Prácticas de retención de datos de los proveedores

Una compañía de seguros terminó su relación con un proveedor de tramitación de siniestros y siguió su procedimiento estándar de baja: envió un aviso de terminación por escrito, solicitó la supresión de los datos en un plazo de treinta días y recibió una confirmación de supresión firmada por el gerente de cuenta del proveedor. Dos años después, el mismo proveedor reveló una violación de datos. La notificación de la brecha incluía a los asegurados de la compañía entre las personas afectadas: nombre, dirección, número de póliza e historial de siniestros. El equipo jurídico de la compañía de seguros remitió de inmediato a la confirmación de supresión recibida dos años antes. La investigación forense del proveedor determinó que la supresión se había realizado en la base de datos de tratamiento principal, pero no en el sistema de copias de seguridad, ni en la copia del entorno de desarrollo utilizada para pruebas, ni en las exportaciones de informes archivadas, ni en los datos que conservaba el subencargado de analítica del proveedor. El gerente de cuenta había confirmado la supresión de lo que conocía. Cuatro repositorios que desconocía habían conservado los datos durante dos años después de la supresión confirmada.

Por qué es importante

La conservación de datos por parte de los proveedores es relevante para TPRM porque los datos que un proveedor conserva más allá del plazo en que se necesitan representan un riesgo residual puro: un riesgo sin ningún beneficio operativo a cambio. Los datos que el proveedor ya no necesita para ninguna finalidad de tratamiento no aportan valor. Aportan exposición. Cada día que los datos del cliente permanecen en un sistema del proveedor después de cumplida su finalidad de conservación es un día en el que esos datos pueden sufrir una brecha, ser consultados por terceros no autorizados, descubrirse en una auditoría regulatoria o ser objeto de una solicitud de ejercicio de derechos del titular de los datos que el proveedor no puede atender porque sus registros de supresión no reflejan dónde están todas las copias.

La dimensión regulatoria es explícita y su cumplimiento se exige cada vez más. El principio de limitación del plazo de conservación del GDPR (artículo 5(1)(e)) exige que los datos personales no se conserven más tiempo del necesario para los fines para los que se tratan. La CCPA crea obligaciones equivalentes. La HIPAA establece plazos de conservación específicos para la PHI y exige a los socios comerciales que supriman la PHI cuando ya no se necesite para la finalidad especificada en el BAA. Estas obligaciones se extienden a los datos que conservan los encargados y subencargados por cuenta del responsable del tratamiento: la obligación de conservación del cliente no termina cuando los datos salen de sus sistemas y entran en los del proveedor. Continúa hasta que los datos se suprimen debidamente de todos los sistemas de la cadena de tratamiento.

La implicación sobre el alcance de una brecha es el factor de riesgo más tangible de forma inmediata. Cuando se vulnera a un proveedor, el alcance de los datos afectados lo determina lo que el proveedor conserva en el momento de la brecha: no lo que necesitaba conservar, no lo que el contrato le autorizaba a conservar, sino lo que realmente había en sus sistemas. Un proveedor cuyo sistema de copias de seguridad conserva siete años de datos de clientes notificará una brecha que afecta a siete años de datos, aunque la relación operativa solo requiriera el año en curso. El alcance de la notificación, la exposición regulatoria y el daño a los titulares de los datos se corresponden con la acumulación histórica que nunca se eliminó mediante la gobernanza.

Dónde se equivocan la mayoría de los equipos

El fallo más generalizado es equiparar la confirmación de la supresión con una supresión verificada. Un proveedor que confirma la supresión de los datos del cliente ha confirmado que alguien realizó una acción que considera que constituye una supresión. Si esa acción abarcó todos los sistemas en los que existían los datos (bases de datos principales, copias de seguridad, entornos de desarrollo, archivos, subencargados) es otra cuestión que la confirmación no responde. La mayoría de las confirmaciones de supresión las firman gerentes de cuenta o contactos de operaciones que tienen acceso a los sistemas principales y ninguna visibilidad de toda la huella de datos. La confirmación es auténtica. No es exhaustiva.

El segundo fallo es no especificar requisitos de conservación durante la relación operativa. La mayoría de los acuerdos de tratamiento de datos abordan lo que ocurre al terminar la relación: datos suprimidos en un plazo de treinta días y supresión confirmada por escrito. En gran medida no dicen nada sobre las prácticas de conservación durante la relación: cuánto tiempo se conservan las copias de seguridad, si los entornos de desarrollo contienen datos de clientes, si las exportaciones de analítica se rigen por políticas de conservación y cuáles son las prácticas de conservación de los subencargados. La cláusula de terminación regula el final de la relación. La ausencia de requisitos de conservación operativos no regula nada mientras esta dura.

• Equiparar la confirmación de la supresión con una supresión verificada: la confirmación de un gerente de cuenta no es una auditoría de todos los sistemas en los que existen los datos
• Requisitos de conservación ausentes de las disposiciones operativas del DPA: contratos que abordan la supresión al terminar la relación, pero no dicen nada sobre la conservación de copias de seguridad, los datos de los entornos de desarrollo ni la gobernanza de los archivos de analítica
• Ningún mecanismo de verificación de la supresión: ningún proceso para confirmar que la supresión fue completa en todos los repositorios, confiando por completo en la autodeclaración del proveedor
• Supresión no activada en los subencargados: el proveedor principal ejecuta la supresión sin una obligación correspondiente ni una verificación de que los subencargados suprimieron sus copias
• Sin derecho a auditar la supresión: acuerdos de tratamiento de datos que exigen la supresión, pero no otorgan al cliente el derecho a verificarla mediante auditoría, pruebas o certificación de terceros

Cómo se ve una buena práctica

Los programas maduros de gobernanza de la conservación por parte de proveedores definen requisitos de conservación para cada etapa del ciclo de vida de los datos (tratamiento activo, conservación de copias de seguridad, uso en desarrollo y pruebas, y baja) e integran la verificación de la supresión en el proceso de baja en lugar de aceptar confirmaciones no verificadas. La política de conservación se especifica en el contrato. El proceso de supresión abarca todos los repositorios. La verificación queda documentada.

• Calendario de conservación completo en el DPA: plazos máximos de conservación especificados para los datos principales, las copias de seguridad, los entornos de desarrollo, las exportaciones de analítica y los datos archivados, no solo la supresión al terminar el contrato
• Obligación de supresión en todos los repositorios: el requisito de supresión debe abarcar todas las ubicaciones en las que existen los datos, incluidas las copias de seguridad, las copias de DR, los entornos de desarrollo y los subencargados
• Verificación de la supresión más allá de la confirmación: certificado de supresión de un responsable técnico, evidencia del inventario de datos antes y después de la supresión o certificación de un tercero para las relaciones de mayor riesgo
• Activación de la supresión en los subencargados: la obligación de supresión del proveedor principal debe trasladarse por contrato a todos los subencargados que recibieron los datos
• Derecho a auditar la supresión: derecho contractual del cliente a verificar la supresión mediante auditoría o certificación, que ofrece un mecanismo de cumplimiento más allá de la autodeclaración
• Aplicación automatizada de la conservación: políticas de conservación aplicadas mediante controles técnicos en lugar de procesos manuales, lo que reduce la dependencia del conocimiento individual y del cumplimiento de los procesos

Herramientas

Gobernar la conservación de datos por parte de los proveedores requiere tanto mecanismos contractuales como controles técnicos capaces de exigir y verificar la supresión en toda la huella de datos.

Gestión del ciclo de vida de los datos: Microsoft Purview, OpenText, Veritas

Las plataformas de gestión del ciclo de vida de los datos automatizan la aplicación de las políticas de conservación: aplican calendarios de conservación en todos los sistemas de almacenamiento, inician la supresión cuando vencen los plazos de conservación y mantienen registros de auditoría de los eventos de supresión. En el caso de los proveedores que utilizan plataformas empresariales de DLM, la aplicación automatizada de la conservación ofrece mayor garantía que los procesos de supresión manuales, porque elimina el paso humano que representaba el gerente de cuenta de la compañía de seguros. Para los profesionales de TPRM, preguntar si el proveedor aplica de forma automatizada su política de conservación, en lugar de suprimir manualmente a solicitud del cliente, revela la madurez técnica de su programa de conservación.

Descubrimiento de datos para el alcance de la supresión: BigID, Varonis, Spirion

Antes de poder suprimir completamente los datos, es necesario conocer todas las ubicaciones en las que existen. Las plataformas de descubrimiento de datos identifican dónde existen datos personales en los sistemas de almacenamiento de una organización y proporcionan el inventario que hace posible una supresión completa. Un proveedor que ejecuta un análisis de descubrimiento de datos limitado a los datos del cliente antes de realizar una supresión puede confirmar que esta es completa de un modo que no puede un proveedor sin capacidad de descubrimiento. Para los profesionales de TPRM, preguntar si el proveedor utiliza herramientas de descubrimiento de datos para identificar todas las ubicaciones de los datos del cliente antes de ejecutar las solicitudes de supresión plantea una pregunta concreta sobre capacidades que determina si una supresión completa es técnicamente posible.

Certificado de supresión: firmas de auditoría externas, supresión certificada conforme a ISO 27001

En las relaciones con proveedores de mayor riesgo, la supresión certificada por un tercero ofrece mayor garantía que la autodeclaración del proveedor. Los servicios especializados de destrucción de datos y de certificación de supresión emiten certificados de supresión firmados criptográficamente que abarcan los sistemas especificados tras una verificación independiente. Para las organizaciones que terminan relaciones con proveedores que implican grandes volúmenes de datos sensibles de alto nivel de criticidad, exigir un certificado de supresión de un tercero en lugar de la confirmación de un gerente de cuenta crea un registro de supresión documentado y verificado de forma independiente.

Gestión del ciclo de vida de los contratos: Ironclad, Icertis

Las plataformas de CLM con seguimiento automatizado de las obligaciones contractuales pueden iniciar flujos de baja cuando terminan los contratos: generan automáticamente solicitudes de supresión, hacen seguimiento de los plazos de confirmación y señalan las respuestas atrasadas. Para los programas de TPRM que gestionan grandes carteras de proveedores, el seguimiento automatizado de las obligaciones de baja evita las lagunas de los procesos manuales que permiten que se pasen por alto confirmaciones de supresión o que los datos persistan indefinidamente después de que terminan las relaciones.

Desafíos de gobernanza

El reto de gobernanza de la conservación de datos por parte de los proveedores es la invisibilidad de la acumulación. Durante una relación activa con un proveedor, los datos se acumulan en sistemas de copia de seguridad, entornos de desarrollo y archivos mediante procesos totalmente normales y en gran medida invisibles para el cliente. Nadie envía una notificación cuando se crea una nueva copia de seguridad con los datos del cliente. Nadie inicia una revisión cuando se aprovisiona un entorno de desarrollo con una copia de los datos de producción. La acumulación es silenciosa y continua, y su alcance suele desconocerse hasta que una solicitud de baja revela la diferencia entre lo que conserva el sistema principal y lo que conservan todos los sistemas.

Para los programas de TPRM, el enfoque práctico de gobernanza consiste en hacer que los requisitos de conservación sean explícitos y completos en la fase de contratación: definir plazos máximos de conservación para todas las categorías de datos y todos los tipos de sistemas, exigir una aplicación automatizada cuando sea posible y establecer un derecho de verificación que el cliente pueda ejercer en la baja. Un proveedor que ha operado con requisitos de conservación explícitos durante toda la relación tendrá al terminar una huella de datos más pequeña y mejor gobernada que uno que lo conservó todo de forma predeterminada y al que se le pidió suprimirlo al final.

• Definir los requisitos de conservación al contratar: plazos máximos para todos los tipos de datos y todas las categorías de sistemas, antes de que comience la acumulación
• Exigir la aplicación automatizada de la conservación cuando sea técnicamente viable, para reducir la dependencia de procesos manuales de supresión que ejecutan los gerentes de cuenta
• Establecer un derecho de verificación de la supresión: derecho contractual a solicitar evidencia de la supresión más allá de la autodeclaración, ejercitable en la baja
• Incluir la supresión por parte de los subencargados en la lista de verificación de baja: confirmación de que se notificó a los subencargados y se verificó la supresión, no solo la supresión por parte del proveedor principal
• Realizar auditorías periódicas de conservación en las relaciones a largo plazo: pedir a los proveedores que confirmen su huella de datos actual y verifiquen que coincide con lo esperado según la política de conservación antes de la baja

Si usted forma parte de un equipo pequeño

Cambie de inmediato un elemento de su proceso de baja: sustituya el flujo de solicitud y confirmación de la supresión por un flujo de solicitud, confirmación y verificación de la supresión. En las terminaciones de mayor riesgo, añada un paso después de recibir la confirmación de la supresión: pida al proveedor evidencia del alcance de la supresión, es decir, qué sistemas concretos se incluyeron en ella y si se incluyeron el entorno de desarrollo, el sistema de copias de seguridad y los datos de los subencargados. Esa sola pregunta adicional sacará a la luz una supresión incompleta antes de que se convierta en una notificación de brecha dos años después.

• Añada la verificación del alcance de la supresión a su proceso de baja: qué sistemas se incluyeron, no solo si se realizó la supresión
• Incluir explícitamente en su plantilla de solicitud de supresión las copias de seguridad, los entornos de desarrollo y los subencargados
• En las terminaciones de mayor riesgo, exigir que la confirmación de la supresión la firme un responsable técnico y no un gerente de cuenta
• Añada plazos máximos de conservación de copias de seguridad en la próxima renovación del DPA para evitar el problema de acumulación de copias de seguridad durante siete años

Qué exigir

Pregunte directamente:

“Cuando solicitemos la supresión de nuestros datos al terminar el contrato, ¿qué sistemas concretos abarca su proceso de supresión? ¿Incluye los sistemas de copia de seguridad, las copias de recuperación ante desastres, los entornos de desarrollo y pruebas, las exportaciones de analítica y los datos de los subencargados?”

“¿Cuál es su plazo máximo de conservación de copias de seguridad? ¿Y las copias de seguridad de los datos de clientes están sujetas al mismo plazo de supresión que los datos del sistema principal cuando se recibe una solicitud de supresión?”

“¿Qué evidencia puede proporcionar para verificar que la supresión fue completa en todos los sistemas, más allá de la confirmación del gerente de cuenta, por ejemplo, una declaración de un responsable técnico, una comparación del inventario de datos o un certificado de supresión de un tercero?”

Evidencia que debe esperar

• Documentación del alcance de la supresión: todos los sistemas incluidos en el proceso de supresión, con confirmación explícita de que abarca las copias de seguridad, los entornos de desarrollo y los subencargados
• Política de conservación de copias de seguridad: plazos máximos de conservación y si las solicitudes de supresión activan la depuración de las copias de seguridad
• Evidencia técnica de la verificación de la supresión: más allá de la confirmación del gerente de cuenta, un registro técnicamente verificable del alcance de la supresión
• Confirmación de la activación de la supresión en los subencargados: que las solicitudes de supresión se trasladen a los subencargados

A un proveedor que responde a la pregunta sobre el alcance de la supresión con “suprimimos todos sus datos cuando lo solicita” se le debe preguntar concretamente si eso incluye las cintas de copia de seguridad o las instantáneas de copias de seguridad en la nube, las copias en entornos de desarrollo y los datos que conservan sus subencargados de analítica o de infraestructura. La declaración general es la intención. El alcance de cada tipo de sistema es la evidencia.

Cómo demostrarlo

La limitación del plazo de conservación del GDPR, el derecho de supresión de la CCPA y los requisitos de eliminación de PHI de la HIPAA crean obligaciones de supresión verificada de los datos personales cuando ya no se necesitan. Demostrar la diligencia debida requiere evidencia de que la supresión fue completa y se verificó, no solo de que se solicitó y se confirmó en el sistema principal.

• Registros de las solicitudes de supresión con una especificación explícita del alcance que abarque todos los sistemas
• Confirmación del alcance de la supresión, incluidas las copias de seguridad, los entornos de desarrollo y los subencargados
• Evidencia de verificación más allá de la confirmación del gerente de cuenta para las terminaciones de mayor riesgo
• Documentación del calendario de conservación del DPA que abarque todos los tipos de sistemas
• Confirmación del traslado de la supresión a los subencargados en las relaciones terminadas

Conclusión clave

Supresión confirmada y supresión verificada no son lo mismo. Un gerente de cuenta que confirma la supresión ha confirmado aquello a lo que podía acceder y lo que conocía. El sistema de copias de seguridad, el entorno de desarrollo, el archivo de analítica y el subencargado tenían sus propias copias, copias cuya existencia el gerente de cuenta quizá desconocía. Los datos que supuestamente habían desaparecido siguieron existiendo en esos sistemas, y dos años después aparecieron en una notificación de brecha. La gobernanza de la conservación de datos por parte de los proveedores no está completa cuando se envía la solicitud de supresión y se archiva la confirmación. Está completa cuando todos los sistemas que contenían los datos (principal, copia de seguridad, desarrollo, archivo, subencargado) se han incluido en la supresión y esta se ha verificado más allá de la autodeclaración. Pida el alcance. Pida la evidencia. Una confirmación que no describe lo que abarcó es la confirmación de algo más pequeño que la supresión que se necesitaba.