Hace unas semanas asistí a un evento sobre seguridad de la información, y en la última mesa redonda, los nombres de los cuatro ponentes iban precedidos de unas siglas que a priori casi nadie entendía… Cada nombre y apellido llevaba delante la denominación “CDPP”, a lo que el moderador de la mesa explicó que se trataba de la certificación “Certificied Data Privacy Profesional” que acredita al profesional como experto en protección de datos y privacidad. De aquella sesión, saqué algunas conclusiones prioritarias.
Parece que en el momento en el que nos encontramos, está “muy de moda” ser CISA, CISM, LA ISO 27001, CISSP, CIA, y más recientemente CDPP, que es en concreto la que me implica. En general, esas siglas (incomprensibles para el que desconoce el mundillo) tienen detrás algo más que una definición en inglés ya que, tanto a nivel práctico como teórico, define unos conocimientos, así como una experiencia que diferencia al que la posee, que da credibilidad al que la acredita y, en contrapartida, que proporciona garantías a la empresa que contrata los servicios del consultor/auditor responsable de ejecutar los mismos. Esas siglas no sólo son un adorno al nombre y apellidos del profesional, casi es una obligatoriedad si se desea conseguir un buen resultado en el trabajo contratado.
En cuanto a la recién creada CDPP, no en vano, para conseguirla se exige un examen sobre muy diferentes aspectos que van desde los fundamentos de la protección de datos, el marco normativo general y sectorial tanto en España, como a nivel internacional, así como aspectos más técnicos en materia de seguridad, además de poder acreditar, al menos, tres años de experiencia en el sector. Para los profesionales que puedan reunir ciertos requisitos previos (formación específica con postgrado en la materia, experiencia profesional tanto a nivel de consultor, como auditor, como formación de, al menos, seis años, participación con artículos en medios de divulgación) obtener la certificación también resulta un proceso arduo de análisis, revisión y aprobación por un comité examinador.
Por otro lado, hay que aclarar que no existe en nuestro país ninguna obligatoriedad de que quien efectúe una serie de servicios en materia de protección de datos, como consultoría o auditoría, disponga de una formación adecuada y veraz en la materia, ni que se deba acreditar experiencia anterior, a pesar de que esto es precisamente lo que va dotando de cierta garantía y seriedad al servicio. Como consecuencia de lo anterior, no deja de ser infrecuente, y más en los tiempos que corren, que todo tipo de profesionales y no profesionales, lean la normativa y se dispongan a trasladarla sin más garantías que la de la aplicación literal de una norma que tiene sus recovecos, lagunas e interpretaciones profundas.
El propio Reglamento de Desarrollo de la Ley Orgánica de Protección De Datos perdió una oportunidad única de regular la profesión, cuando en su artículo 96, indica que la auditoría bianual (obligatoria para los responsables de ficheros de nivel medio y alto) podrá ser efectuada de forma interna o externa. Si en este punto, el RLOPD hubiera detallado algo más los requisitos exigibles para quienes externamente están habilitados en tal tarea, la seguridad del servicio estaría más que acreditada.
Hasta entonces, los responsables de fichero que quieran asegurarse un cumplimiento íntegro y no literal de la normativa, deberán confiar sus servicios a profesionales lo suficientemente cualificados, que en sus tarjetas de visita puedan (y deban) hacer visibles las siglas que les acrediten, y no otros.
Dicho esto, solo quedar por decir que nosotros somos también CDPP (entre otras!).