Un acuerdo de US$ 10 millones que encendió las alarmas
Según un reportaje de The Record, legisladores de EE. UU. advirtieron sobre un acuerdo propuesto de US$ 10 millones para venderle a Google datos internos de Spirit Airlines, que se utilizarían para entrenar inteligencia artificial. De acuerdo con un comunicado del representante Steven Horsford citado por la publicación, el paquete incluiría cerca de 100 millones de correos electrónicos y 500 millones de mensajes intercambiados en una plataforma de chat corporativo.
La lista citada va más allá de las conversaciones e incluye contratos laborales, registros de empleados y de asistencia, además de información de nómina y de impuestos. Los legisladores afirman que la operación podría exponer datos personales y sensibles de empleados y de terceros que se comunicaron con la empresa, y el caso sigue en curso.
Para quienes toman decisiones de negocio y tecnología, el episodio plantea una pregunta que vale la pena hacerse con calma: si su empresa cambiara de dueño, entrara en concurso de acreedores o cerrara una operación, ¿qué pasaría con los años de correos electrónicos, conversaciones y registros de RR. HH. guardados en sus sistemas?
Lo que el caso revela sobre los datos de su empresa
El primer aprendizaje es que los correos electrónicos, los chats internos, los contratos y la nómina forman un activo con valor de mercado. Con la creciente demanda de datos reales para entrenar modelos de IA, ese acervo empieza a interesar a compradores que antes ni lo habrían mirado.
El segundo aprendizaje equilibra el primero, porque ese mismo acervo también es un pasivo jurídico y reputacional. Un buzón de correo corporativo suele contener documentos de identificación, datos bancarios, información de salud enviada a RR. HH., conversaciones con clientes y negociaciones con proveedores. Las leyes de privacidad como la LGPD (Ley General de Protección de Datos de Brasil) y el GDPR (General Data Protection Regulation, reglamento europeo de protección de datos), así como las normas estatales y locales en las Américas, se basan en principios de finalidad y necesidad para los datos personales.
Cómo poner la casa en orden, paso a paso
El camino comienza con el inventario y la clasificación de los datos. El inventario de datos es el mapeo de qué información almacena la empresa, en qué sistemas y con qué finalidad, mientras que la clasificación asigna niveles como público, interno, confidencial y sensible para que cada categoría reciba el cuidado adecuado.
Luego vienen las políticas de retención y eliminación. Una política de retención define durante cuánto tiempo debe conservarse cada tipo de dato, por exigencia legal, fiscal o de negocio, y qué sucede cuando ese plazo termina. Alinear esas reglas con la LGPD, el GDPR y las normas locales forma parte de una buena gobernanza y compliance, y reduce el volumen de información expuesta en cualquier escenario.
Por último, un backup gestionado con retención definida garantiza que lo crítico pueda recuperarse, sin guardar todo para siempre por falta de reglas. El monitoreo proactivo continuo completa el panorama, señalando accesos fuera de lo habitual y extracciones voluminosas, como descargas masivas de buzones de correo, antes de que se conviertan en un problema mayor.
Si su empresa fuera vendida, ¿sabría decir qué datos están incluidos en el paquete?
Para la mayoría de los tomadores de decisiones, la respuesta más honesta es "en parte", y ese es un excelente punto de partida. Un socio de TI gestionada puede actuar como respaldo de su equipo para mapear dónde residen los datos, aplicar gestión de parches (actualización organizada de sistemas para cerrar vulnerabilidades conocidas), configurar EDR (Endpoint Detection and Response, detección y respuesta en estaciones de trabajo y servidores) y mantener un monitoreo proactivo continuo sobre las cuentas más sensibles.
Sumado a un backup con una política de retención clara y a la capacitación de las personas sobre lo que debe o no circular por correo electrónico y chats, este conjunto transforma un acervo desordenado en un patrimonio organizado. Quien llega así a una auditoría, a una due diligence (análisis detallado que se realiza antes de una transacción societaria) o a un proceso de compliance gasta menos, corre menos riesgos y decide con más seguridad.
El caso Spirit aún está en curso, pero la lección ya sirve para cualquier empresa: datos conocidos, bien resguardados y eliminados en el momento adecuado son señal de madurez, y esa madurez está al alcance de equipos de cualquier tamaño con pasos simples y constantes.
Preguntas frecuentes
¿Por qué los correos electrónicos y chats corporativos se consideran datos sensibles?
Los correos electrónicos y chats corporativos suelen contener información personal de empleados, clientes y proveedores, como documentos, datos bancarios e información de salud, además de negociaciones confidenciales. Por eso, las leyes de privacidad como la LGPD y el GDPR exigen cuidado con ese contenido. Saber qué hay en esos buzones es el primer paso para protegerlo.
¿Qué es una política de retención de datos?
Una política de retención de datos define durante cuánto tiempo debe conservarse cada tipo de información y cómo debe eliminarse al final del plazo. Considera exigencias legales, fiscales y de negocio. Con ella, la empresa evita guardar datos innecesariamente y reduce los riesgos jurídicos y reputacionales.
¿Cómo puede una empresa pequeña empezar a organizar sus datos?
El camino más práctico es inventariar los sistemas y la información que almacena cada uno, activar MFA en las cuentas críticas y definir plazos de retención para correos electrónicos y registros de RR. HH. Un socio de TI gestionada puede apoyar al equipo interno en estas etapas. Pasos pequeños y constantes ya reducen considerablemente la exposición.
Referencias
¿Quiere saber cómo están organizados los datos de su empresa? Agende un Diagnóstico Estratégico de TI, sin compromiso.