El cumplimiento no cabe en un marco de pared

En casi todas las recepciones que visito hay un marco en la pared. Un certificado, un cartel de aviso legal, a veces un código QR que lleva a la política de privacidad. Llevo años colocándolos yo mismo, así que no tengo nada en contra de ellos. Pero cada vez que entro en un negocio nuevo y veo ese marco nada más cruzar la puerta, me hago la misma pregunta: ¿qué hay detrás, de verdad?

La prueba que me gusta hacer, cuando el cliente me lo permite, es sencilla. Le pregunto a la persona de recepción o al encargado de turno: si un cliente te llama ahora mismo y te pide que borren sus datos, ¿qué haces? La mayoría de las veces se hace un silencio raro. Algunos miran hacia la pared, como si la respuesta estuviera ahí colgada. No lo está. El marco dice que la empresa cumple el reglamento. No dice qué hace esa persona concreta cuando suena el teléfono.

Esto no es una crítica a mis clientes, es una crítica al sector al que pertenezco. Durante años hemos vendido el cumplimiento como una entrega: firmas aquí, aquí y aquí, te llevas una carpeta de PDF y un certificado, y ya está, ya cumples. Y en parte es verdad, esos documentos hacen falta y son la base legal de todo lo demás. El problema es cuando se quedan ahí, en la carpeta y en el marco, sin pasar nunca a la cabeza de quien trabaja cada día con esos datos.

Hace un tiempo tuve un caso que resume bien lo que quiero decir. Una clínica pequeña, todo en regla, auditoría hecha, cartelería colgada, registro de actividades al día. Un paciente llamó pidiendo acceso a su historial completo, algo que tenía todo el derecho a pedir. Nadie en la clínica sabía qué pasos dar. Me llamaron a mí con el paciente esperando al teléfono, un poco molesto ya, y tuvimos que improvisar un procedimiento que debería haber estado escrito y, sobre todo, interiorizado, desde el primer día.

Lo que de verdad protege a una empresa no es el papel que cuelga en la pared. Es que alguien, dentro, sepa reaccionar sin tener que llamarme a mí primero. Por eso, cuando doy de alta a un cliente, insisto tanto en explicarle el procedimiento como en entregarle el documento. Prefiero perder media hora más en una reunión explicando qué hacer el día que alguien ejerza sus derechos, que ahorrarme esa media hora y confiar en que el PDF hable por sí solo cuando llegue el momento.

Si tienes un negocio y ya tienes tus documentos de protección de datos en orden, me alegro de verdad, es un paso que mucha gente todavía no ha dado. Pero te propongo un ejercicio antes de dar el tema por cerrado: pregúntale a la persona que coge el teléfono qué haría si hoy, ahora mismo, alguien le pidiera ver o borrar sus datos. Si tiene respuesta, vas bien. Si no la tiene, el marco de la pared te ha dado una falsa sensación de seguridad, y eso, en mi experiencia, es peor que no tener nada colgado.

Rubén Cerviño Pérez, fundador de Guardián de Datos