En los últimos años, hemos sido testigos de un endurecimiento significativo de los requisitos de protección de la privacidad en todo el mundo. Regulaciones como el GDPR en Europa, la CCPA en California, la PIPEDA en Canadá y otras legislaciones en muchos países han creado un nuevo estándar para la gestión de la información personal. En Israel, la Enmienda 13 a la Ley de Protección de la Privacidad representa otro paso significativo en esta dirección.
Para las organizaciones que realizan verificaciones de antecedentes basadas en inteligencia de fuentes abiertas (OSINT), a veces surge la pregunta de si estas regulaciones harán que dichas verificaciones sean imposibles o perjudicarán su eficacia.
La respuesta profesional es no.
La regulación cambia la forma en que se realiza la verificación, pero no elimina la necesidad de ella ni impide la realización de verificaciones de calidad cuando se llevan a cabo de manera profesional, legal y proporcionada.
¿Qué es la Enmienda 13 a la Ley de Protección de la Privacidad? La Enmienda 13 tiene como objetivo reforzar las capacidades de aplicación de la Autoridad de Protección de la Privacidad y adaptar la legislación israelí a los estándares internacionales modernos. Entre otras cosas, la enmienda otorga a la Autoridad de Protección de la Privacidad facultades de aplicación más amplias, aumenta de manera significativa la cuantía de las sanciones económicas, obliga a las organizaciones a gestionar la información personal de forma más responsable, incrementa la responsabilidad de los titulares de bases de datos y de los procesadores de datos, y refuerza los derechos de los titulares de los datos. En la práctica, la implicación para las organizaciones es que la infracción de las disposiciones de privacidad puede convertirse en un riesgo empresarial, jurídico y reputacional significativo.
¿Cómo afectan las regulaciones de privacidad a las verificaciones de antecedentes? El error más común es pensar que la legislación de privacidad prohíbe la recopilación de información. En realidad, la mayoría de las regulaciones del mundo no prohíben la recopilación de información personal de forma generalizada. Exigen que la recopilación se lleve a cabo sobre la base de principios claros: una finalidad legítima, proporcionalidad, transparencia, minimización de datos, seguridad de la información y conservación limitada en el tiempo. Es decir, la pregunta no es "¿está permitido recopilar información?", sino "¿qué información se recopila, por qué se recopila y cómo se utiliza?".
El uso de OSINT no está exento de las leyes de privacidad. Existe otra percepción errónea según la cual la información publicada en Internet es "de uso libre". El hecho de que la información se encuentre en la red no anula su condición de información personal. Por ejemplo: un perfil de LinkedIn, las publicaciones en redes sociales, los artículos de prensa, los registros comerciales y los contenidos en foros. Todos estos pueden considerarse información personal y estar sujetos a las leyes de privacidad. Por lo tanto, una organización que realiza verificaciones de antecedentes no puede basarse en la afirmación de que la información era meramente "pública".
¿Cómo se pueden realizar verificaciones de antecedentes de calidad conforme a la regulación?
Definir una finalidad clara: Una verificación de antecedentes debe estar directamente relacionada con el riesgo que la organización busca mitigar. Por ejemplo: detectar conflictos de intereses, identificar fraudes pasados, detectar comportamientos que puedan perjudicar a la organización, examinar riesgos reputacionales e identificar relaciones comerciales problemáticas. La recopilación de información no relacionada con esta finalidad puede considerarse una desviación del principio de proporcionalidad.
Recopilar únicamente información relevante: Una verificación profesional no se mide por la cantidad de información recopilada, sino por la calidad de la información. En muchos casos, un exceso de información dificulta precisamente la toma de decisiones. El enfoque correcto es centrarse en información con un valor empresarial real y vincularla a la evaluación de riesgos requerida.
Recurrir a analistas humanos: Uno de los problemas centrales de las verificaciones automatizadas es la recopilación masiva de información sin contexto. Un analista profesional sabe distinguir entre hecho y opinión, contrastar fuentes, identificar errores de identificación, comprender contextos culturales y lingüísticos y ejercer el criterio. Precisamente en un mundo de regulación estricta, el valor del factor humano aumenta.
Transparencia y consentimiento cuando se requiera: En los procesos de contratación de empleados o en determinadas relaciones contractuales, se recomienda obtener un consentimiento explícito para realizar una verificación de antecedentes. Incluso cuando la ley no lo exige plenamente, un consentimiento claro refuerza la legitimidad del proceso y reduce los riesgos jurídicos.
Eliminación de información y conservación limitada: Uno de los principios fundamentales de la mayoría de las regulaciones de privacidad es la limitación de la duración de la conservación. Tras completar la verificación y tomar la decisión empresarial, se debe examinar si existe justificación para seguir conservando la información, si se pueden eliminar los informes y si solo es necesaria una conservación parcial de los datos. Este enfoque reduce los riesgos de seguridad de la información y disminuye la exposición regulatoria.
La ventaja de OSINT precisamente en la era de la privacidad: Paradójicamente, las regulaciones de privacidad refuerzan precisamente la posición de las verificaciones OSINT de calidad. En el pasado, muchas organizaciones se basaban en la recopilación de información de numerosas bases de datos, algunas de ellas problemáticas desde el punto de vista jurídico. Hoy, el énfasis se desplaza hacia la información recopilada de fuentes abiertas, legales, documentadas y verificables. Cuando la verificación se realiza de manera profesional, es posible llegar a conclusiones significativas incluso sin acceso a información privada o confidencial. En muchos casos, es precisamente la información abierta la que proporciona los indicios más importantes sobre el comportamiento, las relaciones comerciales, los riesgos reputacionales o los conflictos de intereses.
La clave es la Governance y no la prohibición: El mensaje central de la Enmienda 13 y de las regulaciones de privacidad en el mundo no es "no realicen verificaciones de antecedentes". El mensaje es: realícenlas de manera responsable. Las organizaciones que construyan procesos de trabajo ordenados, velen por la proporcionalidad, operen mecanismos de control y recurran a analistas profesionales podrán seguir realizando verificaciones de antecedentes sumamente eficaces incluso bajo una regulación estricta.
De hecho, en un mundo en el que las amenazas internas, los fraudes, las suplantaciones basadas en AI y los conflictos de intereses se vuelven más complejos, la necesidad de verificaciones de antecedentes profesionales no hace más que crecer.
El nuevo desafío no es encontrar información. El desafío es saber recopilar la información correcta, utilizarla de manera legal y extraer de ella conclusiones de valor real para la toma de decisiones.