Los datos nunca mueren: La batalla inmortal de la privacidad de los datos
Hace más de doscientos años, Benjamin Franklin dijo que no hay nada cierto salvo la muerte y los impuestos. Si Franklin estuviera vivo hoy, añadiría una certeza más a su lista: tu perfil digital.
Entre los datos compilados y almacenados por empleadores, empresas privadas, agencias gubernamentales y sitios de redes sociales, la información personal de casi cada individuo está en todas partes.
Cuando alguien muere, esos datos se convierten en responsabilidad del patrimonio; pero, ¿qué sucede con los derechos de privacidad en torno a esa información? ¿Cuál es el nivel de responsabilidad de una organización para seguir las regulaciones de privacidad de datos cuando el propietario ha fallecido, y cambia eso si la persona era un cliente, un cliente o un empleado?
Los datos como propiedad: ¿Quién los posee?
El primer obstáculo en la protección de datos post-mortem es definir la propiedad. Cualquier organización con datos almacenados en una nube pública ha tenido que abordar la pregunta de la propiedad de datos en relación con la ciberseguridad: ¿De quién es el trabajo de proteger los datos en la nube?
Cuando se usa un proveedor basado en la nube, muchas empresas piensan que están reteniendo la propiedad de sus datos en estos acuerdos de servicios de terceros, pero esto a menudo no es el caso.
Las licencias de usuario final a menudo tienen formulaciones que desplazan la propiedad de los datos lejos del consumidor y la pasan al proveedor.
La propiedad de datos es un terreno muy resbaladizo. Las empresas se venden frecuentemente, y cuando eso sucede, los datos son garantía del negocio. No importa si los datos fueron generados por los clientes; se convierten en propiedad de los nuevos dueños.
Si no podemos definir la propiedad de los datos, tampoco podemos permitir que los datos sean heredados. La idea de la herencia digital aún está en su infancia, pero en este momento, no existen conjuntos claros de procedimientos o leyes sobre cómo transmitir sus derechos digitales a los familiares más cercanos.
Quizás el mayor obstáculo para definir los datos como propiedad es que los datos pueden estar en cualquier lugar y a menudo son redundantes. Cuando un usuario comparte información personal identificable (PII) con un proveedor, nunca sabrán con certeza dónde terminan esos datos o cuántas veces los datos pueden haber sido replicados. Conjuntos de datos que identifican específicamente a un individuo podrían ser almacenados en las instalaciones de una empresa pero están respaldados y replicados en cuatro centros de datos fuera del sitio en diferentes países. Ahora no solo estás lidiando con el derecho de propiedad del proveedor, sino también con las leyes que rigen los datos en cada ubicación.
Los datos nunca mueren
La suposición por defecto es que cuando una persona muere, no importa qué sucede con sus activos digitales. No los van a necesitar. Manejar los restos digitales de otra persona es una tarea enorme, a menudo requiriendo certificados de defunción y probando tu relación. Incluso entonces, puede que solo estés raspando la superficie de lo que realmente está allá afuera. ¿Y qué haces con los datos que recuperaste? La tarea es tan abrumadora, y no hay nada tangible para coleccionar o defender.
Tu ser querido morirá. Sus activos digitales vivirán. Sin la capacidad de monitorear cuentas o poner entornos alrededor de sus datos personales, la PII de una persona fallecida se convierte en un objetivo atractivo para ladrones de identidad y secuestradores de cuentas. En general, los ataques debido a tomas de control de cuenta aumentaron un 131% en 2022, según investigaciones de Sift.
Recomendado por LinkedIn
La naturaleza de los ataques de toma de control de cuenta también los hace fáciles de escalar, teniendo acceso a un conjunto de credenciales comprometidas a menudo abre la puerta a múltiples cuentas, dando a los estafadores varias fuentes de las cuales robar.
Las cuentas digitales que alguna vez pertenecieron a alguien que ha fallecido se convierten literalmente en cuentas fantasma. Están inactivas y sin vigilancia. Nadie mantiene una vigilancia vigilante sobre cuentas inactivas, y los actores de amenazas lo saben. Esto se convierte en un serio riesgo cibernético para quienquiera que tenga los datos. Una única cuenta comprometida puede ofrecer acceso a largo plazo a la red corporativa, abriendo la puerta a ataques de ransomware o robo financiero.
Tampoco la mayoría de las regulaciones de privacidad de datos no ofrecerán ninguna protección. Ofrecen cobertura de privacidad para personas identificables; una persona fallecida no califica como identificable. Una excepción a esto es la información de atención médica porque a menudo incluye registros de otra persona (viva).
Protegiendo a tus clientes y empleados fallecidos
No puedes proteger lo que no conoces. Sí, eso es un cliché ahora, pero también es fácil olvidarlo. Así que mientras todos en la empresa están vivos y bien, es hora de comenzar un inventario completo de activos.
Este debe ser un proceso de por vida, porque construir los activos digitales de uno es un proceso de por vida.
Los usuarios necesitan crear un plan de herencia. Quizás nadie va a heredar físicamente tus activos digitales, pero es probable que alguien necesite acceder a cuentas. Dentro del ambiente de trabajo, esto es especialmente cierto para la continuidad del negocio. Contraseñas, nombres de usuario y llaves MFA deben estar disponibles.
El cambio de juego de la privacidad: IA
La inteligencia artificial va a forzar a los legisladores y organizaciones a repensar las reglas alrededor de la privacidad de datos para personas fallecidas. Cualquier tipo de activo digital puede ser convertido en información falsa o regenerado para traer a alguien digitalmente de vuelta a la vida. La IA generativa ya está siendo usada para construir avatares de los fallecidos, llamados ghostbots, usando datos disponibles para recrear su voz y personalidades para hacer parecer que están vivos. Pero mientras las personas fallecidas no tienen derechos de privacidad, los ghostbots claramente están difuminando las líneas de cuándo debería terminar la privacidad de datos.
Aunque actualmente los ghostbots no parecen ser un riesgo de seguridad; realmente es solo cuestión de tiempo hasta que los actores de amenazas usen la IA para llevar el robo de identidad al siguiente nivel. Las organizaciones están mejor sin datos fantasma que podrían ponerlas en mayor riesgo de una violación de datos. Pero, ¿se entregan esos datos al familiar más cercanos, o se eliminan?
Todos tienen un legado digital para proteger. Solo necesitamos descubrir la mejor manera de hacerlo mientras protegemos la privacidad del fallecido y sus seres queridos.