Por: Mateo Viteri

El 13 de noviembre de 2025, se promulgó la GUÍA DE PROTECCIÓN DE DATOS DESDE EL DISEÑO POR DEFECTO. Esta Guía contiene un sistema denominado Cero Confianza (Zero Trust Data Protection) que prohíbe cualquier confianza implícita en las operaciones de proyectos que se implemente un software y/o un sistema de información que involucre datos personales en su fase de planificación. Los Capítulos 1 y 2 son vinculantes a todas las personas que realicen estos proyectos. La Guía busca reducir y eliminar riesgos futuros en la etapa inicial de planificación. Los principios más importantes desarrollados en esta Guía son:

• Minimizar. – Utilizar la menor cantidad de datos personales posible para cumplir con los fines necesarios del tratamiento;
• Ocultar. – Desvincular atributos de la identidad de los titulares e implementar controles de acceso que impidan el acceso a personas no autorizadas;
• Separar. – Registrar y procesar los datos personales en bases distintas ubicadas en servidores controlados por entidades diferentes;
• Abstraer. – limitar al máximo los detalles de los datos personales objeto de tratamiento;
• Controlar. – Establecer mecanismos alternativos para que los titulares otorguen o revoquen su consentimiento y ejerzan sus derechos sobre sus datos personales;
• Informar. – Facilitar la información a los titulares sobre el tratamiento de sus datos, explicar las razones del tratamiento de datos y notificarlos cuando sus datos sean compartidos a terceros;
• Cumplir. – Elaborar una política de protección de datos e implementar gestiones de riesgos mediante controles de manera eficaz y eficiente;
• Demostrar. – Registrar todos los procesos de tratamiento de datos, auditarlos en lo jurídico, organizacional y técnico, y generar reportes que acrediten el cumplimiento de los controles de la SPDP.

Respecto a las fases del ciclo de vida del desarrollo exclusivamente de un software, se aplican los principios DevSecOps. Ellos son:

• Shift Left. – mecanismos de identificación y corrección de vulnerabilidades desde el inicio del desarrollo del proyecto;
• Automatización de procesos de Seguridad. – controles autónomos de seguridad que miden cada cambio en el software en tiempo real;
• Colaboración Interdisciplinaria. – colaboración entre los equipos de desarrollo, operaciones, seguridad y protección de datos personales; y
• Monitoreo y Retroalimentación Continua. – monitoreo continuo que detecta comportamientos anómalos y accesos no autorizados.

Sobre el desarrollo de gestión de riesgos en el contexto del diseño por defecto de un software y/o para un sistema de información los principios son: i) Gestión de riesgos para la protección de derechos y libertades. – Elaborar y comparar escenarios de riesgos probables contra los derechos y libertades de los titulares de los datos con el fin de realizar su evaluación de impacto del tratamiento; ii) Integración de la gestión de riesgos para la protección de derechos y libertades con la gestión riesgos de seguridad de la información. – Integrar los resultados de la gestión de riesgos para la protección de los derechos y libertades anterior con la gestión de riesgos de seguridad de la información; iii) Utilizar estándares de mejores prácticas. – Escoger las mejores guías y estándares para las operaciones DevPrivOps y DevSecOps que pueden orientar de mejor manera a los responsables del tratamiento de datos; iv) Justificación de todos los rationales. – Justificar todo valor de entrada en un modelo de riesgos como parte de la aplicación del principio de protección de datos desde el diseño y por defecto; v) Conformidad en riesgos. – Asegurar en la práctica la identificación, análisis y evaluación de riesgos desde la concepción de un proyecto; vi) Auditorías. – Auditar las operaciones DevPrivOps y DevSecOps en función de su eficacia y eficiencia; vii) Prevenir vulneraciones de la seguridad de datos personales. – Enfocarse en la prevención de vulneraciones de la seguridad de datos desde la concepción de un proyecto.

Para cualquier duda o comentario sobre esta publicación, no dude en ponerse en contacto con nuestro experto: mviteri@coronelyperez.com