Una empresa minorista compartió el historial de compras de sus clientes con un proveedor de analítica de fidelización para obtener recomendaciones personalizadas. La plataforma de analítica del proveedor ingirió el historial de compras, lo normalizó, calculó atributos derivados (puntuaciones de frecuencia de compra, índices de afinidad por categoría, métricas de propensión al abandono) y lo cruzó con su taxonomía de productos de referencia. El conjunto de datos resultante tenía decenas de campos calculados que no existían en los datos originales. El DPA de la empresa minorista especificaba la base jurídica y los requisitos de manejo del historial de compras de los clientes. No decía nada sobre los atributos calculados que el proveedor derivaba de ese historial, que tenían características de sensibilidad distintas, implicaciones de conservación distintas y, posiblemente, un estatus regulatorio distinto. Cuando un cliente presentó una DSAR en la que pedía todos los datos que el minorista conservaba sobre él, el proveedor entregó los campos originales del historial de compras más veintitrés atributos calculados. El aviso de privacidad de la empresa minorista describía el tratamiento del historial de compras original. No describía la derivación de puntuaciones de propensión al abandono ni de índices de afinidad por categoría. La respuesta a la DSAR incluía datos sobre los que no se había informado al cliente. La investigación de la ICO que siguió constató una transparencia insuficiente respecto de los datos derivados de los perfiles de clientes.
¿En qué consiste realmente el problema del riesgo de transformación de datos por parte de proveedores?
La transformación de datos es el proceso por el cual los datos de entrada se modifican, enriquecen, derivan o calculan para convertirse en datos de salida con características distintas: la normalización que estandariza formatos, la derivación que calcula nuevos atributos a partir de los existentes, el enriquecimiento que une datos externos con los registros de entrada y la agregación que produce atributos de resumen a partir de registros individuales. El riesgo surge cuando la salida transformada tiene implicaciones regulatorias, de sensibilidad o de derechos distintas de las de los datos de entrada, y cuando el DPA y el programa de gobernanza abordan la entrada, pero no la salida.
El problema de los atributos derivados es el riesgo de transformación más común en los proveedores de analítica. Cuando la plataforma de un proveedor calcula una puntuación de propensión al abandono a partir del historial de compras, esa puntuación son datos personales derivados: son datos personales porque se atribuyen a una persona y se derivan de los datos personales originales que el proveedor estaba autorizado a tratar. La base jurídica para el tratamiento del historial de compras original puede extenderse o no a la derivación de puntuaciones predictivas a partir de ese historial: la derivación puede requerir una base distinta, sobre todo si las puntuaciones se utilizan para decisiones automatizadas. Las obligaciones relativas a los derechos del titular de los datos sobre los datos derivados pueden diferir de las que se aplican a los datos de origen: un titular de los datos tiene derechos sobre los resultados de la elaboración automatizada de perfiles que pueden ser más amplios que sus derechos sobre los registros de compras en bruto.
El cambio de clasificación regulatoria es un riesgo de transformación específico de los proveedores que aplican normalización o categorización a los datos de entrada. Un proveedor cuya plataforma normaliza historiales médicos en texto libre en códigos diagnósticos estandarizados ha transformado texto no estructurado en datos de salud estructurados, lo que puede hacer que la clasificación regulatoria pase de datos personales generales a datos de salud de categoría especial, con requisitos distintos de base para el tratamiento, obligaciones de conservación distintas y restricciones distintas a las transferencias internacionales. La entrada era un campo de texto no estructurado. La salida es un código de salud. La base de tratamiento que amparaba el campo de texto puede no amparar el código de salud.
- Creación de atributos derivados sin gobernanza: campos calculados derivados de datos de clientes sin disposiciones en el DPA que aborden los atributos derivados
- Cambio de clasificación regulatoria por transformación: la normalización produce datos con un estatus regulatorio distinto del de la entrada
- Alcance de los derechos del titular de los datos sobre los datos derivados: las obligaciones de DSAR y de supresión de los atributos derivados no se abordan en la gobernanza
- Obligación de transparencia sobre la derivación: avisos de privacidad que describen el tratamiento de la entrada, pero no la derivación de la salida
- Conservación de datos derivados sin gobernanza: atributos calculados sujetos a requisitos de conservación distintos de los de los datos de origen, pero regidos por el mismo calendario
Por qué es importante
La transformación de datos por parte de los proveedores es relevante para TPRM porque la transformación crea datos nuevos, datos que no existían antes de que el proveedor tratara la entrada, con características que pueden diferir sustancialmente de las de los datos de entrada en cuanto a estatus regulatorio, sensibilidad y obligaciones relativas a los derechos. Un programa de gobernanza que abarca la entrada, pero no la salida, tiene una laguna sistemática para cada conjunto de datos transformado que el proveedor crea a partir de la entrada del cliente.
La implicación para las DSAR es inmediatamente práctica. Cuando un cliente presenta una DSAR, el proveedor debe entregar todos los datos personales que conserva sobre el titular, lo que incluye tanto los atributos derivados como los datos de origen. Un responsable del tratamiento que no sabía que el proveedor derivaba atributos calculados de los registros de sus clientes no puede incluir esos atributos en la respuesta a la DSAR, lo que da lugar a una respuesta incompleta y a un fallo de transparencia que los reguladores detectarán.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es tratar los datos enviados a un proveedor como equivalentes a los datos que el proveedor conserva. Los proveedores de analítica, por definición, transforman los datos: esa es su propuesta de valor. Lo que el proveedor conserva después del tratamiento no es lo que se envió. Es lo que se envió más todo lo que el tratamiento derivó de ello. Una gobernanza que abarca solo lo que se envió deja sin abordar todo lo que se derivó de ello.
- Tratar los datos enviados como equivalentes a los datos conservados a efectos de gobernanza
- Atributos derivados no abordados en el DPA
- El alcance de las DSAR no se amplía a los datos derivados
- La transparencia del aviso de privacidad no abarca la derivación
- La conservación de los atributos derivados no se gobierna por separado
Cómo se ve una buena práctica
Los programas maduros de gobernanza de la transformación de datos abordan los datos derivados como una categoría de datos distinta: especifican la base jurídica de la derivación, el calendario de conservación de los atributos derivados, las obligaciones relativas a los derechos del titular de los datos que se aplican a los datos derivados y las obligaciones de transparencia que exigen divulgar las derivaciones importantes en los avisos de privacidad.
- Divulgación de las derivaciones en el DPA: tipos de atributos derivados que crea el proveedor y base jurídica de la derivación
- Inventario de datos derivados: qué atributos calculados se crean a partir de los datos de entrada del cliente
- Alcance de los derechos del titular de los datos sobre las derivaciones: obligaciones de DSAR y de supresión que se extienden a los atributos derivados
- Transparencia del aviso de privacidad: divulgación de las derivaciones importantes que dan lugar a la elaboración de perfiles o a decisiones automatizadas
- Calendario de conservación de los datos derivados: gobernanza de la conservación separada para los atributos derivados
Herramientas
Linaje de datos: Collibra, Alation, dbt
Las plataformas de linaje de datos registran cómo se transforman los datos entre sistemas y documentan los atributos derivados y el linaje de sus datos de origen. Para los profesionales de TPRM, preguntar si el proveedor mantiene documentación del linaje de los atributos derivados creados a partir de datos de clientes plantea una pregunta concreta de gobernanza de la derivación.
Gestión de la privacidad: OneTrust, BigID
Las plataformas de gestión de la privacidad permiten ampliar los inventarios de datos para incluir las categorías de datos derivados, lo que hace posible gobernar los atributos derivados junto con los datos de origen. Para los profesionales de TPRM, preguntar si el ROPA del proveedor incluye las categorías de atributos derivados plantea una pregunta concreta de documentación regulatoria.
Desafíos de gobernanza
El reto de gobernanza de la transformación de datos es el problema de la gobernanza en la fase de diseño. Las especificaciones de transformación las diseñan ingenieros de datos que optimizan el valor analítico. Las implicaciones de gobernanza de los atributos derivados (clasificación regulatoria, obligaciones relativas a los derechos, requisitos de conservación) requieren la intervención del equipo de gobernanza en la fase de diseño, no después de que la canalización de derivación lleve dos años funcionando. Conectar el diseño de la transformación con la revisión de gobernanza antes de que comience la derivación es la intervención organizativa que cierra la brecha.
- Añadir la divulgación de las derivaciones al DPA del proveedor de analítica: tipos de atributos derivados de los datos de entrada del cliente
- Ampliar el alcance de las DSAR a los atributos derivados
- Actualizar los avisos de privacidad para las derivaciones importantes: transparencia sobre la elaboración de perfiles y las decisiones automatizadas
- Exigir a los proveedores de analítica un inventario de datos derivados
- Preguntar qué crea el proveedor a partir de sus datos, no solo qué recibe
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de analítica una pregunta que saca a la luz de inmediato la gobernanza de la transformación: más allá de los campos de datos que le enviamos, ¿qué atributos calculados o derivados crea su plataforma a partir de los datos de nuestros clientes? ¿Y aborda nuestro DPA esos atributos derivados como una categoría de datos distinta? La respuesta le indica qué conserva el proveedor que usted no envió y si su gobernanza lo abarca.
- Preguntar qué atributos derivados crea la plataforma del proveedor a partir de los datos de entrada del cliente
- Preguntar si el DPA aborda los atributos derivados como una categoría de datos distinta
- Preguntar qué datos entregaría el proveedor en respuesta a una DSAR: los datos de origen más los atributos derivados
Qué exigir
Pregunte directamente:
“¿Qué atributos calculados o derivados crea su plataforma a partir de los datos de clientes que le proporcionamos? ¿Y se abordan esos atributos derivados en nuestro DPA como una categoría de datos distinta, con su propia base jurídica y su propio calendario de conservación?”
“Si recibiéramos una solicitud de acceso de uno de nuestros clientes cuyos datos usted conserva, ¿qué datos entregaría? En concreto, ¿incluiría su respuesta los atributos calculados y las puntuaciones derivadas de sus datos de origen?”
Evidencia que debe esperar
- Inventario de atributos derivados: qué se crea a partir de los datos de entrada del cliente
- Disposiciones del DPA sobre derivación: base jurídica y conservación de los atributos derivados
- Confirmación del alcance de las DSAR, incluidos los atributos derivados
- Transparencia del aviso de privacidad sobre las derivaciones importantes
Un proveedor que responde a la pregunta sobre la derivación con “analizamos los datos que usted nos proporciona” ha confirmado que se realiza analítica sin describir lo que produce. Pregunte concretamente qué campos calculados existen en su sistema atribuidos a sus clientes que no estaban en los datos originales que usted envió. Los datos originales son lo que usted gobernó. Los datos derivados son lo que ellos crearon. Ambos requieren gobernanza.
Cómo demostrarlo
- Documentación del inventario de atributos derivados
- Disposiciones del DPA sobre derivación
- Ampliación del alcance de las DSAR a los atributos derivados
- Transparencia del aviso de privacidad sobre las derivaciones importantes
Conclusión clave
Usted envió el historial de compras. El proveedor creó a partir de él puntuaciones de propensión al abandono, índices de afinidad por categoría y otros veintitrés atributos calculados. Esos atributos son datos personales. Se derivaron de datos personales. Se atribuyen a sus clientes. Existen en este momento en el sistema del proveedor, y su DPA no dice nada sobre ellos porque el DPA se redactó sobre lo que usted envió, no sobre lo que el proveedor creó a partir de ello. Los datos que usted envió y los datos que conserva el proveedor están relacionados, pero no son los mismos. La gobernanza de lo que usted envió es la gobernanza de una parte de lo que conserva el proveedor. El resto necesita su propia gobernanza, su propia base jurídica, su propio calendario de conservación y su propia divulgación de transparencia. Pregunte qué crearon. Después, gobiérnelo.