Prácticas recomendadas

Una lista de medidas clave que debes tomar para preservar la privacidad cuando desarrollas contenido para la Web.

Conceptos básicos

A lo largo de todo el curso, surgieron ciertos temas una y otra vez. Para proteger la privacidad de los usuarios, debes conocer el mínimo necesario, ser honesto y transparente en cuanto a lo que necesitas y por qué, y quitar lo que ya no necesitas. También eres responsable de lo que los demás pueden hacer y pueden hacer con los datos de tus usuarios, y eso significa que debes poder explicar de manera honesta y transparente de qué se trata. No debes tener todos los datos que no necesites, así que debes poder explicar por qué los necesitas y durante cuánto tiempo.

En organizaciones más grandes, es posible que haya funciones o equipos dedicados a hacer un seguimiento de los cambios técnicos más recientes en tus entornos de implementación y navegadores, y a comprender las implicaciones de los cambios técnicos y legales en la privacidad de los usuarios. Sin embargo, una organización más pequeña debe tener en cuenta la privacidad del usuario, cómo un entorno cambiante puede afectar las decisiones que ya se tomaron y qué se debe tener en cuenta para las decisiones que tomes de ahora en adelante. En este módulo, se resumen algunas prácticas recomendadas para mantenerte en contacto con tus opciones y requisitos de privacidad, así como con los de tus usuarios.

Ten en cuenta lo que haces

La primera práctica recomendada es la understanding. Debes conocer lo que sabes de tus usuarios y por qué lo sabes, debes saber lo que tus socios saben sobre tus usuarios y cómo lo descubrieron. Debe ser una parte documentada de tu política de privacidad. Preparar esta lista es difícil y tedioso al principio, pero lo más importante es que también es revelador para ti y la empresa. A menudo, puede ser una sorpresa (y no una agradable sorpresa) la cantidad de datos que recopilas y almacenas sobre tus usuarios. Documentarlo te dará un nivel de conocimiento, no solo sobre la recopilación de datos y la privacidad, sino también sobre la experiencia del usuario en tus sistemas y el software subyacente. Con frecuencia, hay rincones polvorientos o solicitudes sustituidas que necesitan actualización y que no se han olvidado.

Sí

Para cada dato que pueda vincularse a un usuario, documenta de forma explícita lo siguiente:

  • Una lista específica de para qué se recopilan.
  • Cuándo se borrará (y cómo puede borrarlo el usuario y no solo su propio equipo).
  • Cómo los recopilas.

Asegúrate de que se recopilen con un nivel de detalle suficiente para responder solo estas preguntas.

Esta documentación es de uso interno y debe estar completa y completa, pero puede ser valioso documentarla públicamente para los usuarios, ya que es importante establecer una atmósfera de confianza. Esto no solo es beneficioso en términos generales para la relación con el cliente, sino que es más probable que los usuarios ofrezcan como voluntarios los datos que necesitas para tomar decisiones comerciales si creen que no se usarán de forma inadecuada. Esta documentación pública está vinculada a tu política de privacidad más general (de hecho, formará parte importante de la política de privacidad), y redactarla de una forma que los usuarios puedan entender (junto con el lenguaje legal) ayuda a desarrollar la relación de confianza.

Mantente al día

La segunda práctica recomendada es mantenerse al tanto. Como regla general, toda esta industria avanza rápido, y la privacidad es un campo que cambia rápidamente, por lo que mantenerse al día puede ser un desafío. La tecnología que tienes disponible se modificará con frecuencia, pero las expectativas de los usuarios también se modificarán tan rápido. Es importante no quedarse atrás y, si puedes mantenerte a la vanguardia, se puede obtener una ventaja competitiva real si se toma una posición para preservar la privacidad. Administrar la privacidad del usuario y comprender cómo está cambiando la industria puede no ser parte del trabajo de alguien y no necesitas ser experto, pero sí debería ser parte del trabajo de alguien. Dedica parte del presupuesto de capacitación o conferencia a mantenerte en contacto con las tendencias de la industria y las actualizaciones reglamentarias.

Puede ser difícil mantenerse al día con los cambios en las actitudes y las prácticas recomendadas en materia de privacidad. No hay un solo lugar conveniente para hacerlo. Esto se debe en parte a que la protección de la privacidad es un campo muy amplio que afecta a muchas partes diferentes de muchas industrias diferentes. Sin embargo, el tema en sí mismo de cómo proteger mejor la privacidad de tus usuarios y de otras personas es muy controversial, y existen muchos enfoques diferentes y, a menudo, contradictorios. En este curso, establecimos un camino a seguir y algunas prácticas recomendadas, pero te será útil resumir tu propio enfoque de la manera que mejor se adapte a tus objetivos, a las de tu organización y a las necesidades de tus usuarios. Compilamos una lista de recursos disponibles para ti, tu administración y el equipo que te rodea con el objetivo de ayudarte a estar al tanto de los cambios de normas y de lo que actualmente es lo mejor que puedes hacer.

Algunos cambios en la privacidad que realizan los navegadores son de naturaleza técnica y los equipos de desarrollo deben comprenderlos. Considera, por ejemplo, el cambio a SameSite=Lax de forma predeterminada en las cookies. Este cambio afectó algunas funciones de algunos sitios, por lo que es posible que se hayan implementado cambios técnicos. Se anunció con anticipación y se probó antes de su lanzamiento final. Este es un buen ejemplo del tipo de cambio que puede afectar la privacidad del usuario (en este caso, ese cambio fue una mejora) y también puede necesitar cambios en tus apps para solucionarlos de forma correcta.

Recursos

Proveedores de navegadores y desarrolladores de plataformas web

Para la mayoría de los equipos de desarrollo web, los mejores lugares a fin de mantenerse al tanto de las prácticas más recientes de la industria sobre privacidad y protección del usuario son los proveedores de navegadores y las organizaciones de protección de datos del consumidor. En el caso de los anuncios y comunicados de prensa, esto significa que los diferentes blogs del equipo de proveedores de navegadores: una buena parte de estos temas son sobre tecnologías y aspectos que no están relacionados con la privacidad, pero, cuando existen anuncios relacionados con la privacidad, se mostrarán allí:

Para tener una idea de lo que planean implementar los navegadores y conocer sus posturas en las próximas APIs y propuestas que planeas usar, hay páginas de estado y posiciones:

Organizaciones de privacidad

Por supuesto, las posiciones de los proveedores del navegador son solo una entrada en esta conversación. También hay organizaciones que impulsan la mejora de la protección de la privacidad en el estado actual, y vale la pena hacer un seguimiento de ellas. La lista es larga, pero estos son solo algunos ejemplos:

Organizaciones gubernamentales

Para vigilar de cerca toda esta área, también hay otros actores en el campo a los que seguir. Las decisiones de las organizaciones gubernamentales y sus enfoques tienen algunos de los mayores impactos:

A menudo, los informes de privacidad de los medios populares pueden enfocarse principalmente en las empresas de "grandes tecnologías" y las organizaciones gubernamentales, que pueden parecer excluidos del trabajo realizado en una organización o empresa más pequeña. También suele estar muy centrado en EE.UU. Sin embargo, aun así, es útil estar al tanto de cuáles podrían ser las reglas en el futuro, para que estés preparado, al igual que el equipo y las estructuras de administración que te rodean.

También te recomendamos consultar Understanding Privacy (Información sobre la privacidad), publicada en noviembre de 2022 por Heather Burns, que ofrece una muy buena perspectiva de todo el campo de la privacidad de los datos y lo que necesitas saber al respecto. Recomendado

Mirando hacia adentro

Mantenerte al día también significa mantenerte al día con tu propia postura. Como parte de la understanding de tu propio software, deberás haber realizado auditorías y revisiones de tu propia recopilación de datos y de tus socios externos. Estas auditorías no son una tarea única: deben repetirse en intervalos regulares y mantenerse actualizadas a medida que el software cambia. Puede ser útil exigir que la documentación de la auditoría de privacidad se mantenga actualizada como parte del desarrollo, al igual que otra documentación técnica. Si una versión nueva recopila más datos, actualizar la auditoría de privacidad para incluir qué se recopila, por qué y cuándo se borrará es de una importancia similar a la de las APIs de una versión nueva que se describen en la documentación pública.

Sí

  • Mantente al tanto de cómo la industria y las expectativas de los usuarios en cuanto a la privacidad pueden cambiar con el tiempo. A menudo, alguien del equipo está interesado en los temas relacionados con la privacidad, incluso si no cuenta con el presupuesto o la necesidad suficiente para ocupar un puesto de tiempo completo. Considera formalizar esto haciendo que la privacidad sea una parte oficial del trabajo de alguien, con beneficios adicionales por la responsabilidad.
  • Haz que mantener la documentación de la auditoría de privacidad en "Comprensión" antes, como parte de tu proceso de documentación, al igual que los documentos de la API.
  • Vuelve a ejecutar las auditorías de los datos que recopilas y los terceros que utilizas, ya sea con regularidad o cuando cambien las características principales. Prueba tu software como un usuario nuevo para descubrir qué información se solicita y agrégalo a las auditorías.

Evita el exceso y controla el acceso

La tercera práctica recomendada es evitar el exceso de alcance, es decir, evitar hacer más con los datos de lo que te habías comprometido y evitar la recopilación especulativa de datos en caso de que sea útil en el futuro. Eso implica adaptar los procesos para establecer la cultura que deseas en torno a la protección de la privacidad del usuario. El cambio cultural es difícil, pero una vez realizado, se mantendrá en gran medida, lo que es más fácil.

Documenta tus usos

Considera una de las mejores prácticas analizadas anteriormente, la de documentar para qué se recopilan exactamente los datos de los usuarios. Esta documentación es importante para que comprendas lo que haces y por qué, pero es igual de importante asegurarse de que se respete esta regla. Si alguien sugiere usar datos ya recopilados para análisis nuevos, rechaza esa sugerencia, ya que los datos no se recopilaron para eso. Esto se ve afectado por otros aspectos de la comprensión de los datos: estos solo se recopilan en el nivel de detalle más bajo aceptable y se borran después de usarse, ya que es imposible reutilizar los datos existentes para análisis nuevos si no hay datos existentes.

Tienen procesos y reglas relacionados con el manejo de los datos del usuario.

Esto puede ser difícil. Es difícil explicar la naturaleza de la relación de usuario en estas situaciones, cuando se pueden obtener estadísticas y nada impide hacerlo más que una promesa hecha anteriormente. Sin embargo, es importante tener en cuenta que el usuario te confió los datos para un propósito específico y que tú (y tu equipo) no deben abusar de ellos para otra cosa. Un buen enfoque aquí es requerir cierta cantidad de proceso en torno al acceso a los datos del usuario. Es muy importante evitar insertar un componente de "privacidad" obligatorio en cada proceso de trabajo como sustituto de preocuparse realmente por el problema, ya que rápidamente se puede convertir en una función de "casilla de verificación" que todo el mundo ignora (y a nadie le gusta más papeleo, en especial si es papel que nadie lee).

Hacer que evitar el exceso de alcance sea la ruta de menor resistencia

¡Pero hay la posibilidad de usar la molesta naturaleza de la burocracia un poco para tu propio beneficio aquí! Si minar los datos recopilados existentes requiere completar una "solicitud de privacidad" en la que se justifica y registra el nuevo análisis, es muy probable que los proyectos que realmente no necesiten ese acceso lo eviten con el objetivo de evitar la burocracia o de no ser nombrados en el papeleo. Es posible que ya hayas implementado políticas relacionadas con la seguridad de los datos del usuario: los detalles de las cuentas guardadas están restringidos y no están disponibles para los empleados sin justificación. Considera vincular los requisitos de privacidad a estas políticas existentes. Si en una etapa temprana se incorpora la privacidad del usuario en tus procesos, esa consideración puede convertirse rápidamente en una parte de la planificación. Es fundamental que los arquitectos, los desarrolladores y el equipo de marketing no vean la protección de la privacidad como una restricción impuesta externamente, sino como una parte central de la relación con el cliente.

Retroceder con alternativas, no detener la energía

Con las prácticas recomendadas anteriores implementadas, recopilaste datos del usuario solo para objetivos específicos y medibles, y tu base de usuarios habrá sido informada de esos objetivos y los comprenderá. Sin embargo, también tendrás una gran colección de datos del usuario, y es bastante común que la empresa busque usarlos por motivos diferentes de aquellos para los que se recopilaron. Tu objetivo es retrasar esos usos, pero es importante proporcionar alternativas para lograrlo. Imagina que solicitaste que tus usuarios indicaran el rango etario al que pertenecen: 18-25, 25-35, 35-50, más de 50. Lo hiciste para medir qué tipos de productos se compran más en grupos de edades diferentes y, además, informaste de manera explícita a los usuarios que es por eso que se solicita su edad. Si alguien sugirió que podría usar esos datos para enviar correos electrónicos publicitarios a cada usuario menor de 25 años, ese es un uso nuevo y no declarado de los datos existentes, por lo que no está permitido. Pero tu intención aquí debería ser encontrar una manera de satisfacer la necesidad empresarial sin usar datos para cosas que no se declararon. Si rechazas esto sin proponer ninguna alternativa, la privacidad del usuario comenzará a parecerse a la restricción impuesta externamente contra la que se advirtió antes, en lugar de ser una parte fundamental del motivo por el que los usuarios confían en ti. En la medida de lo posible, evita agregar energía de detención a los procesos: lo único que es peor que una calva "la computadora dice que no" es "el regulador interno dice que no". En cambio, considera otras formas de cumplir ese objetivo sin usar los datos personales de los usuarios para hacerlo: tal vez usa la lista de productos comprados como guía sobre a quién enviar un correo electrónico o evita por completo la distribución segmentada. Ayuda a tu equipo a comprender por qué los usuarios confían en ti y en qué se basa esa confianza. Luego, ayúdalos a hacer lo que quieren y los usuarios. Haz que la privacidad funcione para ti.

Sí

  • Requieren una justificación escrita (breve y sencilla) de un empleado designado para acceder a los datos del usuario.
  • Agrega requisitos de privacidad del usuario lo antes posible en tus procesos.
  • Evita agregar las inquietudes sobre la privacidad como una función obligatoria de "casillas de verificación".
  • Aplicar de manera forzosa la eliminación de datos como se definió anteriormente.
  • Ayuda al resto del equipo a comprender cómo lograr sus objetivos sin comprometer la privacidad de los usuarios.