Gobierno corporativo y la gestión de riesgos en las cooperativas de ahorro y crédito del Ecuador
La protección de datos personales constituye un componente estratégico del gobierno corporativo y de la gestión integral de riesgos en las cooperativas de ahorro y crédito del Ecuador. La naturaleza de sus operaciones financieras implica el tratamiento permanente de información personal de socios, clientes, solicitantes de crédito, garantes, empleados, proveedores y terceros, cuya utilización debe sujetarse a los principios, derechos y obligaciones establecidos en la Ley Orgánica de Protección de Datos Personales (LOPDP), su Reglamento General y las disposiciones emitidas por la Superintendencia de Protección de Datos Personales (SPDP).
El presente artículo analiza la necesidad de incorporar la protección de datos personales en las estructuras de gobierno, los procesos de toma de decisiones y los sistemas institucionales de gestión de riesgos de las cooperativas. Se parte de la premisa de que la protección de datos no debe considerarse exclusivamente una responsabilidad jurídica o tecnológica, sino una obligación transversal que involucra al Consejo de Administración, Consejo de Vigilancia, Gerencia, Delegado de Protección de Datos Personales y responsables de los diferentes procesos institucionales.
Mediante una investigación documental, jurídica y analítica, se examinan los fundamentos del gobierno corporativo, la responsabilidad proactiva, la gestión de riesgos y la protección de datos personales. Asimismo, se propone un modelo de integración basado en cinco componentes: liderazgo y compromiso institucional, estructura de responsabilidades, gestión de riesgos de privacidad, controles y supervisión, y mejora continua.
Se concluye que incorporar la protección de datos personales al gobierno corporativo permite fortalecer la transparencia, la confianza de los socios, la seguridad de la información y la sostenibilidad institucional de las cooperativas.
1. Introducción
La evolución del sistema financiero y la transformación digital han generado nuevas exigencias para las cooperativas de ahorro y crédito. La incorporación de plataformas tecnológicas, sistemas de información financiera, canales digitales, herramientas de evaluación crediticia y servicios tercerizados ha incrementado la capacidad institucional para recolectar, almacenar, consultar, utilizar y comunicar información personal.
En este contexto, los datos personales se han convertido en un activo estratégico para el desarrollo de las operaciones financieras. Su tratamiento permite identificar a los socios, evaluar solicitudes de crédito, administrar depósitos, gestionar obligaciones, prevenir riesgos y ofrecer servicios financieros.
Sin embargo, esta capacidad de tratamiento también genera responsabilidades jurídicas, operativas, tecnológicas y organizacionales. Una deficiencia en la administración de la información puede afectar los derechos de los titulares, comprometer la seguridad institucional, generar consecuencias regulatorias y deteriorar la confianza de los socios.
La protección de datos personales, por tanto, no puede abordarse exclusivamente desde el área jurídica, tecnológica o de cumplimiento. Requiere incorporarse a las decisiones estratégicas de la institución y formar parte de su estructura de gobierno corporativo.
En Ecuador, la Constitución de la República reconoce el derecho a la protección de datos personales en su artículo 66, numeral 19. Por su parte, la Ley Orgánica de Protección de Datos Personales establece principios, derechos, obligaciones y mecanismos de tutela que deben observarse en los tratamientos sujetos a su ámbito de aplicación.
Esta normativa exige que las organizaciones desarrollen medidas apropiadas para garantizar y demostrar el cumplimiento. En consecuencia, las cooperativas necesitan estructuras institucionales que permitan asignar responsabilidades, identificar riesgos, implementar controles, supervisar resultados y adoptar medidas correctivas.
La problemática no consiste únicamente en determinar si una cooperativa dispone de políticas de privacidad o ha designado a un Delegado de Protección de Datos Personales. El desafío consiste en establecer si el gobierno corporativo incorpora efectivamente la protección de datos en sus decisiones, si la Gerencia gestiona los riesgos correspondientes y si existen mecanismos de supervisión y rendición de cuentas.
Desde esta perspectiva, el presente artículo plantea que la protección de datos personales debe ser considerada un componente transversal del gobierno corporativo y de la gestión integral de riesgos de las cooperativas de ahorro y crédito del Ecuador.
2. Planteamiento del problema
2.1. El gobierno corporativo en las cooperativas de ahorro y crédito
El gobierno corporativo constituye el conjunto de estructuras, principios, políticas, responsabilidades y mecanismos mediante los cuales una organización es dirigida, administrada y supervisada.
En las cooperativas de ahorro y crédito, esta estructura tiene particular importancia debido a la naturaleza de sus operaciones, la responsabilidad sobre los recursos de los socios y la necesidad de mantener niveles adecuados de transparencia, control y confianza institucional.
La estructura de gobierno comprende, de acuerdo con el marco jurídico y organizativo aplicable, órganos como:
- Asamblea General de Socios o Representantes.
- Consejo de Administración.
- Consejo de Vigilancia.
- Gerencia.
- Comités institucionales.
- Áreas de auditoría y control.
- Responsables de los procesos institucionales.
La protección de datos personales debe incorporarse a esta estructura, puesto que las decisiones de gobierno pueden determinar qué información se recolecta, qué sistemas se utilizan, qué proveedores intervienen, qué riesgos se aceptan y qué recursos se destinan a garantizar la seguridad y el cumplimiento normativo.
2.2. La protección de datos como responsabilidad institucional
Uno de los principales desafíos consiste en superar la percepción de que la protección de datos personales es una actividad exclusiva del área de Tecnología, Asesoría Jurídica o del Delegado de Protección de Datos Personales.
La protección de datos es una responsabilidad que debe distribuirse de acuerdo con las competencias de cada órgano y las obligaciones que establece la normativa.
Por ejemplo:
- El Consejo de Administración debe ejercer las competencias de gobierno que le correspondan y promover que la protección de datos se integre en las políticas y decisiones institucionales.
- La Gerencia debe asegurar la implementación de los recursos, procesos y controles necesarios.
- El Consejo de Vigilancia debe ejercer sus funciones de supervisión conforme al marco legal y estatutario.
- El Delegado de Protección de Datos Personales debe desempeñar sus funciones de asesoramiento, supervisión y cooperación con la autoridad, dentro del ámbito de sus competencias.
- Las áreas operativas y tecnológicas deben aplicar los controles y procedimientos establecidos.
Esta distribución permite evitar que la protección de datos se convierta en una obligación formal sin integración efectiva en la gestión institucional.
2.3. El problema de la gestión fragmentada de riesgos
En algunas organizaciones, los riesgos relacionados con la protección de datos se administran de manera separada de los riesgos operativos, tecnológicos, legales y reputacionales.
Esta fragmentación puede provocar que una misma situación sea evaluada parcialmente por distintas áreas, sin una visión integral.
Por ejemplo, una cooperativa que contrata un sistema de reconocimiento facial para identificar a sus socios puede evaluar el proyecto únicamente desde la perspectiva tecnológica y operativa, sin examinar suficientemente:
- La legitimidad del tratamiento biométrico.
- La necesidad y proporcionalidad del mecanismo.
- La información que debe proporcionarse a los titulares.
- Los riesgos para sus derechos y libertades.
- La seguridad de la información biométrica.
- Las condiciones contractuales del proveedor.
- Los períodos de conservación.
- Las alternativas menos invasivas.
La incorporación de la protección de datos en la gestión de riesgos permite que estas variables se analicen antes de implementar el proyecto y durante su funcionamiento.
2.4. Formulación del problema
El problema de investigación se plantea de la siguiente manera:
La protección de datos personales no siempre se encuentra integrada de manera transversal en las estructuras de gobierno corporativo y en los sistemas de gestión de riesgos de las cooperativas de ahorro y crédito. Esta situación puede generar una administración fragmentada de las obligaciones legales, responsabilidades institucionales y controles sobre el tratamiento de información personal, dificultando la prevención de riesgos y la demostración del cumplimiento normativo.
La investigación busca fundamentar la necesidad de incorporar la protección de datos personales como un componente estratégico del gobierno corporativo y la gestión integral de riesgos.
3. Preguntas de investigación
Pregunta general
¿Cómo debe integrarse la protección de datos personales en el gobierno corporativo y en la gestión integral de riesgos de las cooperativas de ahorro y crédito del Ecuador para fortalecer el cumplimiento de la LOPDP y la protección de los derechos de los titulares?
Preguntas específicas
- ¿Qué responsabilidades deben asumir los órganos de gobierno y administración frente a la protección de datos personales?
- ¿Cuál es el papel del Delegado de Protección de Datos Personales dentro de la estructura institucional?
- ¿Qué riesgos jurídicos, operativos, tecnológicos y reputacionales se generan por el tratamiento de datos personales?
- ¿Cómo debe integrarse la gestión de riesgos de privacidad en el sistema de control institucional?
- ¿Qué mecanismos de supervisión e indicadores permiten evaluar la eficacia de la gestión de protección de datos?
4. Objetivos
4.1. Objetivo general
Analizar la protección de datos personales como componente del gobierno corporativo y la gestión integral de riesgos en las cooperativas de ahorro y crédito del Ecuador, mediante el estudio del marco jurídico, las responsabilidades institucionales y los mecanismos de control, con el propósito de proponer un modelo de integración que fortalezca el cumplimiento normativo y la protección de los derechos de los titulares.
4.2. Objetivos específicos
- Examinar los fundamentos del gobierno corporativo y su relación con la protección de datos personales.
- Identificar las responsabilidades de los órganos de gobierno, administración y control frente al tratamiento de datos personales.
- Analizar los riesgos asociados a las actividades de tratamiento de información personal en las cooperativas.
- Establecer mecanismos para integrar la protección de datos en la gestión institucional de riesgos.
- Proponer un modelo de gobernanza y supervisión de protección de datos personales basado en responsabilidades, controles e indicadores.
5. Justificación
5.1. Justificación jurídica
La protección de datos personales es un derecho constitucional y una obligación jurídica para las organizaciones que realizan tratamientos comprendidos en el ámbito de aplicación de la LOPDP.
La responsabilidad institucional requiere que las cooperativas adopten medidas apropiadas para cumplir la normativa y puedan demostrar su aplicación.
Por tanto, el gobierno corporativo debe incorporar mecanismos de supervisión, asignación de responsabilidades y control que permitan garantizar la protección de los datos personales.
5.2. Justificación organizacional
La integración de la protección de datos en el gobierno corporativo permite establecer una estructura clara de responsabilidades.
Evita que las obligaciones dependan exclusivamente de una persona o departamento y facilita la coordinación entre las áreas que intervienen en el tratamiento de información personal.
5.3. Justificación financiera y de riesgos
Las cooperativas administran recursos económicos y prestan servicios financieros cuya continuidad depende, entre otros factores, de la confianza y la seguridad institucional.
Un incidente que comprometa datos personales puede generar:
- Costos de investigación y recuperación.
- Interrupción de operaciones.
- Reclamos de socios y clientes.
- Investigaciones de la autoridad competente.
- Responsabilidades administrativas.
- Afectación reputacional.
- Pérdida de confianza institucional.
La gestión preventiva permite identificar estos riesgos y establecer medidas para reducir su probabilidad e impacto.
5.4. Justificación estratégica
La protección de datos puede convertirse en un elemento diferenciador de la gestión cooperativa.
Una institución que administra responsablemente la información personal fortalece su cultura organizacional, promueve la transparencia y mejora la confianza de sus socios.
6. Marco teórico
6.1. Gobierno corporativo
El gobierno corporativo comprende las estructuras y mecanismos mediante los cuales una organización establece objetivos, distribuye responsabilidades, toma decisiones y supervisa su gestión.
En el ámbito cooperativo, el gobierno corporativo tiene características particulares relacionadas con la participación democrática de los socios, la representación, la rendición de cuentas y la supervisión institucional.
La protección de datos personales debe formar parte de este modelo porque las decisiones de gobierno inciden directamente en las finalidades y medios del tratamiento de información personal.
6.2. Gobierno de datos personales
El gobierno de datos personales es el conjunto de estructuras, políticas, procedimientos, responsabilidades y mecanismos de control destinados a garantizar que la información personal sea tratada de forma legítima, transparente y segura.
En una cooperativa comprende:
- Definición de responsabilidades.
- Identificación de tratamientos.
- Establecimiento de políticas.
- Administración de riesgos.
- Control de accesos.
- Supervisión de proveedores.
- Atención de derechos.
- Conservación y eliminación de información.
- Evaluación de cumplimiento.
6.3. Responsabilidad proactiva y demostrable
La responsabilidad proactiva exige que el responsable del tratamiento adopte medidas apropiadas para cumplir la normativa y demostrar su cumplimiento.
Este principio implica pasar de una gestión reactiva, que actúa después de producirse un incidente, a una gestión preventiva que identifica riesgos y establece controles antes de que se materialicen.
En el gobierno corporativo, la responsabilidad proactiva se traduce en decisiones, asignación de recursos, supervisión y evaluación de resultados.
6.4. Gestión integral de riesgos
La gestión integral de riesgos permite identificar, analizar, evaluar, tratar y monitorear eventos que pueden afectar los objetivos institucionales.
La protección de datos personales debe integrarse en esta gestión porque sus riesgos pueden afectar simultáneamente:
- Los derechos y libertades de los titulares.
- El cumplimiento jurídico.
- La seguridad de la información.
- La continuidad de las operaciones.
- La reputación institucional.
- La confianza de los socios.
6.5. Cultura organizacional de protección de datos
La cultura de protección de datos comprende los conocimientos, actitudes y comportamientos que permiten a los colaboradores comprender y aplicar sus responsabilidades en el tratamiento de información personal.
No basta con aprobar políticas. Es necesario que los empleados conozcan qué información pueden consultar, cómo deben utilizarla, cuándo pueden comunicarla y cómo deben actuar ante un incidente.
La capacitación y sensibilización deben formar parte de la gestión institucional permanente.
7. Marco jurídico ecuatoriano
El análisis del gobierno corporativo y la gestión de riesgos debe sustentarse en un marco jurídico que articule el derecho a la protección de datos personales con las obligaciones de administración, supervisión y control de las cooperativas.
7.1. Constitución de la República del Ecuador
Artículo 66, numeral 19. Derecho a la protección de datos personales.
Reconoce el derecho de las personas a la protección de sus datos personales, incluyendo el acceso y la decisión sobre su información.
Este derecho constituye el fundamento constitucional de la responsabilidad institucional sobre los datos de socios, clientes, empleados y demás titulares.
Artículo 204. Función de Transparencia y Control Social.
Establece el marco constitucional de los organismos que integran esta función y su autonomía.
Artículo 213. Superintendencias.
Define a las superintendencias como organismos técnicos de vigilancia, auditoría, intervención y control de las actividades económicas, sociales y de los servicios que prestan las entidades públicas y privadas.
Artículo 309. Sistema financiero nacional.
Establece que el sistema financiero nacional se compone de los sectores público, privado y popular y solidario.
Artículo 311. Sector financiero popular y solidario.
Reconoce que el sector financiero popular y solidario está compuesto por cooperativas de ahorro y crédito, entidades asociativas o solidarias, cajas y bancos comunales y cajas de ahorro.
Estos fundamentos permiten comprender que la protección de datos personales forma parte de las responsabilidades institucionales de las cooperativas, dentro del marco de sus actividades financieras.
7.2. Ley Orgánica de Protección de Datos Personales
La LOPDP constituye el principal instrumento jurídico para determinar las obligaciones relacionadas con el tratamiento de datos personales.
Para este paper se destacan las siguientes disposiciones:
Fuente: LOPDP. La aplicación concreta de cada disposición deberá analizarse considerando su texto íntegro, sus condiciones y la naturaleza de cada tratamiento.
Especial relevancia del artículo 47
El artículo 47 es especialmente importante para este artículo científico, porque establece las obligaciones del responsable y encargado del tratamiento.
Entre sus disposiciones se encuentran:
- Tratar datos personales respetando los principios y derechos establecidos en la normativa.
- Implementar herramientas administrativas, técnicas, físicas, organizativas y jurídicas para garantizar y demostrar el cumplimiento.
- Aplicar procesos periódicos de verificación y evaluación de la eficiencia, eficacia y efectividad de las medidas implementadas.
- Implementar políticas de protección de datos personales.
- Utilizar metodologías de análisis y gestión de riesgos adaptadas a los tratamientos.
- Cumplir las demás obligaciones establecidas en la normativa.
La SPDP ha reproducido y desarrollado estos deberes en sus pronunciamientos oficiales.
Implicación para el gobierno corporativo: el cumplimiento de estas obligaciones requiere decisiones institucionales, recursos, responsables y mecanismos de supervisión. No puede depender exclusivamente del Delegado de Protección de Datos Personales.
7.3. Reglamento General a la LOPDP
El Reglamento General fue expedido mediante Decreto Ejecutivo No. 904 y publicado en el Suplemento del Registro Oficial No. 435, el 13 de noviembre de 2023.
Para el desarrollo del gobierno corporativo deben considerarse especialmente:
Verificación de condiciones profesionales.
El artículo 48 del Reglamento es particularmente relevante porque establece que el DPD debe desempeñar sus funciones de manera independiente y que el responsable y encargado deben facilitarle asistencia, recursos y elementos necesarios para el ejercicio de sus funciones.
7.4. Normativa de la Superintendencia de Protección de Datos Personales
Además de la ley y el Reglamento General, las cooperativas deben considerar las disposiciones secundarias de la SPDP.
Entre las más relevantes para este estudio se encuentran:
a) Resolución SPDP-SPD-2025-0028-R: Reglamento del Delegado de Protección de Datos Personales.
Desarrolla las condiciones relacionadas con designación, independencia, registro y ejercicio de las funciones del DPD.
b) Resolución SPDP-SPD-2025-0003-R: Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales.
Proporciona lineamientos metodológicos para identificar, analizar, evaluar y tratar riesgos que puedan afectar los derechos y libertades de los titulares.
c) Guía de Protección de Datos Personales desde el Diseño y por Defecto.
Permite incorporar la protección de datos desde las etapas de planificación y diseño de nuevos proyectos, productos, servicios y sistemas.
d) Normativa sobre tratamientos a gran escala.
Debe analizarse cuando la cooperativa realice operaciones comprendidas en los supuestos de tratamiento a gran escala y demás condiciones establecidas por la autoridad.
Consideración especial sobre el DPD en las cooperativas
Existe un pronunciamiento oficial de la SPDP, emitido en respuesta a una consulta de FECOAC, que señaló que las cooperativas de ahorro y crédito deben contar con un Delegado de Protección de Datos Personales. Este pronunciamiento debe incorporarse al análisis de las obligaciones sectoriales.
Por tanto, en el modelo propuesto, la función del DPD no debe tratarse como una figura meramente opcional para las cooperativas, sino como un componente que debe ser considerado en la estructura de cumplimiento, de acuerdo con la normativa y los pronunciamientos aplicables.
7.5. Normativa de la Superintendencia de Economía Popular y Solidaria
Un instrumento importante para vincular la protección de datos con el gobierno cooperativo es la Norma de Control de Buen Gobierno, Ética y Comportamiento para las Cooperativas de Ahorro y Crédito, Cajas Centrales y Asociaciones Mutualistas de Ahorro y Crédito para la Vivienda, emitida mediante Resolución SEPS-IGT-IGS-IGJ-INSESF-INGINT-2021-019.
Su artículo 1 determina el ámbito de aplicación y su artículo 2 establece el objeto de la norma.
Especial relevancia tiene el artículo 3, que define el buen gobierno como el conjunto de principios y normas que regulan las relaciones internas entre los órganos de gobierno, dirección, control y Gerencia, considerando principios de ética, transparencia, responsabilidad e igualdad de trato a los socios.
Esta disposición constituye un punto de conexión entre el buen gobierno cooperativo y la protección de datos personales.
La información de socios, clientes y empleados debe administrarse bajo criterios de transparencia, responsabilidad, confidencialidad y control.
Nota de aplicación: antes de publicar la versión definitiva, debe verificarse la vigencia, reformas y disposiciones complementarias de la norma SEPS y su aplicabilidad según el segmento de cada cooperativa.
8. La protección de datos personales en la estructura del gobierno corporativo
La integración de la protección de datos personales requiere una estructura de responsabilidades que permita distinguir las funciones de dirección, administración, supervisión, asesoramiento y ejecución.
8.1. Asamblea General de Socios o Representantes
La Asamblea General constituye el máximo órgano de gobierno de la cooperativa, de acuerdo con la legislación sectorial.
Desde la perspectiva de la protección de datos personales, su intervención se relaciona con:
- Promover una cultura institucional de transparencia y responsabilidad.
- Conocer, dentro de sus competencias, asuntos relevantes sobre gestión institucional y riesgos.
- Ejercer las atribuciones que le correspondan respecto de los órganos de gobierno y control.
- Favorecer la protección de los intereses y derechos de los socios.
No se propone convertir a la Asamblea en responsable de la ejecución operativa de la LOPDP, sino reconocer su relación con la gobernanza y la sostenibilidad institucional.
8.2. Consejo de Administración
El Consejo de Administración debe constituir uno de los principales niveles de dirección y supervisión estratégica de la protección de datos.
Se recomienda que sus funciones institucionales relacionadas con esta materia comprendan:
- Promover la incorporación de la protección de datos en las políticas institucionales.
- Conocer los principales riesgos relacionados con el tratamiento de información personal.
- Revisar los informes de cumplimiento y auditoría que correspondan.
- Promover la asignación de recursos para implementar controles.
- Impulsar la integración de la protección de datos en la planificación institucional.
- Supervisar la ejecución de los planes de mejora dentro de sus competencias.
Estas recomendaciones deben articularse con las atribuciones que efectivamente le asignen la LOEPS, el Código Orgánico Monetario y Financiero, la normativa SEPS y el estatuto de cada cooperativa.
8.3. Consejo de Vigilancia
El Consejo de Vigilancia debe relacionarse con la protección de datos desde sus atribuciones de supervisión y control institucional.
Entre las actividades que pueden contribuir a este propósito se encuentran:
- Conocer los riesgos relevantes de protección de datos.
- Revisar los resultados de los controles institucionales dentro de sus competencias.
- Examinar los informes de auditoría pertinentes.
- Verificar el seguimiento de las recomendaciones de control.
- Promover que las debilidades identificadas sean comunicadas a los órganos competentes.
Es importante diferenciar la supervisión institucional de la ejecución directa de los controles de protección de datos.
8.4. Gerencia
La Gerencia representa el nivel ejecutivo responsable de impulsar la implementación operativa de las decisiones institucionales.
Su participación es fundamental para:
- Asignar recursos humanos, financieros y tecnológicos.
- Aprobar o impulsar procedimientos dentro de sus atribuciones.
- Coordinar las áreas responsables de los tratamientos.
- Promover la capacitación del personal.
- Implementar medidas correctivas.
- Informar sobre riesgos y resultados de gestión.
- Garantizar que los proyectos tecnológicos incorporen criterios de privacidad.
La Gerencia debe asegurar que la protección de datos sea considerada en las decisiones cotidianas y no solamente cuando se presentan requerimientos de la autoridad.
8.5. Delegado de Protección de Datos Personales
El DPD constituye una figura especializada de asesoramiento y supervisión independiente.
El artículo 49 de la LOPDP establece, entre otras, las siguientes funciones:
- Asesorar al responsable, al personal y al encargado sobre las disposiciones legales.
- Supervisar el cumplimiento normativo.
- Asesorar en el análisis de riesgos.
- Asesorar en las evaluaciones de impacto.
- Asesorar en la evaluación de medidas de seguridad.
- Cooperar con la autoridad de protección de datos.
La SPDP también ha aclarado que las obligaciones materiales de implementación recaen en el responsable y, según corresponda, en el encargado; el DPD no sustituye a estos sujetos en sus responsabilidades.
Esta distinción es fundamental: el Delegado no debe convertirse en el único responsable de la implementación de la LOPDP ni asumir funciones ejecutivas que comprometan su independencia.
8.6. Responsables de procesos y colaboradores
Cada área de la cooperativa debe asumir responsabilidades relacionadas con los tratamientos que realiza.
Por ejemplo
9. La gestión de riesgos de protección de datos personales
9.1. La privacidad como dimensión de riesgo institucional
La gestión de riesgos de protección de datos debe incorporarse al sistema general de riesgos de la cooperativa, sin confundirse con la gestión exclusiva de riesgos de seguridad de la información.
El objeto de análisis no es solamente la posibilidad de perder, alterar o divulgar información, sino también el impacto que un tratamiento puede producir sobre los derechos y libertades de los titulares.
La Guía de Gestión de Riesgos y Evaluación de Impacto de la SPDP destaca precisamente que la gestión de riesgos debe partir de escenarios reales y criterios fundamentados, no de listas de verificación o calificaciones arbitrarias.
9.2. Clasificación de los riesgos
Se propone la siguiente clasificación para las cooperativas:
9.3. Matriz de riesgos de protección de datos
Se propone utilizar una matriz que permita identificar los escenarios de riesgo y sus respectivos controles.
9.4. Evaluación de impacto
El artículo 42 de la LOPDP establece los supuestos en los que corresponde realizar una evaluación de impacto del tratamiento de datos personales.
Esta evaluación es especialmente relevante para proyectos como:
- Implementación de reconocimiento facial.
- Uso de biometría para autenticación.
- Perfilamiento automatizado de solicitantes de crédito.
- Sistemas de análisis predictivo de comportamiento.
- Tratamientos de categorías especiales de datos a gran escala.
- Sistemas de monitoreo que impliquen observación sistemática de espacios de acceso público a gran escala.
La evaluación debe realizarse antes del inicio del tratamiento cuando corresponda, para que los riesgos identificados puedan ser considerados durante la toma de decisiones.
9.5. Integración de riesgos de privacidad y riesgos financieros
La cooperativa debe procurar que sus matrices de riesgo institucional incluyan los escenarios relacionados con la protección de datos personales.
Esto permite que los riesgos de privacidad no queden aislados de las decisiones sobre tecnología, operaciones, proveedores, crédito y continuidad del negocio.
10. Modelo propuesto de integración de la protección de datos personales en el gobierno corporativo
Como resultado del análisis, se propone un modelo de integración que permita incorporar la protección de datos personales en la estructura de gobierno y en el sistema de gestión de riesgos de las cooperativas de ahorro y crédito.
El modelo se fundamenta en cinco componentes interrelacionados.
10.1. Componente 1. Liderazgo y compromiso institucional
La protección de datos debe formar parte de la planificación y de las decisiones estratégicas.
Acciones propuestas:
- Incorporar la protección de datos en las políticas institucionales.
- Establecer objetivos de cumplimiento.
- Aprobar un programa institucional de protección de datos.
- Asignar recursos humanos, técnicos y económicos.
- Incorporar los riesgos de privacidad en los informes de gestión.
Resultado esperado: compromiso institucional y respaldo de los órganos de gobierno.
10.2. Componente 2. Estructura organizacional y responsabilidades
Se debe establecer una estructura de responsabilidades que permita identificar quién dirige, ejecuta, asesora y supervisa las actividades de protección de datos.
Acciones propuestas:
- Definir responsabilidades por órgano y área.
- Designar al DPD cuando corresponda conforme a la normativa aplicable.
- Documentar funciones y responsabilidades.
- Establecer mecanismos de coordinación.
- Evitar conflictos de interés que afecten la independencia del DPD.
Resultado esperado: responsabilidades claramente asignadas y coordinadas.
10.3. Componente 3. Gestión de riesgos de protección de datos
Se deben identificar y evaluar los riesgos relacionados con los tratamientos de información personal.
Acciones propuestas:
- Elaborar el inventario de tratamientos.
- Mantener actualizado el RAT.
- Identificar categorías de datos y titulares.
- Evaluar bases de legitimación y finalidades.
- Identificar riesgos jurídicos, operativos y tecnológicos.
- Realizar evaluaciones de impacto cuando corresponda.
- Implementar medidas de tratamiento de riesgos.
Resultado esperado: gestión preventiva y fundamentada de los riesgos de privacidad.
10.4. Componente 4. Controles, supervisión y auditoría
La institución debe establecer mecanismos para verificar que los controles funcionan.
Acciones propuestas:
- Implementar controles administrativos y técnicos.
- Revisar contratos con encargados.
- Verificar el cumplimiento de políticas.
- Realizar auditorías de protección de datos.
- Supervisar incidentes y vulneraciones.
- Evaluar los mecanismos de atención de derechos.
- Presentar informes periódicos a los órganos competentes.
Resultado esperado: cumplimiento demostrable mediante evidencias.
10.5. Componente 5. Cultura institucional y mejora continua
La protección de datos debe formar parte de la cultura organizacional.
Acciones propuestas:
- Desarrollar programas de capacitación.
- Sensibilizar al personal.
- Establecer mecanismos de comunicación interna.
- Evaluar el nivel de conocimiento de los colaboradores.
- Implementar planes correctivos.
- Medir los resultados de las acciones.
Resultado esperado: cultura institucional orientada a la privacidad y la responsabilidad.
10.6. Representación del modelo propuesto
Modelo de gobernanza de protección de datos personales
GOBIERNO CORPORATIVO
Asamblea · Consejo de Administración · Consejo de Vigilancia
GERENCIA GENERAL
Dirección, recursos y ejecución institucional
Sistema de gestión de protección de datos
1. Liderazgo
2. Responsabilidades
3. Gestión de riesgos
4. Controles y auditoría
5. Cultura y mejora
DPD: asesoramiento y supervisión independiente
RESULTADOS INSTITUCIONALES
Cumplimiento normativo · Reducción de riesgos · Confianza de los socios · Sostenibilidad
Elaboración propia. Modelo conceptual propuesto para la investigación.
El DPD debe mantener independencia funcional y no debe confundirse su labor de supervisión con la responsabilidad ejecutiva de la Gerencia o la titularidad de las obligaciones del responsable del tratamiento.
11. Indicadores para evaluar la integración de la protección de datos en el gobierno corporativo
Un modelo de gobernanza necesita indicadores que permitan evaluar sus resultados y facilitar la toma de decisiones.
Se propone la siguiente batería inicial:
Estos indicadores deben interpretarse considerando la calidad de los controles y los resultados obtenidos. Un porcentaje elevado de cumplimiento documental no necesariamente demuestra una protección efectiva.
Por ejemplo, un indicador del 100 % de capacitaciones realizadas no significa que el personal haya adquirido las competencias necesarias. Es recomendable complementarlo con evaluaciones de aprendizaje y pruebas de aplicación práctica.
11.1. Indicadores estratégicos para los órganos de gobierno
Se recomienda que los órganos competentes reciban un informe periódico que contenga:
- Estado general de cumplimiento de la LOPDP.
- Principales riesgos de protección de datos.
- Incidentes y vulneraciones relevantes.
- Resultados de auditorías.
- Estado de las evaluaciones de impacto.
- Avance de los planes correctivos.
- Requerimientos de recursos.
- Recomendaciones del DPD.
Este informe permitirá que la protección de datos sea considerada en la toma de decisiones institucionales.
12. Discusión
La integración de la protección de datos personales en el gobierno corporativo de las cooperativas representa un cambio en la manera de comprender el cumplimiento normativo.
Tradicionalmente, las organizaciones han abordado la protección de datos mediante la elaboración de políticas, formularios, cláusulas contractuales y avisos de privacidad. Estos instrumentos son necesarios, pero no constituyen por sí solos un sistema de gobernanza.
El enfoque propuesto plantea que la protección de datos debe formar parte de las decisiones institucionales, de la asignación de responsabilidades y de los mecanismos de supervisión.
12.1. Gobierno corporativo y responsabilidad proactiva
La responsabilidad proactiva exige que las instituciones no solamente cumplan las obligaciones, sino que puedan demostrarlo.
En este sentido, el gobierno corporativo debe promover una cultura de rendición de cuentas en la que los responsables de los procesos conozcan sus obligaciones y los órganos competentes puedan evaluar los resultados.
12.2. Gestión de riesgos y sostenibilidad institucional
La gestión de riesgos de protección de datos contribuye a identificar situaciones que pueden afectar tanto a los titulares como a la institución.
La información per
