Sección 6: Protección de la información confidencial
En esta sección, aprenderás a:
Protección de la información confidencial
Tu organización sin ánimo de lucro recopila y utiliza información para impartir programas, prestar apoyo a los usuarios, gestionar a los voluntarios y mantener las relaciones con los donantes. Proteger esa información implica tomar decisiones meditadas a lo largo de todo su ciclo de vida: qué datos recopilas, dónde los guardas, cómo los utilizas y compartes, y cuándo los eliminas.
Las medidas de seguridad para cuentas y dispositivos descritas anteriormente ayudan a evitar el acceso no autorizado. En esta sección se aborda cómo se gestiona la información en el día a día del trabajo, incluyendo cómo evitar la pérdida o la divulgación accidentales.
Nota sobre los requisitos de privacidad en Canadá
La Ley de Protección de Datos Personales y Documentos Electrónicos (PIPEDA) Es la ley federal canadiense en materia de protección de datos del sector privado. Por lo general, se aplica a los datos personales que se tratan en el marco de actividades comerciales. Muchas de las actividades habituales de las organizaciones sin ánimo de lucro, como el cobro de cuotas de afiliación y la recaudación de fondos, quedan fuera de su ámbito de aplicación. Sin embargo, el hecho de ser una organización sin ánimo de lucro no la exime automáticamente: determinadas actividades comerciales pueden hacer que el tratamiento de datos quede sujeto a la PIPEDA.
Independientemente de si se aplica o no la PIPEDA, sus principios constituyen una base útil: explicar por qué se recopila la información, recopilar solo lo necesario, limitar su uso y divulgación, protegerla adecuadamente y conservarla solo durante el tiempo que sea necesario. La aplicación de estos principios contribuye a proteger a las personas a las que atiende su organización sin ánimo de lucro y refuerza su confianza en ella. También pueden ser de aplicación leyes de protección de datos provinciales o específicas del sector, así como obligaciones contractuales, por lo que estas prácticas deben servir de apoyo —y no sustituir— a la verificación de los requisitos de su organización.
Identifica qué temas son delicados
Información sobre clientes y participantes
Datos de contacto, historiales de servicios, información sanitaria o circunstancias que puedan afectar a la seguridad de una persona
Información sobre donantes y aspectos financieros
Historial de donaciones, datos bancarios, registros de pagos y documentos financieros
Información sobre el personal y los voluntarios
Solicitudes, expedientes de selección, nóminas y contactos de emergencia
Fotografías y comunicaciones
Imágenes, mensajes o listas de correo que revelen la identidad, la ubicación o la relación de una persona con un servicio
Información confidencial de la organización
Contratos, planes internos, instrucciones de acceso y documentos que te hayan confiado los socios
Coge solo lo que necesites
Cada dato que recopilas se convierte en algo que hay que gestionar y proteger.
Antes de añadir una pregunta a un formulario, pregúntate:
Por ejemplo, para inscribirse en un evento puede ser necesario facilitar una dirección de correo electrónico para recibir información actualizada, sin que sea necesario indicar la dirección postal ni la fecha de nacimiento completa.
La Oficina del Comisionado de Protección de Datos de Canadá recomienda evaluar la finalidad y la necesidad de los datos personales antes de recopilarlos.
Explica cómo se utilizará la información y cumple los requisitos de consentimiento u otras autorizaciones que se apliquen a tu organización. La información facilitada para un fin concreto no debe quedar automáticamente disponible para usos ajenos a ese fin.
Elige lugares autorizados para guardar la información
Acordar dónde deben clasificarse los distintos tipos de información para que el personal y los voluntarios puedan localizar y proteger los expedientes de trabajo.
Una ubicación autorizada puede ser un servicio en la nube de una organización, una base de datos de programas de acceso restringido o un archivador seguro. Su idoneidad depende de la información, de las medidas de seguridad disponibles y de cómo se gestiona el acceso.
Evita los sistemas en los que los documentos importantes solo se encuentren en la bandeja de entrada personal de alguien, en un ordenador portátil particular o en una aplicación de mensajería informal.
El almacenamiento en la nube no es privado por defecto. Comprueba quién puede acceder a los archivos, cómo funciona el uso compartido y quién gestiona la cuenta.
No te olvides tampoco de los documentos en papel. Las listas impresas, los formularios de admisión y las notas de las reuniones deben almacenarse y eliminarse de forma adecuada.
Evita las copias innecesarias
Las copias pueden acumularse en descargas, archivos adjuntos de correo electrónico, hojas de cálculo y documentos impresos. Es posible que sigan estando disponibles incluso después de que el registro original se haya actualizado o eliminado.
Antes de hacer una copia, pregunta si alguien podría trabajar directamente con el original autorizado. Si es necesaria una copia temporal, decide dónde se puede guardar y cuándo debe retirarse.
Es posible que un voluntario que necesite ponerse en contacto con diez participantes no necesite una copia descargada de toda la base de datos de participantes.
Comparte de forma consciente
Antes de enviar información o conceder acceso, comprueba quién la necesita, qué necesita y cómo debe facilitarse.
Enviar un archivo adjunto
Abre el archivo y comprueba su contenido; a continuación, revisa los destinatarios antes de enviarlo.
Enviar un correo electrónico a un grupo
Utiliza una herramienta de envío de correos homologada o la opción «CC oculto» (BCC), para que los destinatarios no puedan ver las direcciones de los demás. Comprueba con atención los campos de los destinatarios.
Compartir un enlace a un documento
Limita el acceso a los destinatarios previstos y selecciona los permisos de visualización o edición adecuados para la tarea.
Elaboración de un informe para un financiador
Facilita la información solicitada; utiliza totales o resúmenes cuando no sea necesario incluir registros individuales.
Trabajar con un compañero
Confirma la finalidad, la autorización, la información necesaria y las modalidades de tratamiento acordadas.
Publicar una fotografía o la historia de un cliente
Comprueba que se cuenta con el permiso correspondiente y reflexiona sobre lo que el contenido revela acerca de la persona.
Un enlace restringido puede ofrecerte más control que un archivo adjunto, pero aún así requiere los permisos adecuados. Evita el acceso “cualquiera que tenga el enlace” para la información confidencial.
En el caso de divulgaciones especialmente delicadas, incorpora un segundo control. Esto podría consistir en que otra persona autorizada revise los destinatarios y el contenido antes de su divulgación.
Incluir la información introducida en las herramientas de IA
Pegar texto en un chatbot de IA, subir una hoja de cálculo o activar una herramienta de resumen de reuniones puede dar lugar a que se revele información a otro servicio.
Antes de utilizar una herramienta de información organizativa, comprueba lo siguiente:
Una suscripción de pago o una configuración que limite el entrenamiento del modelo no garantiza, por sí sola, que todos los usos sean adecuados.
Utiliza ejemplos ficticios o elimina los datos que permitan identificar a alguien siempre que sea posible. A veces, limitarse a eliminar los nombres puede no ser suficiente: la combinación de la ubicación, las circunstancias y otros detalles podría seguir permitiendo identificar a alguien.
Las autoridades reguladoras canadienses en materia de protección de datos recomiendan utilizar información anonimizada o desidentificada siempre que sea posible, y introducir información personal o confidencial únicamente cuando se cuente con la autorización correspondiente.
Decide durante cuánto tiempo conservar la información
Conservarlo todo indefinidamente genera trabajo innecesario y riesgos. Por otra parte, eliminar la información demasiado pronto también puede afectar al funcionamiento de los servicios o al cumplimiento de las obligaciones.
Establece un plan de conservación sencillo:
Ejemplo: Registros de admisión de clientes
Ejemplo: Para prestar servicios y realizar un seguimiento de la participación de los clientes.
Ejemplo: Conservar mientras el cliente reciba los servicios y, posteriormente, durante el plazo establecido por la ley.
Ejemplo: Coordinador del programa
Comprueba los requisitos legales, contractuales, de financiación y operativos aplicables antes de establecer los plazos. Conserva los registros que sean objeto de una investigación u otro requisito que obligue a su conservación.
Incluye copias temporales en tus planes. Pregunta a los proveedores cómo funciona el proceso de eliminación, incluyendo qué ocurre con las copias de seguridad que se conservan. En la siguiente sección se abordará la planificación de las copias de seguridad con más detalle.
Deshazte de la información de forma adecuada
Eliminar un archivo visible no implica necesariamente que se eliminen las copias, el acceso compartido o la información recuperable de un dispositivo.
Utiliza métodos de eliminación adecuados para el tipo de información y el almacenamiento:
Asignar responsabilidades para que la eliminación se lleve a cabo y se documente cuando proceda.
Informa de los errores sin demora
Si alguien envía un archivo equivocado, divulga una lista de distribución, pierde documentación o hace pública una carpeta, debe comunicarlo de inmediato, aunque no esté seguro de si alguien lo ha visto.
Sigue el proceso de respuesta de la organización para limitar el acceso o solicitar la eliminación segura de los datos cuando sea necesario. Registra lo que ha ocurrido, en lugar de dar por sentado que recuperar un correo electrónico o eliminar un enlace ha resuelto el problema de exposición.
En la sección 9 se explicará la respuesta ante incidentes y cómo evaluar las necesidades de notificación.
Una propuesta de norma de política
La información debe recopilarse con un fin concreto, almacenarse en lugares autorizados y ser accesible únicamente para las personas autorizadas que la necesiten. Su intercambio debe realizarse mediante métodos autorizados y revelarse únicamente la información necesaria. La información personal o confidencial solo podrá introducirse en herramientas de inteligencia artificial para los usos autorizados. La conservación y la eliminación deben ajustarse al calendario de la organización, y cualquier posible pérdida o divulgación debe notificarse de inmediato.
Antes de adoptar esta norma, hay que determinar los lugares autorizados, los métodos de intercambio, los usos de la IA, las condiciones de conservación y la persona de contacto para la presentación de informes.
Sigue una serie de datos
Elige un documento que te resulte familiar, como un formulario de admisión, una solicitud para ser voluntario o una lista de donantes. Sigue su recorrido desde su recogida hasta su eliminación.
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Información identificada que requiere un tratamiento restringido.
- Se ha acordado dónde debe guardarse y cómo se puede compartir.
- Expectativas establecidas respecto a las copias y las herramientas de IA.
- Se ha asignado el seguimiento de la retención y la eliminación.
A continuación, abordaremos el tema de las copias de seguridad y la recuperación, para que la información importante pueda restaurarse en caso de pérdida, daño o indisponibilidad.
Sección 7: Realizar copias de seguridad y practicar la recuperación
Las copias de seguridad ayudan a tu organización sin ánimo de lucro a recuperar información importante tras una pérdida de datos, un fallo del dispositivo o un ciberataque, al garantizar que se disponga de copias recuperables y que haya alguien responsable de restaurarlas.
English 
French 
Chinese 
Spanish 
Ukrainian 