesionales del GRC eh
tenemos que ser como lubricante aquí,
¿no? El aceite que pone pone a funcionar
a a todos y y a cada uno de los que
estamos aquí delante, ¿no? Vale. Hay un
otra otra pregunta hablando un poco de
la velocidad. E el tiempo corre que
vuela, porque los que estamos aquí no
gusta hablar a mí el primero, ¿vale? Así
que me salto la pregunta siete porque de
velocidad ya hemos hablado. Vamos a la
pregunta ocho. Eh, hablando de que
muchos perfiles GRCEN sienten que ven el
riesgo, pero no tenemos tiempo
suficiente para cambiar las decisiones.
Un poco lo que ya comentó también
Daniel, ¿no? Comentado también Daniela,
¿no? Es decir, ya nos encontramos ya con
las decisiones eh tomadas, ¿no? Esto me
pasó a mí ayer, me manda oye que sepa
para que de alta a este encargado de
tratamiento e de esta aplicación que
hemos comprado y he dicho, pero qué hab
dicho, ¿qué?
que ha dicho, "¿Qué?
¿Para qué?" No tenemos idea para qué
esto va a utilizar de cómo
esto pasa. Sí, pasa y pasa en empresas
que ya organizaciones con las que uno ya
lleva tiempo trabajando y supuestamente
la cultura la tienen ya dentro y después
primero alguien se relaja y y y bueno,
ya te encuentras con una inversión hecha
y ahora, ¿cómo le dices tú a dirección
que tienen que eh retirar esa partida,
ese ese compromiso económico con ese
proveedor hasta que se haga la
evaluación completa de de del tema?
Entonces, eh nos encontramos aquí, ¿no?,
ante esa incapacidad muchas veces para
tomar decisiones. Entonces, la pregunta
es, compartimos eso de que muchas veces
llegamos demasiado tarde, ¿no? Y y si
llegamos tarde, la pregunta es, ¿estamos
dejando fuera a las personas cada vez
que llegamos tarde. Yo creo que el
mensaje lo tenemos claro, pero es un
poco por por matizarlo más todavía, ¿no?
A ver, Daniel.
Sí, sí que sí que que por desgracia se
llega tarde. veces se llega porque
precisamente por lo que comentáis eh
no ha saltado la chispa en el momento y
no se han acordado de de tener esa toma
de decisión adecuada y analizada y llega
a veces llega tarde, pero evidentemente
sí el que pierde, claro, siempre va a
ser el usuario final y ahí está nuestra
responsabilidad y llegar tarde no
significa
pecar de inacción y he llegado tarde,
que le vamos a hacer, tire usted para
adelante con el producto. Hay que
levantar la mano, hay que insistir, hay
que poner todas las salvaguardas
posibles e intentar parar ese tren, ¿no?
Ese tren que se te ha descarrilado
porque porque estás llegando tarde,
porque evidentemente el usuario es el
que pierde y pierde mucho. Eso es lo que
que tener. Yo por lo menos lo que
siempre tengo en cuenta que no como y
además la habéis dicho al principio,
creo que lo has dicho, Leocardio y esa
eso me encanta que detrás de cada dato
hay una persona y es que es así tal que
cuando tenemos eso en mente y te
acuerdas pues tienes que intentar paliar
el problema que se ha generado por
llegar por llegar tarde y nunca hasta
además llegar a por ejemplo un comité de
dirección y recordar que se ha llegado
tarde. Y es un también un síntoma de
madurez en un comité de dirección, en
una alta dirección, en eso, en esas
reuniones que se hacen algunos las hacen
semanales, mensuales, trimestrales,
sacar esas deficiencias. Si aquí se
llegó tarde, se actuó mal, hubo hubo un
problema grande y hubo una afectación.
Yo yo creo que eso también es un
ejercicio de madurez eh en una
organización el reconocer que se ha
llegado tarde y a lo mejor no te han
sancionado, a lo mejor te has librado,
pero pero no no es el no es el objetivo
y desde luego no debe de quedar o de o
de pasarse por alto.
Sí, sí. Eh, yo yo iría un poco más
lejos, Daniel. Hay que documentar la
inacción, hay que documentar, hay que
dejar el registro de que efectivamente
no no se ha actuado porque eh nuevamente
en esas organizaciones en las que
nosotros estamos trabajando ya tenemos
procedimiento y tenemos política.
Entonces hay un incumplimiento contra la
propia política.
Totalmente.
Y luego en nuestros en nuestros informes
y nuestras memorias vamos a tener que
que levantarlo. Entonces eh yo sé que
eso al final no va a gustar, pero eh en
realidad sí que tiene que gustar. Es
decir, para eso nos están pagando
y para eso estamos ahí en esa en esas
funciones, ¿no?
Sí, eso es que no gusta llegar a un es
un comité con el semaforito que solemos
utilizar mucho. Yo creo que lo
utilizaréis también, Noel, y llegar con
muchos puntitos rojos de o semaforitos
en rojo de de errores cometidos o
procesos no cumplidos. Pero es que al
final de ahí tiene que salir un plan de
acción y de ahí tenemos que volver a a
revisar todo, ¿no? Efectivamente, un
síntoma de madurez
mejora continua, ¿no? Mejora continua,
¿no? Patricia, querías comentar que te
di ahí con con el dedito arriba.
No, es que estoy totalmente de acuerdo
con lo que han dicho y además yo aquí
pongo quizás
eh también otro ejemplo y es que muchas
veces se producen eh brechas de
seguridad de datos que no nos dejan
notificar
y se toma la decisión de la alta
dirección de que no se diga nada. Y
entonces es lo que tú dices, lo segundo,
que tenemos que levantar pues un informe
de por qué no se dijo, por qué no se
hizo, por si llega pues a pasar que
finalmente
la autoridad de control se entere por
alguna parte, ¿no? Porque algún dato se
se
y que darte y guardarte la prueba y
enviarlo, reportarlo por correo,
guardarte la prueba. Yo lo he llegado a
enviar por incluso por conocer
plataformas de ese tipo hasta por el
garante
dejando constancia que mi parte está
hecha.
Yo he dicho que notifiquen.
Claro,
es que si podemos hablar luego de una
responsabilidad civil por detrás en un
momento determinado, pues nosotros
ocupamos roles eh funcionales dentro de
una organización con un marco de
competencia eh endefinido y alguien
podía decir, "No, pues mira, eh tú eras
el bombero, tú eras el guardia, tú eras
el responsable de saltar las las alarmas
y no lo hiciste, ¿no?" y uno se queda
con la cara de tonto porque uno se lo
hizo. Pero claro,
y esto por siempre la visión de tercera
línea de auditor que siempre tengo,
documenta, documenta, documenta. Lo que
no está documentado no existe. O sea,
genera evidencias, genera evidencias,
¿no? Patricia, ¿no? Porque es un poco la
la la idea, ¿no?
Claro. No, no, yo como siempre yo, a
ver, yo eh yo creo que Daniel, creo que
todos los que estamos aquí, incluso
Gabriel ha dicho una cosa importante y
es que todos los que estamos aquí
tenemos que concienciar, ¿no?, En las
redes sociales estamos todos y creo que
uno de los de, a ver, yo ya hasta
conciencio en forma de risa, pero es que
yo me llevo muchos infartos, muchas
veces microinfartos,
sudores, por todas estas cosas que nos
pasan, porque es que de verdad nos
ponemos mucho en riesgo la
responsabilidad civil luego nos nos
puede, o sea, caer encima y es eh es
difícil, o sea, nuestra nuestra postura
como delegados de protección de datos es
eh, o sea, no sé, es una responsabilidad
muy grande y tenemos que documentar
todo.
Eso es, ¿no? Daniela.
Bueno, y en el Ecuador, les cuento un
poco, en el Ecuador este tema tiene
además de responsabilidad civil, tiene
responsabilidad penal. Entonces, de
hecho, para para nuestro territorio,
pues se hace mucho más importante
gestionar esto desde este enfoque en el
que, mira, nadie te exige ser perfecto.
Creo que eso es algo que que también
tenemos que considerar, o sea, cuando
hablamos de protección de datos
personales, cuando hablamos de temas de
seguridad, cuando hablamos de temas
relacionados a cumplimiento, sabemos que
los riesgos existen y que esos riesgos
lo único que lo vamos a poder hacer es
mitigar y que frente a esas
mitigaciones, lo que yo tengo que
mostrar en caso de que algo se
materialice es que yo hice lo que mejor
estaba y lo que en mis manos estaba,
porque hay cosas que se salen un poco de
las manos de la organización, ¿no? Y que
de alguna manera perfectos no somos,
pero que sí hacemos lo mejor que está
dentro del estado de la técnica y dentro
de lo que existe en el mundo, ¿no?
Entonces, el día de mañana frente a
esto, el negarnos a que mira, nos pasó,
tuvimos una vulneración de seguridad y
decir, "No voy a notificar", significa
que yo estoy pretendiendo ser perfecto
cuando no lo soy. cuando puede pasar que
aún cuando yo tenga lo mejor y haya
invertido un montón, pues es vulnerable.
Entonces, de alguna manera, e es mejor
documentarlo, es mejor ser transparente,
decirlo, en nuestro caso, notificarlo
para que para decir, "Mira, yo tengo
buena fe, yo hice lo mejor posible, está
dentro de todas mis capacidades de hacer
lo mejor posible que estuvo al alcance
de mi economía, de mis recursos, de la
técnica, de los profesionales, pero
nadie es perfecto. O sea, realmente lo
que no buscamos dentro de todo este
esquema y creo que ningún ninguna
legislación busca es la perfección. Lo
que se busca es justamente la
proactividad, justamente la la la
protección de la dignidad de la persona
y en caso de que algo malo pase saber
que cuento con la misma organización
para poder tomar también aquellas
medidas que me van a ayudar a mitigar
este impacto, ¿no? Si el día de mañana
tienes una filtración que me digas,
"¿Sabes qué? como banco, cambia tu
contraseña
de forma oportuna para que para que tu
dinero no se vea de alguna manera
comprometido, ¿no es cierto? No busco
una organización que tape y que de
alguna manera haga todo esto a
escondidas, sino que más bien me haga
parte de porque también es mi
información, ¿no? Veíamos al inicio y la
cultura es esencial, también es mi dato
y y de alguna manera no es tu culpa, no
es culpa de nadie, la verdad. Realmente
lo que buscamos es que todos estemos
involucrados y seamos transparentes para
generar confianza.
Eso es. Eh, hay hay un detalle, yo creo
que es eh eh importante. Voy a a
saltarme también la pregunta nueva, lo
voy a comentar brevemente para para
entrar al otro lado porque estamos
arrastrando un poco el tema. Eh, yo creo
que estamos eh conscientes todos de que
cuando nos referimos al profesional de
GRC hablamos de un profesional híbrido
con formación transversal, ¿vale? Eh, no
monolítica. Y y creo que eh nos estamos
encontrando, yo me estoy encontrando eh
un enfoque creo que bastante
eh erráticos en algunas propuestas
formativas, ¿no? E y algunas propuestas
profesionales donde se centra mucho en
la vertical de del conocimiento cuando
estamos en un entorno completamente
híbrido, ¿no? Eh, siempre lo digo y o
sea, si el DPO, por poner la figura del
DPO o del DPD, ¿no? Eh, es una figura de
GRC. es una figura que tiene que saber
de riesgo porque tiene que evaluar
riesgo, tiene que saber de evaluación,
impacto porque tiene que saber cuándo se
tiene que realizar, si se tiene que ser
interna o externa y además tiene que
hacer un contrainforme de la propia
evaluación, tiene que saber de auditoría
porque va a supervisar el programa de
auditoría y va a tener que emitir
informes sobre el propio informe de
auditoría. O sea, cuando nosotros
estamos entramos en la cláusula nueve
del sistema de gestión y se habla de la
fase check, ¿no? Cuando habla de la
revisión por parte de la dirección, oja
la ahí no va solo a la revisión por
parte de la dirección, va al informe de
la auditoría, va al informe del oficial
de protección de datos y va va los
informes de las áreas que tienen algo
que aportar sobre el propio informe de
auditoría, con lo cual aquí eh hablamos
de de una necesidad de de un
conocimiento muy transversal. Y yo creo
que es aquí un poco la la idea de
formarnos un poco en las en las tres
líneas para poder desempeñar
correctamente esa función. Por eso,
entrando en el último bloque que habla
un poco de competencia, ¿no? Eh,
competencia en en el sentido de ser
competentes, ¿no? O sea, en el sentido
de de tener las capacidades eh no
solamente los conocimientos, sino la las
habilidades, ¿no? Antes creo que se
comentó bastante bien ese detalle eh al
poner énfasis en las habilidades
blandas, eh que esto es una de las
grandes cuestiones, ¿no? comentaba en en
Cuenca, eh en la Universidad Católica de
Cuenca me preguntaron eh sobre esta
misma pregunta sobre competencias sobre
oficial de primiatur en el caso de
Ecuador. Le he dicho, hombre legalmente,
dice la norma, si eres licenciado en
informática o abogado, puede serlo, eh,
si superas el curso de 80 horas, ¿vale?
Entonces, legalmente eres DPD, sí. Eh,
del punto de vista profesional lo eres,
¿no? El mercado te va a colocar en su
sitio, es decir, porque no tienes las
competencias. Uno tiene la habilitación
legal, pero no tiene las competencias.
Las competencias es otro tema mayúsculo,
distinto. Y por eso la pregunta esta
tiene mucho sentido. Si pensamos en el
profesional GRC que necesitamos para los
próximos 5 o 10 años, ¿qué competencias
nos faltan hoy? Más derecho tecnológico,
más tecnología, más negocio, más
influencia, más habilidades. Es decir,
¿dónde pondríamos un poco el el el
énfasis? Esto va, esto va irá por
colores, supongo. Vale, por gusto. A
ver, por dónde lo pondríamos, porque la
cosa se está complicando muchísimo.
Venga, empiezo yo. Yo el el precisamente
yo esto le he dado muchas vueltas porque
uno incluso cuando ejerce y ejerce a
diario, hm, pues rara es la ocasión en
el que no piensas qué curso voy a hacer
el mes que viene o en qué me meto a
partir de enero. Cuando acabas uno,
piensas en el siguiente, porque como he
comentado antes, no se puede parar. Hoy
en día no se puede parar. Y si uno
piensa que que sabe de un tema, pues que
se lo mire bien, porque aquí rara rara
es la ocasión en la que no aprende. Eh,
aquí por eso hay que hacer mucha
introspección y ver qué te qué pieza te
falta. Esto es un puzzle. ¿Qué pieza te
falta? Si tienes o tienes una eres un
profesional que vienes más del mundo
jurídico y esa parte pues hilas muy
bien, pues te va a lo mejor faltar más
competencias digitales o quizás más
nuevas tecnologías y te tengas que
apoyar en ello. O al revés, si tienes un
perfil más más tecnológico, pues te
viene bien acercarte a al mundo de del
derecho desde un punto de vista cercano
y y comprender, por ejemplo, que es un
análisis de necesidad, de
proporcionalidad y entenderlo. Tienes
que ser un experto 100% en todas las
materias. Es imposible. Lo que tienes
que estar abierto al conocimiento. Esa
es la clave. Es muy difícil y todos
habréis estado en situaciones en las que
hablas con un homólogo
que que no le puedes explicar nada
porque ya lo sabe todo. Y eso es muy
complicado en cualquier negociación
porque al final eh las posturas pueden
cambiar, podemos tener otros puntos de
vista y para mí a día de hoy el
profesional del GRC tiene que ser lo más
completo que pueda y se pueda permitir.
Entonces la formación tiene que ser
constante, hay que apostar. Y y yo creo
que esto lo he puesto incluso hoy en
LinkedIn o ayer, que hoy un día eh estás
dando una clase como docente y la
siguiente la estás recibiendo y así hay
que entenderlo. O sea, eh lo más lo más
eh en este momento lo más ético y
estamos precisamente hablando de eso es
reconocer que estamos en en continua
formación o por lo menos yo así lo veo y
me me ha ido bien porque aprendo con
gente que sabe mucho y y me encanta. Esa
es un poco la idea, ¿no? Y y luego esos
conocimientos poderlos aplicar en mi día
a día.
Somos friky de del estudio, ¿verdad,
Dani?
Patricio,
sí, totalmente de acuerdo. Yo creo que
tenemos que ser muy humildes y y tener
mucho mucho eh yo creo que como
habilidad blanca blanda, perdón, blanda
la eh comunicación, como decía, porque
es que sin comunicación y sin humildad
yo creo que no llegamos a ninguna parte.
¿Por qué? Porque muchas veces creo que
el tiene que haber un cambio de
mentalidad, sobre todo en el paradigma
legal, porque la gente de legal, yo soy
yo soy abogada, licenciada en derecho,
doctorando en derecho y yo creo que me
salgo un poco de ese papel porque yo lo
veo, es decir, el profesional de
jurídico quiere tener su autoridad,
quiere tener su estatus y a través de
pues tecnicismos y cosas que en esta en
la parte de no podemos tener. Tenemos
que ser más humildes y más comunicativos
y romper la barrera de de la
tradicionalidad del derecho, digámoslo
así, ¿no? La parte legal tradicional,
porque si nos vamos a a poner a
conversar con el el compañero de Haití,
pues se aburre o no se entera de nada. Y
y creo que esa es la clave de nuestro
papel y de nosotros como profesionales.
Y qué bonito que te digan, Patricia, me
enterado de todo lo que me has dicho,
eh, eres la primera persona que que me
cuenta algo y que me puedo enterar de de
toda la parte jurídica y técnica. Y yo
creo que eso es hasta un un alago, ¿no?,
que que nos pueden dar como
profesionales. Yo me quedo con eso, con
ser más humildes y y tener mucha más
habilidad en la comunicación.
Desde luego, eh me gusta la que hayas
metido en la humildad porque eh
hace mucho que dije en una conferencia,
en una clausura de de un curso de de
ciberseguridad, de una maestría de
ciberseguridad de aquí en Canarias,
eh pregunté a los alumnos cuál cuáles o
quiénes se consideraban que eran buenos
o muy buenos y levantaron la mano todos,
todo menos tres que estaban en la
primera filia, ¿no? Eh, en justo en el
centro de esos tres había una alucía de
otro programa y ella con los codos había
dicho, "No levantéis la mano porque va a
venir un palo detrás, ¿no?"
Y la la elección es muy clara, o sea, en
todos los que se considera que son
buenos, muy buenos, el mercado los
coloca en su sitio. El mercado abre la
puerta a la gente que es humilde porque
es la gente que es transversal, es la
gente que que es flexible, es la gente
que que que aporta valor diferencial.
Acá yo creo que esto es un detalle
importante y por eso dije, "No os
preocupéis porque yo soy el primero que
me digo todos los días al espejo cuando
me estoy afeitando por la mañana, oye,
miguita, ¿qué te has creído que eres?",
No, es decir, eh hoy por la mañana
cuando uno se levanta eh cuando nos
levantemos mañana por la mañana el mundo
ha dado un giro completo. Eh lo que
sabíamos ayer ya no nos sirve. Entonces
tenemos que ser rebeldes contra el
ecosistemo. Tenemos que ir mucho más
allá contra los desafíos que tenemos por
delante, ¿no? Eh, ¿o no, Daniela?
Y sí, creo que hoy como que en la línea
porque de alguna manera la construcción
de un profesional en materia GRC eh nace
de como esta humildad, pero de esta
humildad que inspira, de esta humildad
que nos ayuda a promover una cultura y
no imponer reglas. Necesitamos aprender
a convencer, necesitamos aprender a
generar equipos, tener un liderazgo
ético que nos permita generar ventajas
competitivas, pero no desde la
perspectiva en la que de alguna manera
yo me creo más que los demás y no ser
justamente este puente que nos permite
adaptar y gestionar un cambio, gestionar
eh esta alta capacidad primero de
aprender rápido, de gestionar ciertas
incertidumbres que quedan en la
organización para las distintas áreas y
de alguna eh manera ayudar a la
organización a pivotear sin incurrir en
riesgos inaceptables, ¿no? O sea,
innovar, gestionar, cambiar, pero
siempre con una mentalidad estratégica
enfocada en lo ético. Y realmente eso es
lo complicado porque desde la
perspectiva los abogados tenemos un ego
muy grande y los ingenieros también. Y
es muy difícil gestionar esta
comunicación
en la cual todo se vuelve amigable, en
la cual e de alguna manera nos vemos a
todos como una herramienta que facilita
las gestiones y los procesos de del
otro. Y desde esa perspectiva, esta
visión es lo que se busca construir en
en profesionales de esta nueva
generación, porque somos profesionales
que nos adaptamos fácilmente al cambio,
que somos flexibles, pero que además no
solo sabemos de de lo que pasa aquí,
sino que tenemos que saber lo que pasa
en el mundo, porque lo que en Ecuador
pasa le influye lo que pasa en China y
lo que pasa en Madrid también pasa en
Ecuador. Y todo esto está moviéndose de
una manera tan veloz, tan rápida, que
muchas veces la la regulación es
insuficiente y nos volvemos esta
influencia, esta inspiración para hacer
lo correcto, porque probablemente lo que
está pasando allá algún día nos va a
pasar acá y nos tenemos que adelantar.
Eso es efectivamente, ¿no? La
flexibilidad y el modo escucha activo es
es parte de de nuestra esencia de que
quiere ser un un buen profesional del
GRC, ¿no? Eh, yo para concluir una eh
intentaría centrar un poco en la eh con
alguna idea maestra, ¿no? Eh y un
mensaje eh inspirador también para los
compañeros que también nos están
acompañando hoy acá, ¿no? Si pudiéramos
dar un consejo a quienes hoy están
trabajando en el mundo GRC o quieren
postularse para trabajar en el mundo del
GRC para no ser solo un mero gestor de
de complias, ¿no? Eh, sino garantes de
derecho. Eh, ¿cuál sería el consejo que
le daríamos a los compañeros?
Desde el corazón. Venga, arranco yo
también que eh me paso formo mucha gente
joven que está arrancando en en GRC
también y siempre les digo que tengan
sobre todo mucha mucha red de contacto,
que se dejen nutrir por otras personas y
que sean curiosos, que sean curiosos,
que no que que no se queden con con lo
que viene en un documento, con lo que le
han presentado por delante, con lo que
le han dicho que se va a hacer. Yo creo
que todos me me entendéis cuando digo
esto, ¿no? Cuando una qué propósito
tiene o qué van a hacer con esta
herramienta o qué van a hacer con estos
datos, que sea curioso que investigue,
al final acaba acabas descubriendo mucho
y te acaba y te acaba beneficiando a ti,
a la compañía y a todos los que te
rodean y tener una buena red de contacto
tanto dentro de una organización como
fuera, porque dentro vas a tener
confidentes, vas a tener personas que te
que te puedan nutrir, van a tener
personas que que palíen esos pequeños
pequeñas a lo mejor lagunas de de
conocimiento que puedas tener y fuera
también. Entonces, yo yo siempre apuesto
por ser curioso y y que sobre todo
tengan esa esa red de contactos y se
nutran mucho se nutran mucho de de
conocimiento de de que le rodee.
Yo yo voy a asociarlo a a una a una idea
porque la curiosidad es un un don que
tenemos los seres humanos cuando nacemos
y que en algún momento determinado
alguien decide encerrarla dentro de un
armario. Deberíamos nunca dejar de ser
bebés, eh, nunca de ser ese niño, esa
niña inocente que quería comerse el
mundo y quería aprender. Eh, yo creo que
ese es un poco el mensaje, ¿no, Daniel?
Totalmente.
Eh, Daniela, un consejo para quienes
quieran iniciar ya acá.
Bueno, yo creo que lo primero es cambiar
el enfoque de la regla al principio de
la multa al impacto humano, que seamos
guardianes éticos de la organización y
no los policías de las reglas.
Prioricemos la cultura sobre la
economía, sobre los procesos. entendamos
y empecemos a cuestionarnos el porqué de
las regulaciones. No veamos a la
regulación como una norma más que hay
que cumplir. Veamos a la regulación como
eh el nacimiento de una mejora continua.
Seamos asesores, no oponentes. Y la
verdad es que esto radica en un resumen
de una palabra y es construcción.
construcción de entornos eh sanos,
seguros y que de alguna manera eh tengan
un valor diferenciador.
Muy bien, muchas gracias, Daniela
Patricia, tu tu alegato final.
Bueno, yo les diría que
este esta profesión es apasionante. Si
realmente les gusta tener esa
curiosidad, como dice Daniel y como dice
Daniela, eh que que seamos eh
forjadores, ¿no? De de no ser policías,
sino de ayudar. Yo creo que que va por
ahí que realmente demos demos nuestro
mejor hacer y ayudemos porque hay muchas
empresas allá afuera que nos necesitan y
además aquí yo siempre le digo a mis
alumnos, tenemos que ser más cada vez
más y ser una red de guerreros digitales
porque el ecosistema, al menos español y
yo creo que ya mundial es de casi casi,
yo diría de pymes. Entonces, a las
pequeñas empresas, a los emprendedores,
¿quién les está asistiendo a día de hoy?
Entonces, hacemos falta, hacemos mucha
falta, hacemos falta muchos más para
poder ayudar a todos esos negocios
digitales que hay y que se van a
configurar dentro de los próximos años,
porque van a haber muchísimos negocios
digitales con toda la tecnología que
estamos viendo de inteligencia
artificial, eh, y y etcétera, blockchain
y ya no digo más.
hacemos falta y de verdad pongámonos
como como quizás e como impulso a seguir
es que estamos ayudando estamos ayudando
proyectos digitales, propósitos de
personas y eso es lo más maravilloso que
podemos hacer desde nuestro desde
nuestra visión y nuestro conocimiento.
Eso es lo que yo diría. Ya está.
Eso es. Muchísimas gracias. No, yo eh
como dije en Valparaíso e y cuando me
preguntan a qué me dedico, cada vez lo
tengo más claro, ¿no? Me dedico a
proteger personas desde el punto de
vista de la ciberseguridad, del punto de
vista de la protección de AT. Es creo
que es el trabajo más bonito en el que
podemos participar todos y y cada uno,
¿no? Yo antes de de concluir que quería
dar oportunidades si alguien quiere
levantar la mano, quiere comentar.
Gabriel ante ha aprovechado su su turno.
Yo supongo que querrá también su alegato
final eh antes de concluir, ¿no? Pero eh
no sé si alguien más querría eh levantar
la mano o preguntar o abrir micro y
hacer algún alguna pregunta o a alguno
de los compañeros que están en sala.
No, nadie se anima.
Bueno, eh, Gabriel, que tienes, acabas
de abrir tu micro y te dejamos tu tus
dos minutitos de alegato, compañero.
Tiene micro abierto.
Vine hoy más.
Si me escuchan.
Sí, sí, ahora sí me escucho.
Aló. Aló, ¿me oyen?
Sí. Okay. Eh, no más que alegato. En
realidad hoy había venido más a aprender
que a a tratar de compartir cosas, pero
hay algo que quisiera dejarles como la
bola picando en la mitad de la cancha de
basket, que es eh cuál es el único
policía que al final nos va a servir y
es singularmente algo que está en todas
las leyes, en todos los países, pero
pocos lo tocan por la dificultad de
implementarlo y es el consentimiento
informado.
Es muy difícil lograr que la gente que
te deja usar sus datos personales te
firme un consentimiento y que puedas
guardar prueba de que te ha firmado ese
consentimiento. Como es tan difícil,
todo el mundo se hace el boludo, mira
para otro lado, no es conmigo y esto
desde Google hasta mi empresa, todos
somos iguales porque es muy complicado y
es la única cosa real, la única, el
único látigo que tenemos para decirle,
"Señor, estire la mano, esto no puede
hacer." ¿Por qué? Porque usted no me
puede mostrar el consentimiento
informado del titular.
Sí, sí.
Entonces, yo se las dejo ahí. Piénsenlo.
Sé que todos los entornos son distintos,
sé que todos los problemas son
distintos. Yo vivo buscando una solución
de eh un programa para gestionar
consentimientos informados y les juro
que es muy complejo. Hm. Eh, pero en
algún momento va a aparecer uno que
realmente va a ser económicamente
razonable y técnicamente viable y ahí
vamos a tener que promoverlo, así lo
haya escrito mi prior enemigo.
Bueno, yo creo que es el el gran desafío
de la gestión y la trazabilidad del
consentimiento, ¿no? consentimiento eh
eh no solamente del punto de vista de lo
que es la gestión documental, yo creo
que quiero recoger algo que dijo
Patricia al principio que tiene que ver
con la transparencia, si tenemos un
problema grandísimo y y quiero colocar
delante la transparencia otro principio
importante que está pegadito pegadito
pegadito de transparencia que se llama
lealtad. El considerando 39,
considerando 39 del Reglamento Europeo
dice claramente que para que la lealtad
esté operativa, el usuario tiene que ser
consciente del riesgo que conlleva la
operación. Y entonces el gran problema
es que no estamos transparentando el
riesgo porque como no aparece entre los
requisitos regulados del articulado,
pensamos que considerando 39 no tiene
peso. Y ojo con las intervenciones y la
interpretación de los tribunales de
justicia cuando vayan a esto a la
luz de los considerando, porque el TGU
ha utilizado muchísimas veces en sus
elementos de prueba precisamente los
considerando. Yo creo que esta es una
cuestión que es importantísima y que no
se le está prestando la debida atención.
como no le estamos prestando debida
atención algo que también comentaba
antes Gabriel y que tiene que ver con la
transparencia, que es el uso del
lenguaje claro y sencillo, que es un
requisito legal y que se podía sancionar
también por su incumplimiento del punto
de vista formal y del punto de vista del
propio violación del propio principio de
transparencia, con lo cual ahí
tendríamos también otra otra gran
cuestión eh para trabajar y otro grande
desafío y al final esto se acaba todo se
soluciona con con pedagogía. tenemos que
trabajar mucho para cambiar los modelos.
Eh, fijaros que eh en el Banco de Estado
en Chile eh comentaba eh tres cosas,
tres hitos en los que Chile es número
uno.
Uno, en transformación digital en
Latinoamérica.
Dos, en ciberseguridad,
tres, cuando iban diciendo los dos
primeros, la gente iba aplaudiendo. Eh,
cuando llegué el tercero, digo, "Por
favor, no aplaudéis."
El tercero tiene el peor índice de
comprensión lectura de toda
Latinoamérica.
Entonces, esto no es cláusula cuatro,
análisis de contexto. Si tu público no
sabe leer y no sabe interpretar, tienes
un problema con la redacción de
políticas y de procedimientos. tienes
que ponerlo en tu análisis de riesgo, en
tu, o sea, esa esa información viene del
análisis de contexto y que luego va
afecta directamente a tu cláusula cinco
y evidentemente a tu gestión de riesgo
en cláusula 6 y ocho. Es decir, cuidado
con esto porque aquí tenemos un un tema
muy muy importantísimo para reflexionar,
¿no? Yo quiero dar las gracias en ido
casi 2 horas a
a Patricia, a Daniela y a Daniel por su
enorme y generosa contribución. Eh, los
tres son profesores nuestros. que
trabajan también con con nosotros y eh
yo me siento tremendamente eh afortunado
y y agradecido de de tener este
patrimonio dentro de de del equipo de de
compañeros y la verdad eh es que en este
ratito hemos dejado y hemos explicado y
creo que con bastante claridad las dos
preguntas que enunciábamos un poco al
principio, es decir, ¿cuál es realmente
el papel del profesional del GRC en esta
era digital y cuáles son los desafíos
cotidianos a los que nosotros nos
enfrentamos? Amos directamente. Eso eh
creo que ha quedado más o menos claro,
¿no? Eh hemos hablado un poco de las
tensiones entre negocio, tecnología,
regulación, velocidad. Voy a quedarme
con esa palabra que también dijo Daniel,
¿no? La falta de tiempo, la falta de
recursos, las asimetrías de poder entre
operadores, ¿no? Ah, también la
necesidad de que eh muchas veces las
propias organizaciones necesitan
perfiles eh más híbridos, evidentemente
capaces de entender no solamente el
lenguaje que aparece tal cual en un
boletín oficial del Estado, sino también
entender efectivamente cómo esto se te
puede traducir, evidentemente a a la
conjugación de la de las tecnologías,
los procesos y las personas. Y este
directamente es uno de los desafíos. Por
tanto, el el rol y y el desempeño del
oficial de GRC o profesional del GRC es
algo que creo que no se puede
improvisar, se tiene que crear e y se
tiene que desarrollar. Y creo que esto
es un poco el el mensaje empírico que
también un poco intento eh transmitir
con estas tres sesiones, ¿no? Eh
comentaba al principio de que iba a
compartir en la parte final un un
pequeño eh esbozo del trabajo eh que
estamos haciendo. Eh hoy quiero
aprovechar y presentar unos minutitos y
voy a robar unos minutitos nada más en
la clausura. eh los programas académicos
que que hemos desarrollado para el año
2026202
Eh, son seis eh bueno, hemos son tres
grupos de de de estudios que vamos a a
desarrollar eh fundamentalmente de
formación avanzada, evidentemente para
esta era digital. Eh, la idea es formar
profesionales híbridos, eh, no
centrarnos en el desarrollo específico
de un tipo de de perfil, porque el
mercado nos está impulsando a esto. Lo
hemos visto hoy un poco en en esta en
este en esta sesión en abierto, ¿no? Al
final, el el ecosistema de de formación
que vamos a a desarrollar, que he
intentado planificar está de trabajado
en estos tres módulos, eh por un lado,
una serie de diplomados de de alta
especialización. Eh, son eh soluciones
que nos están pidiendo las empresas nos
están pidiendo directamente los propios
profesionales. Por otro lado, son
certificaciones técnicas de de ultísima
generación que también eh van a ser eh
ya os la presentaré en otro en otro
minuto. Y luego también una serie de
cursos cursos cortos o tipo talleres eh
prácticos donde eh muchos profesionales
nos están pidiando también que hagamos
algún tipo de workshop, algún tipo de
ejecución en directo sobre cómo se
realiza directamente alguna de estas
tareas, ¿no? Hoy la idea es presentar
sencillamente los eh los diplomados. Eh,
veréis que la es una formación
interdisciplinar, es decir, eh enfoque
en realidad profesional, una mirada
interdisciplinar, siempre con una
orientación muy clara a derechos y y a
confianza, basado siempre en la ética.
Eh, ejemplos de esto van a ser e curso
de de dirigido a la parte de privacidad
y derecho digital y la parte de
ciberseguridad y gestión de riesgo, la
parte de cumplimiento normativo y
gobernanza, ¿no? El primero de estos
cursos eh ya lo empezamos el día 8 de
enero, es el diplomado en protección de
datos que tenemos conveniado en este
caso con la Universidad eh Regional de
los Andes, Uniandes. es un programa de
275 horas que va a abarcar más de 7
meses y medio de de duración, eh donde
vamos a centrarnos fundamentalmente en
todo el desarrollo metodológico de lo
que es la normativa de protección de
datos. Estamos alineados con el modelo
del esquema profesionalizante de
delegado de profesionato que ha
propuesto la superintendencia, pero
nuestro enfoque nació,
seguirá es y seguirá siendo un enfoque
híbrido. Es decir, eh evidentemente
vamos a tener capacidad de de formar a
los DPD, sí, pero también evidentemente
eh no podemos negar la mayor. Ecuador lo
primero que necesita es eh gente que
aprenda y sepa implementar. Eh difícil
eh o flaco favoremos hacer al ecosistema
ecuatoriano si todos nos colocamos en la
línea de supervisión y nadie implementa.
Entonces primero hay que aprender a
implementar, hay que supervisar y luego
habrá que aprender a auditar, que son
las tres líneas y los tres trabajos que
hay que realizar. Y esto es poner
sentido común, repito, poner sentido
común a una demanda de profesional en el
tiempo en el que nosotros nos estamos
desenvolviendo. Y esta es la propuesta
de valor que nosotros traemos, no es una
propuesta de un curso de 80 horas. Antes
lo comenté, creo que con con claridad y
con con estedad, o sea, no podemos
autoengañarnos pensando que
sencillamente como yo tengo una
formación de de tercer nivel eh que me
habilita según el reglamento de
protección de Ecuador y eh hago mi curso
de 80 horas, ya yo soy un delegado de
protección dato. No tienes ni idea de lo
que es un delegado de protección de
datos. No entiendes ni idea. No tienes
ni idea sobre protección de datos. El
gran problema es que gran parte del
alumnado que está llegando a estos
programas no tienen idea de protección
de datos, con lo cual, flaco favor se le
va a ser el ecosistema de protección de
datos si no tenemos una formación eh
integral, holística y transversal. Esta
es nuestra propuesta de valor y esto es
lo que traemos y esto empezamos ya el
día 8 de enero en digamos la segunda
edición de de este programa donde
podréis disfrutar eh también de de
Daniela, de de Patricia y de Daniel,
entre otros eh 18 profesores los que
participamos en en el programa completo,
¿vale? E luego también e para mes de
mayo más o menos eh sacaremos un
diplomado de protección de datos eh
específico para el entorno chileno
basado exclusivamente en la reforma de
la ley 19628 que se aprobó en noviembre
y que entrará en plena vigencia el 1 de
diciembre del año 2026. Entonces será un
programa más o menos idéntico en
formato, 275 horas, ¿vale? eh donde
vamos a tocar evidentemente eh todo lo
que eh conlleva esa visión de tres
líneas eh eh que es un poco también el
el elemento eh eh diferencial. O sea,
nuestra visión es GRC pura y dura y por
tanto lo que intento enseñar siempre es
la visión primera, segunda y tercera
línea perfectamente integrado,
perfectamente supervisado. Eh, que
entendamos efectivamente esa interacción
que hay entre unitor y segunda línea,
entre segunda línea, primera línea,
entre primera y tercera línea. Creo que
esto es importante porque si nos
centramos solo en nuestro papel, nos
olvidamos de que estamos en un
ecosistema y ninguno de nosotros actúa
de forma
unitaria, digamos, en estos ecosistemas,
¿vale? Así que eh si todo va bien, en
mayo arrancamos la primera edición de
este curso. Eh por ahora estamos
pendientes si eh hay tres universidades
que están eh interesadas en eh
incorporar nuestra propuesta valor y
darnos el aval. Eh pero bueno, tampoco
tenemos ningún eh ninguna necesidad.
Podemos salir directamente como como
formación nuestra propia. ¿Vale? Ese
sería el tema. al tercer diplomado. Es
un programa está centrado
fundamentalmente en lo que es
implementación y gobernanza de sistemas
de inteligencia artificial. Tiene una
base fundamental hecha en en ISO 42001,
pero veréis que está orientado
fundamentalmente también a la normativa
regulación europea, ¿vale? también está
muy centrado en el modelo eh de gestión
de riesgo de inteligencia artificial del
NIS norteamericano, eh muy centrado en
ISO 23 o ISO 194, en ISO 42005, ¿vale?
Pero eh es un una visión eh donde el el
factor más importante es la ISO 38,507,
es el modelo de gobierno, ¿vale?
Entonces vamos a trabajar mucho
esta visión holística de de lo que es la
los sistemas de gestión. En realidad
esto es una visión, ¿no? Ni siquiera es
trinorma. O sea, vamos a trabajar casi
casi con seis, siete normas en esa
conjunción un poco de esas cosas mixtas
que a mí me gusta crear, eh porque en
realidad todos los que trabajamos en el
mundo RC sabemos que no trabajamos con
una sola norma, trabajamos con
multinorma y ese es nuestro nuestro
ecosistema. nos guste o no nos guste y
que trabajamos quienes trabajamos con
27001 sabemos que trabajamos con 27002
con 27005 con 2735
con 2717 con 27018 con 27701 trabajamos
con un conjunto de normas igual pasa en
continuidad de negocio en la parte de
resiliencia o en cualquier otro entorno.
Entonces es una visión como mucho más
holística y es un curso que está
previsto en realizarse sobre 250 horas
de formación siempre real. Entonces, no
son horas académicas, son horas reales
de dicción, ¿no? El cuarto programa, eh
esto también surgió un poco de la una
conversación que teníamos el otro día en
plan informal en en el chat, eh, y es un
diplomado en sistemas integrados de
gestión. Habitualmente esto lo solemos
ver entre ISO 9001, 14001 y 45001, pero
nadie está ofreciendo un modelo eh como
el que estamos planteando aquí, que es
seguridad de la información. eh
privacidad y resiliencia, toda la parte
continua de negocio. Eh, la idea de
hacerlo bajo un 66,177
es porque es una norma, repito, es una
norma. Eh, un segundito que ahí creo que
hay una un compañero que quiere entrar y
se ha caído,
¿no? Ya está. Vale. Eh, sí, ya está
aquí. Okay. E es porque eh esta norma de
AOR eh se creó en su momento para eh
integrar estándares y nos permite e esa
eh ese ese maridaje, ¿vale?, de de
normas, ¿no? Entonces, eh el
planteamiento está aquí colocado. Creo
que son tres tres normas de de gran
vigencia y de gran necesidad y sobre
todo tenemos que aprender a integrar
porque nos estamos encontrando en
ecosistema donde ya estas normas ya
coexisten, pero están operando muchas de
ellas de forma inconexa. Eh, entonces
hay que darle un poco sentido, hay que
aprender a integrarla eh unas con otras,
¿no? Luego la la cuarta se centra
fundamentalmente en el mercado español y
es un diplomado avanzado en el esquema
nacional de seguridad. Yo he analizado
los últimos 7 o 8 años la propuesta.
Sabéis que los que trabajamos en España
la única propuesta de formativa
medianamente es la que te ofrece
directamente el Centro Criptológico
Nacional. Y hace como dos o tres años
atrás hubo una propuesta de, no sé si
fue la universidad eh una de las
universidades del País Vasco, de sacar
un diplomado, pero yo creo que es igual
que inició murió y y bueno, la idea es
eh intentar plantear un curso eh
avanzado de de del NS eh de una forma
más integral y eh incluyendo
evidentemente eh como pongo aquí casos
integrados con 27001, con NIS 2 y con
Reglamento General de Procato, porque al
final esto es un entorno multinorma.
Entonces, esto no deja ser como una
norma marco y nosotros tenemos que
aprender a conjugar eh con esas normas,
que sería el quinto diplomado y el sexto
diplomado, con esto acabo, ¿vale? Eh, es
un diplomado en gestión de riesgos
legales, ¿no? Eh, lo de compliance
corporativo igual me sobra. Eh, creo que
creo que me voy a quedar con la primera
parte que es diplomado en gestión de
riesgos legales. La idea es pivotar
sobre la ISO 318 fundamentalmente. Eh,
pero dentro de ese marco de de
compliance están los sistemas de gestión
de cumplimiento 37301 antisoborno, eh
gestión de canales de denuncia, ah, esto
no me acuerdo ahora cuál es. ah esta es
gestión de riesgo legal o por ejemplo
otro la parte de ah
investigaciones, ¿no? para el tema de
canális de denuncia, fundamentalmente eh
una integración conjunta con riesgo eh
penal, eh fiscal y laboral, creo que son
estas tres normas de de menor, un poco
una una visión mixta de de este marco y
también será un curso de de unas 200
horas y en principio vamos a eh a
proponerlo.
tenemos una reunión con la Universidad
Unid la próxima semana y probablemente
lo sacaremos con con la B de ellos
también que también están muy
interesados en en sacar ese marco, ¿no?
Y al final el resumen es este, es decir,
la propuesta que intentamos plantear son
se diplomado eh entre 200 275 horas y eh
para cubrir el año 2026 y 2027. Eh, sí
que tenemos claro el primer semestre en
los dos primeros cursos que son el de
Ecuador y el de Chile. Y luego ya
sacaremos eh algunos otros programas ya
para el segundo semestre del 2026 y ya
para el año 2027, ¿no? Eh, estas
propuestas no son únicas. En la próxima
semana presentaremos un creo que son
como 13 cursos de certificaciones
técnicas eh que muchas de ellas no
existen en el mercado. Repito, no
existen en el mercado. Entonces, la idea
es proponer eh por nuestra parte no va a
quedar, lo vamos a intentar eh vamos a
intentar proponer y vamos a ver
efectivamente cuál es el grado de
recepción que que hay eh tras ellos,
¿no? Y la en la tercera sesión
tendremos también oportunidad de de
hacer una presentación de cursos
pequeños tipo talleres que también nos
están pidiendo entre 12 y 15 horas 20
horas en en algún curso eh intensivo,
curso de 8 horas que también pueden ser
muy muy prácticos. Eh, y entonces eh la
idea es dotaros de competencia a a los
profesionales en aquellas eh
especializaciones que que que hay, ¿no?
Por ejemplo, eh uno de los cursos cortos
es un curso especializado solo en
gestión de riesgo y evaluación de
impacto.
Bueno, gráfico, son 50 horas de
formación solo en gestión de riesgo y
evaluación de impacto. Y es un curso
donde el 70% de la carga es puro taller,
es pura práctica, ¿vale? Entonces no es
marco teórico. Entonces la idea es que
la certificación sea una certificación
práctica y y no teórica. Eh, necesitamos
integrar a los perfiles y y traerlos
aquí. Yo eh como todo el equipo de de
docentes que formamos GRC por TR eh
siempre estamos en modo escucha. lo que
vosotros propongáis lo escuchamos con
con mil amores, porque somos
profesionales que nositamos unos a otros
y si el mercado no es capaz de darnos la
formación, eh nosotros tenemos que crear
la formación que necesitamos para seguir
manteniendo el desafío. Eh, como
comentaba antes Patricia, siendo un
guerrero, porque el mercado no nos
obliga a trabajar un poco de forma
aislada, eh, pero tenemos la suerte de
que formamos un ecosistema y que no
estamos solos.
Si no hay nada más, yo muchísimas
gracias, de verdad, ha sido un placer.
Esto es una aventura más de de esas que
me que me lanzo eh a a ser y espero que
esta locura e de de fruto y al menos yo
me lo he pasado super bien con vosotros.
Espero que sea recíproco por parte de
todos.