Uno de los principios rectores de las normativas de protección de datos es el de responsabilidad proactiva o accountability. Veamos de qué se trata.
Este concepto originalmente se refería a la responsabilidad de los cargos públicos para con la ley y la obligación de rendir cuentas sobre sus actos de gobierno ante los ciudadanos. En los siglos 19 y 20 el concepto pasó al sector privado de la mano de las corporaciones en referencia a la rendición de cuentas de parte de los gerentes para con los accionistas e inversores.
El Reglamento General de Protección de Datos de la Unión Europea tomó este concepto y lo convirtió en un principio de la materia. Aquí se refiere al enfoque preventivo que deben adoptar las organizaciones, tanto públicas como privadas, para garantizar la privacidad y la seguridad de los datos personales que manejan. Deben, además, poder demostrar sus esfuerzos con la documentación correspondiente.
Implica adelantarse a los posibles riesgos y tomar medidas de antemano. Se contrapone con una política reactiva que consiste en reaccionar a los daños producidos y repararlos. La responsabilidad proactiva significa adelantarse y tomar medidas para evitar que ese daño se produzca. En consecuencia, las organizaciones pueden incluso quedar exentas de responder por un daño ocasionado, o podrán hacerlo en cuantía mucho menor, si realizaron todo lo que estaba a su alcance para evitarlo.
Para cumplir con este principio rector las organizaciones deben emprender de forma permanente acciones de control para garantizar la seguridad y la legalidad de los tratamientos de datos que realizan. Las medidas que toman las organizaciones deben ser demostrables, concretas, útiles, pertinentes, efectivas y proporcionales a las modalidades y finalidades del tratamiento de datos correspondiente.
En el marco de este principio rector el Reglamento exige que se aplique protección de datos desde el diseño y por defecto, que se realicen evaluaciones de riesgo y de impacto y que, en caso de corresponder, se constituya la figura del Delegado de Protección de Datos para supervisar el cumplimiento de la ley.
Ante alguna denuncia, la autoridad competente exigirá la documentación que respalde las acciones realizadas por la organización para cumplir la ley y si no la tiene o no es adecuada, se aplicará una sanción. La sanción podrá variar en función de cuanto haya hecho la empresa para estar adecuada a la normativa, siempre que pueda demostrarlo.
