Francisco Javier Carbayo, Abogado Socio de DELOYERS Asociado de ENATIC.-
Una de las palabras que más suenan en los últimos tiempos en el mundo del Cumplimiento Normativo y la Ciberseguridad es “resiliencia”. Afortunadamente, no se trata de un nuevo “palabro”, surgido en parte como estrategia de marketing, en parte como definición de algo nuevo y en parte como necesidad constante de generar nuevos términos. En este caso se trata de una palabra que ya tenía y tiene un significado, que de acuerdo al Diccionario de la Real Academia Española es:
1. "Capacidad de adaptación de un ser vivo frente a un agente perturbador o un estado o situación adversos".
2. "Capacidad de un material, mecanismo o sistema para recuperar su estado inicial cuando ha cesado la perturbación a la que había estado sometido.”
El robo de información y más en general, las fugas de información suponen, desde mi punto de vista, una claro ejemplo de situación que pone a prueba la resiliencia de las organizaciones. Y no sólo cuando han ocurrido, sino aun antes, porque esa “capacidad de adaptación” o “capacidad…, para recuperar su estado inicial cuando ha cesado la perturbación”, es algo que se planifica, se entrena y se testea. Si es que realmente queremos reducir los efectos de una fuga de información que no ha sido posible evitar.
No obstante, cuando hablamos de robo de datos o fugas de información, por robo o por cualquier otra causa, siempre ha parecido (aunque cada vez lo parece menos), que hablamos de situaciones lejanas y ajenas… Para demostrarnos que eso no es así podemos ver una estupenda representación de los mayores ejemplos (supuestos con más de 30.000 registros) en este enlace. Aparte de la apreciar, agradecer y recrearnos con la representación y con el magnífico manejo de datos, podemos profundizar en casos concretos que nos puedan interesar, porque seguro que hay varios que nos interesan.
¿Preocupados ya por las dimensiones del problema en cuanto a número de casos y volúmenes? Sin alarmismos panfletarios ni histerias colectivas, creo que sí deberíamos estarlo, porque el problema es real y creciente en número y relevancia de los supuestos.
Desde luego prevenir, evitar, reaccionar, investigar, evaluar…, los robos de datos o fugas de información es una labora multidisciplinar, en la que los abogados tenemos un papel que a veces no asumimos, que en otras ocasiones se ignora y que en muchos casos no se aprecia. ¿Es culpa nuestra no estar “en la alineación” en estos supuestos? Desde luego que sí, como vino a decir un jugador de futbol hace poco, si no juego ni con un entrenador, ni con el siguiente, ni con el actual…, es culpa mía.
Creo que existen algunas características necesarias en la labor del abogado, en casos de fuga de datos o robo de información, que deben darse sí o sí: la aportación de valor, el pragmatismo, el asesoramiento orientado a riesgos y a participar en la toma de decisión sobre los mismos, y sobre todo evitar ser meros exponentes de la Ley o de su interpretación por Administraciones públicas o tribunales.
En los siguientes apartados se proponen algunas situaciones o materias en las que el rol del abogado debe ser relevante, siempre que sea capaz de desempeñar su labor con la adecuada capacidad analítica, con conocimientos tecnológicos, sociológicos, de gestión, etc., mucho más allá de los jurídicos, y con unas capacidad de aportación de soluciones que, probablemente, obliguen a salir de la “zona de confort” y aportar capacidades muy heterogéneas.
Due dilligence
La reciente noticia sobre el no tan reciente robo de datos a Yahoo, tiene una curiosa derivada en la situación que conlleva respecto a Verizon, la compañía que la ha comprado. Sin duda, la compra motivó muchos planteamientos sobre las razones que dieron lugar a esa decisión por parte de Verizon, por ejemplo las que se propusieron o supusieron en artículos como éste de Expansión.
Es más que probable la compradora llevara a cabo la correspondiente Due Diligence sobre la compañía que pretendía comprar, entre otras cosas para identificar qué riesgos, de todo tipo, estaba asumiendo. La pregunta es clara, ¿están capacitadas las metodologías de Due diligence para identificar situaciones, efectivas o potenciales, de fuga de información o robo de datos y dimensionar los riesgos que conllevan? Si no lo están, deberían estarlo, porque de lo que se trata es de conocer los antecedentes, el historial profesional o laboral de una organización o persona con la que se pretenda llevar a cabo una operación o establecer una relación comercial importante, con el fin de tomar decisiones correctas.
En este sentido, existen algunas cuestiones claras a incorporar en las revisiones a realizar en el contexto de una Due Diligence:
Por ejemplo, David A. Zetoony de Bryan Cave LLP, propone en su artículo “Data Privacy Due Diligence: Questions to Consider in a Merger or Acquisition”, algunas cuestiones interesantes que deberían realizarse en este contexto (se reflejan en inglés, tal y como aparecen en el artículo):
- “Does the target have an appropriate Written Information Security Program (“WISP”)?
- Does the target have an appropriate Incident Response Plan (“IRP”)?
- How has the target dealt with prior security incidents and security breaches?
- Has the target conducted and documented internal security assessments?
- Has the target conducted and documented external security assessments?
- (…)
- Does the target have a vendor management program in place?
- Have the vendors used by the target provided appropriate contractual protections?
- Did the target have a system in place to identify privacy or security problems?
- Did the target have employees focused on data privacy or data security issues?”
Por su parte, en este cuestionario sobre “Data Security and Privacy – Proposed Threshold Questions and Initial Due Diligence” publicado por IAPP en su web, se explicitan igualmente algunas cuestiones de gran interés (igualmente, en inglés, como en la referencia citada), principalmente las siguientes, siendo que la primera parece que no estuvo en la Due Diligence de Verizon sobre Yahoo:
“Privacy and Data Security: Data Security Breach.
Has Company or any affiliate had a data security breach or an unauthorized access or acquisition of Personal Information or Sensitive Personal Information (“Breach”)? If yes, please describe any actual Breaches that have occurred in the last 5 years.
It is important to know whether target has experienced any data breaches. This understanding is required since some companies have longer term requirements from regulators in order to resolve past data breaches. It also demonstrates what type of organization the target is from a data protection perspective (if the target has experienced several breaches).
Privacy and Data Security: Existing/Prior Privacy or Data Security Investigation
Has Company or any affiliate received any complaint, notice of suspicious activities on systems, regulatory inquiries, consent decrees, citations, fines, administrative actions and pending, resolved, or threatened litigation regarding privacy or data security? If yes, please describe.
It is also important to understand whether the target is a usual target for regulatory or 3rd party investigation for perceived or actual data protection violations.
Data Security: Malware Attacks and Response
Has the Company, affiliates, or supplier supported functions ever had any significant outages or had to rebuild any systems supporting the Company, in whole or in part, due to virus outbreak, breach, or malware infestation?
This threshold question reveals whether a target has been injured or otherwise affected, in-fact, by attacks (which helps reveal the level of scrutiny given to the target’s security systems and controls).”
Relación con proveedores
Partiendo de lo expuesto por mi parte en la obra “La responsabilidad legal de las empresas frente a un ciberataque” de ISMS FORUM – ENATIC , en mi opinión la externalización de servicios que podemos caracterizar, en términos generales, como de carácter tecnológico, convierten a los proveedores de los mismos en actores relevantes, lo quieran o no, de la prevención, la detección y la reacción frente a fugas de información y robo de datos. Lógicamente, podemos pensar que la responsabilidad primera y principal frente es de la empresa que lo sufre, y no de los prestadores de servicios que se ubican “detrás” de ella y que prestan sus servicios en su nombre y por su cuenta, y en definitiva en su beneficio.
Sin embargo, la cuestión es que los proveedores de servicios IT u otros servicios tecnológicos relevantes (p.e. cloud), y en igual medida sus propios subcontratistas, no ocupan una posición tal que se pueda señalar, sin más y desde el inicio, su ausencia de responsabilidad. Antes bien, puede haber escenarios y supuestos en que es posible que sí se les pueda atribuir cierta responsabilidad propia y significativa.
Lógicamente, la primera responsabilidad de tales proveedores que parece que se puede señalar es la de carácter contractual que se deriva de la relación jurídica que mantienen con la empresa que sufre el ataque. Y hablamos de relación jurídica, que no únicamente de contrato, porque en muchas ocasiones tal relación jurídica se configura a través de una suma de elementos, cada uno con su propio peso específico, su proceso de evolución y su mayor o menor cercanía o relevancia en caso de fuga de información o robo de datos.
Así tenemos en primer lugar el propio contrato, que debería establecer el régimen de responsabilidad del proveedor, al menos en términos generales. Añadido, adjunto o anexo al contrato, debería estar el Acuerdo de Nivel de Servicio, que rige la vida o ejecución del servicio contratado, y que por tanto es clave en su delimitación.
Pero es que en muchos casos, además de la relevancia de los acuerdos y pactos precontractuales, van a ser críticas en la posible atribución de responsabilidad al proveedor las modificaciones que del contrato, acuerdo de nivel de servicio y demás elementos se puedan llevar a cabo durante el tiempo de vida del servicio adquirido. Además de que hay una realidad no escrita, sino de carácter puramente fáctico, que viene determinada por el modo en que, en la práctica, se presten los servicios, con conocimiento y aceptación siquiera tácita de las partes, que puede ser que haga que la relación jurídica se haya de medir y valorar, así como la responsabilidad, por parámetros (total o parcialmente) externos al contrato y sus anexos.
Además, cabe señalar dos aspectos que además pueden hacer más compleja aun la delimitación, exigencia y concreción o cuantificación de tal responsabilidad:
Subcontratación. Es habitual, por no decir que siempre ocurre, que el proveedor contratado tenga a su vez subcontratadas determinadas partes de su servicio en uno o varios subcontratistas.
En principio, lo normal es que la responsabilidad del proveedor se le exija plenamente a él, que habrá en su caso de repetir contra sus subcontratistas. Pero la falta de regulación de las consecuencias de la subcontratación en escenarios como el analizado en este artículo, da lugar a que los entramados de responsabilidad se conviertan en un laberinto arduo y complejo.
Seguros. Cada vez es más habitual que los prestadores de servicios como los señalados contraten “ciberseguros”, que les permitan externalizar las consecuencias dañosas para terceros de, por ejemplo, un robo de información o una fuga de datos en el que se les pueda atribuir una responsabilidad propia.
En tal caso, la relación con la correspondiente Aseguradora (coberturas, exclusiones, determinación del siniestro, cuantificación del daño, modo de indemnización, etc.), pueden ser elementos a valorar en la contratación del proveedor, y a analizar con detalle en la fase reactiva y aun tras este en la valoración de consecuencias y los medios para evitar su repetición.
La existencia, en mayor o menor medida o dicho de otro modo con mayor o menor grado de exigibilidad (teórica y práctica), de responsabilidad contractual del proveedor de servicios IT, en el caso que se viene analizando, no permite excluir en todo caso la posibilidad de una responsabilidad extracontractual diferenciable.
Así, a efectos meramente teóricos, pensemos en el caso de una actuación del proveedor, en la fase de reacción ante un robo de información, que provoca o produce un daño de naturaleza reputacional a la empresa que lo ha sufrido. Sería el caso de falta de colaboración del proveedor con las Fuerzas y Cuerpos de Seguridad del Estado u otras Administraciones Públicas competentes (siendo que esta actuación ya de por sí puede tener consecuencias graves para el contratante del servicio), que trasciende a los medios de comunicación y se atribuye a la empresa que ha sufrido el ataque (que al fin y al cabo es quien resulta la relevante para la opinión pública).
En tal caso, podemos pensar que el daño reputacional causado, una vez demostrado y cuantificado, puede ser atribuido al proveedor por vía del régimen de responsabilidad civil extracontractual.
En definitiva, este tipo de responsabilidad no va a ser la más común o habitual de cara a proveedores de servicios como los señalados, pero eso no hace que se pueda descartar sin acudir antes a las circunstancias del caso concreto.
Gestión de crisis
La Gestión de Crisis requiere una serie de premisas, recomendaciones y directrices de cómo atender las situaciones creadas, con el objetivo de controlar, minimizar y positivizar su posible impacto en cada Organización. Y en esta Gestión de crisis, el abogado tiene que jugar un papel mucho más relevante, decisorio y visible del que quizá está jugando actualmente, muchas veces por decisión propia.
Debe de tenerse en cuenta que en la gestión de crisis van a impactar de manera significativa las Normativas (actuales y futuras, como el Reglamento europeo de Protección de datos o la Normativa de transposición de la Directiva NIS), que de manera más o menos específica regulan en alguna medidas cómo deben comportarse las organizaciones en caso de una fuga de información o un robo de datos.
Debe destacarse que el uso y aplicación de los criterios y recomendaciones que se mencionarán no garantiza un resultado exitoso en la superación o control de la crisis, ya que esto dependerá de factores no solo internos, sino también externos, que no están bajo el control de quienes intervienen en su gestión. Pese a ello, resulta necesario que todos los involucrados en las estrategias aplicadas a la hora de una situación de crisis, incluidos los abogados, cumplan adecuadamente con los procedimientos y los roles asignados.
En todo caso, existiría un Procedimiento o Manual de crisis, en cuya elaboración tendrá un papel relevante el abogado, que tendrá como objetivo principal establecer y dar a conocer las normas relativas tanto a la Gestión de crisis, como a la actuación coordinada y efectiva frente a las mismas, e incluso frente a las actuaciones de las Administraciones públicas que pudieran tener competenecias relevantes o aplicables.
En este sentido, se debe hacer especial hincapié en la necesidad de observar y cumplir los requisitos de tiempo y forma recogidos en el Procedimiento o Manual de crisis, por lo que el contenido del mismo deberá difundirse y ser conocido por las personas que puedan verse afectadas por él.
En este sentido, un rol que podría ser asumido perfectamente por un abogado, con la orientación, formación y capacidades adecuadas, es el de Portavoz, definible como aquella persona que por sus competencias y experiencia se le otorga la autoridad para realizar declaraciones a los distintos públicos clave en general y a los medios de comunicación en particular.
Los esfuerzos de una organización y su portavoz deben estar enfocados a posicionarse como una fuente de información confiable y facilitar el acceso a la misma. La persona elegida para representar a la empresa en tiempos de crisis necesita identificar y conocer todo lo relacionado con la actividad de la empresa con el suficiente detalle. Además necesitará tener la experiencia y reputación suficiente para tener una actuación asertiva ante los medios de comunicación, que genere confianza.
En caso de declaraciones dadas por un Portavoz en entrevistas o en ruedas de prensa, no se deberán formular aclaraciones ni complementar lo dicho por el mismo, por parte de terceras personas u otras funciones directivas, salvo que así lo haya autorizado expresamente la Organización, a través de sus órganos de Dirección.
Se pueden establecer algunas
pautas para minimizar el riesgo de una comunicación errónea
:
- Nunca pensar que el micrófono o la cámara están apagados.
- Si una entrevista de un medio impreso se va a ilustrar con una fotografía, recomendar que la foto se tome después de la entrevista (para evitar que una imagen sonriente del portavoz acompañe declaraciones “incómodas y difíciles”).
- Empezar por lo más importante, es decir, por la conclusión. El periodista recodará siempre las primeras palabras y las trasladará a su crónica o artículo.
- No faltar nunca a la verdad y mantener una actitud positiva.
- No discutir con el periodista, especialmente en ocasiones de emergencia o crisis donde el periodista puede buscar la indignación o la confrontación para intentar darle más difusión a su publicación.
Con la finalidad de evitar errores de comunicación y una vez terminada cada intervención con los medios, es conveniente evaluar el desempeño del portavoz ante los medios, en términos de cómo estuvo su lenguaje no verbal, si pudo comunicar todo lo que necesitaba, si el mensaje se transmitió correctamente y si fue conciso y claro al responder.
Superada la etapa de crisis, tanto desde el punto de vista de gestión de las operaciones como desde el punto de vista de la reputación, se iniciará la gestión de la post-crisis, igualmente con intervención relevante del abogado, compuesta habitualmente por tres fases: evaluación, cierre y lecciones aprendidas:
- Evaluación: Se realizará un trabajo de recopilación de información con la finalidad de poder hacer una evaluación de la acción comunicacional, a la vez que contribuir a generar un Precedente del manejo del mismo para aprendizajes de uso posterior.
- Cierre: Se elaborará un informe final tomando en consideración el cumplimiento (si / no / parcial) de las directrices fijadas.
- Lecciones aprendidas: En estos casos de crisis, se considera clave el aprendizaje organizacional. Para ello, y con el informe detallado ya elaborado, la Organización en general y el abogado en particular, realizan una evaluación de la coordinación operativa, calidad y efectividad de la respuesta y, por último, actualiza y propone mejoras en las directrices dadas.
Conclusiones
Podríamos hablar de otros muchos aspectos en que debemos mejorar nuestra intervención como abogados en casos de fugas de información o robo de datos. Por ejemplo, Comunicación de fugas de información, Valoración de daños, Reporte de riesgos, etc.
La aproximación de este artículo es necesariamente parcial y seguramente incompleta y discutible (la idea no es tener la razón, sino exponer una opinión). Pero sin duda creo que es realista y pragmática a la hora de lanzar una apuesta por una mayor aportación de valor, una mayor importancia y un mayor alcance de nuestra intervención y nuestros servicios en supuestos cada vez más habituales, voluminosos y relevantes de fuga de información y robo de datos.
Ojalá no se produjeran más fugas de información o robos de datos, pero la realidad es que se van a producir, seamos actores principales y no meros secundarios o extras al fondo de la escena.