Me encanta la iniciativa GOTO de Toni y, sin ninguna acritud, me uno a ella para darles mi visión de episodios profesionales que nos toca vivir con más frecuencia de la que sería deseable. Hablo, en este caso, de los Consultores de la LOPD, una clase especial de consultores de seguridad, mitad abogados, mitad técnicos y al final en muchos casos, desgraciadamente, ni lo uno, ni lo otro.

Si como ha dicho Toni en su post el “Consultor Junior” es por definición un oxímoron y como tal, lo único que nos puede traer es algún que otro problema, además de un trabajo relativamente mal hecho por muy importante que sea la firma para la que trabaja, el caso se complica cuando lo que hace el supuesto consultor es implantar un Sistema de Gestión de la LOPD o auditar la LOPD de una organización.

En este caso la LOPD es como todos ustedes saben una ley, y por tanto de obligado cumplimiento, aunque a veces no lo parezca. Además, en el caso de nuestro país, está acompañada por un reglamento que para ser de mínimos es bastante exigente, y de un régimen sancionador que pone los pelos de punta al que se lo estudia con un poco de detalle.

En este contexto y aprovechando las corrientes de negocio que se imponen en cada circunstancia —ayer le tocaba a la calidad, hoy a la LOPD, mañana a los sistemas de gestión de seguridad de la información y pasado ya veremos—, aparecen legiones de “consultores junior” ataviados con trajes oscuros y corbatas planchadas que se toman la licencia de verter opiniones con formato de recomendación, amparadas en la ignorancia o en la falta de experiencia, cuyas consecuencias estoy seguro que no se han parado a analizar.

Tras semejantes despropósitos, perfectamente maquetados con la última versión del procesador de textos de turno y recogidos en un resumen ejecutivo, en formato “ppt”, carente de contenido, nos encontramos al comprador, que en la mayor parte de los casos por un desconocimiento totalmente justificado (es imposible saber de todo), depositan su confianza en el prestigio de algunas marcas o, lo que es peor, en supuestas firmas especializadas en la gestión de la LOPD de turno.

¿Qué es lo que tiene el comprador en estos casos? Además del despropósito comentado lo que tiene es una falsa sensación de seguridad y de cumplimiento de la legislación vigente, pero ojo: “el desconocimiento de la ley no exime de su cumplimiento” Con esto quiero decir que aunque el causante de dicho despropósito sea nuestro “consultor junior” amparado por esa “firma” que nos garantiza la supuesta calidad del trabajo bien hecho, el responsable —no el causante— es, de todas, todas, el comprador.

Ahora llega ese capítulo que nos “disgusta” tanto a los que nos dedicamos a este trabajo con mucha pasión —resulta francamente desagradable—. Llega la hora de la auditoría bienal y, como mandan los cánones, se contrata a otra firma para que audite el trabajo de implantación o, por ejemplo, se presenta la necesidad de realizar un trabajo urgente como consecuencia de un incidente de seguridad. Aquí es cuando empiezan a saltar chispas. En cualquiera de los casos, de forma más o menos extensa o más o menos formal, se realiza un análisis o una auditoría, y se dictamina sobre el cumplimiento o no del reglamento de la LOPD, sobre el grado de adecuación del documento de seguridad, sobre el diseño de los procedimientos mínimos exigidos por el reglamento, sobre algunas medidas de seguridad implantadas, sobre la declaración de los ficheros en el marco de la propia LOPD y un largo etcétera. En definitiva, sobre el grado de cumplimiento en general o el grado de tranquilidad que debe tener el responsable del fichero y… voila, ante la estupefacta mirada del “representante” del “responsable” del fichero se presenta una situación catastrófica, que en muchas ocasiones podría ser fruto de unas pocas horas de trabajo, si el Consultor que realiza la auditoría es realmente experimentado.

¿Cómo es posible?, pregunta el cliente. ¿Quieres decir que el informe anterior de auditoría, el que me hicieron cuando lo implantaron, estaba mal?, ¿quieres decir que el trabajo realizado por el “Consultor” de la firma X hizo mal su trabajo?, ¿quieres decir que el informe firmado por “tal” no es cierto? pregunta una y otra vez el cliente. El resultado es un cliente “frustrado” y “cabreado”, que incluso puede haber sido el causante del mal por haber contratado una LOPD llamémosla “low-cost” por puro desconocimiento, pero que a todas luces ha sido “estafado”.

Al final lo que queda es un desprestigio para nuestra profesión, y yo no puedo evitar “gritar” en contra de estas barbaridades que desgraciadamente se encuentran a nuestro alrededor. Pero, ¿qué le debe contestar el auditor en este caso? La verdad sustentada en hechos en base al análisis realizado y no en base a opiniones. El hecho cierto es que la situación es la que es, y lo que no se debe entrar a valorar es otra situación anterior desconocida sobre la que lo único que podría hacerse es opinar.

Si en general siempre hay que ser un profesional para dirigir o llevar a cabo un trabajo, en determinados casos, calibrado por las consecuencias de un trabajo mal realizado, debemos ser especialmente escrupulosos en la contratación o en la realización del mismo. Es evidente que este no es un caso generalizado, pero desgraciadamente es más común de lo que debiera.

Para acabar, con la ayuda de todos ustedes y de los abogados que nos consta que nos siguen, me gustaría que entre todos respondiésemos a una serie de cuestiones interesantes y especialmente relevantes para la cuestión que les planteo. Tómenlo, si quieren, como una especie de reto.

Una empresa contrata los servicios de una firma que realiza un trabajo a través de un “consultor junior”, en este caso la implantación de la LOPD en la empresa contratante. Unas semanas tras la adaptación, la empresa en cuestión tiene un incidente de seguridad (que pudiera ser un simple ejercicio de derechos ARCO no respondido en forma y plazo) y la AEPD le impone una sanción por el incidente. Analizando un poco el caso llegamos a la conclusión de que el origen del problema es un trabajo de implantación mal realizado por el consultor de la LOPD. ¿Qué sucedería en este caso?

En primer lugar, la empresa en cuestión pagaría irremediablemente la sanción impuesta por la AEPD puesto que la responsabilidad es del Responsable del Fichero y, por tanto, en este caso supuesto, de la empresa en última instancia. Normalmente se podría quedar ahí la cosa, aunque yo creo que se puede profundizar un poco en el caso, y aquí es donde espero su colaboración. Veamos.

El consultor junior, bajo mi punto de vista, dado que no ha actuado de mala fe en ningún momento, no tendría responsabilidad alguna en el tema. En cambio, la empresa sancionada podría demandar a la empresa contratada para la realización de la adaptación inicial, e intentar repercutir la sanción impuesta por la AEPD si de verdad se puede demostrar que la sanción ha sido impuesta como consecuencia de un trabajo mal ejecutado por la misma; por ejemplo, un Documento de Seguridad mal diseñado, unos ficheros con niveles mal declarados, procedimientos de seguridad inexistentes o inútiles, contratos con terceros inexistentes, un procedimiento de atención de ejercicio de derechos ARCO con plazos incorrectos, etc.

¿Consideran que esto sería factible?

Asumamos que sí. En este caso, si prosperase la demanda contra la empresa que ha realizado el trabajo de consultoría, ¿podría la empresa repercutir, a su vez, a su empleado, el resultado de la demanda contra ella interpuesta? ¿podría tener éxito algo así?

Por último, ¿creen ustedes que las empresas que lanzan sus huestes de “consultores junior” contra sus clientes han valorado estas situaciones?

(+6 rating, 6 votes)

 Loading ...