Más allá del cumplimiento: la Comisión Nacional de Protección de Datos y el aumento de la confianza digital en las empresas nigerianas

Abajo

El elemento más crítico sobre el que se sustenta la economía digital es, sin duda, la confianza. Se alienta a los usuarios del espacio digital a utilizar canales y herramientas digitales, como pagos en línea, servicios basados ​​en la nube y aplicaciones de inteligencia artificial (IA), porque confían en que sus datos personales serán recibidos, procesados ​​y protegidos con seguridad e integridad. Es por eso que la Comisión Nacional de Protección de Datos (NDPC), creación de la Ley de Protección de Datos de Nigeria de 2023 (NDPA), debe asumir una mayor responsabilidad que vaya más allá de la de un regulador tradicional. Debe posicionarse como un facilitador clave para fomentar una cultura de confianza digital necesaria para atraer inversiones y un desarrollo económico sostenible.

No hace falta decir que la NDPA representa el mejor esfuerzo de Nigeria hasta el momento para incorporar sus normas y regulaciones de privacidad de datos hasta ahora fragmentadas en una sola legislación integral. Al hacerlo, demostró que preservar la privacidad de los datos ya no es una función aislada del cumplimiento, sino más bien una característica cada vez más importante de las prácticas sólidas de gobierno corporativo. La Ley crea el NDPC como una institución independiente encargada de supervisar y monitorear el cumplimiento, la gobernanza de datos, proteger los derechos de los interesados ​​y promover la economía digital de Nigeria. El sólido marco establecido bajo la NDPA para garantizar los derechos corporativos e individuales deja muy claro que la protección de la privacidad se ha integrado en la jurisprudencia nigeriana.

La llegada de la NDPA y la NDPC a la infraestructura jurídica de Nigeria no es la génesis de la protección de los derechos de privacidad. Este crédito corresponde precisamente al artículo 37 de la Constitución de la República Federal de Nigeria, que garantiza la privacidad de los ciudadanos, sus hogares y sus comunicaciones. En consecuencia, la NDPA puso en práctica una obligación constitucional existente en un mundo cada vez más gobernado por la inteligencia de datos. Al parecer, el NDPC reconoce su papel como complemento tanto de las protecciones constitucionales como de los compromisos internacionales más amplios de Nigeria en materia de derechos humanos.

Cambio cultural

Se argumenta que el obstáculo más importante del NDPC no es su aplicación. Es una transformación cultural.

Muchas organizaciones continúan abordando la cuestión de la privacidad como un ejercicio de marcar casillas, donde todo lo que se requiere es garantizar el cumplimiento mediante la recopilación de documentación, la emisión de avisos de privacidad, acuerdos de procesamiento de datos y la presentación de informes de cumplimiento obligatorios. Si bien estos pasos son sin duda un aspecto fundamental del trabajo del NDPC, solo señalan los aspectos más visibles de una gobernanza de datos eficaz. La NDPA se basa en principios mucho más amplios de equidad, responsabilidad, mitigación de riesgos, transparencia y el imperativo de garantizar que las consideraciones de privacidad de datos se incorporen en la forma en que se toman y ejecutan las decisiones comerciales, en lugar de hacerlo a través del estrecho prisma de elaborar políticas de cumplimiento de privacidad. Esto tiene ramificaciones importantes para una estructura de gobierno corporativo mejorada.

En el futuro, los Consejos abdicarían de sus funciones si consideraran que la protección de datos es responsabilidad exclusiva de los departamentos informáticos o jurídicos. Las razones no son absurdas. Las violaciones de la privacidad, los riesgos de ciberseguridad, los ataques de ransomware y los riesgos relacionados con la IA presentan ahora riesgos para toda la empresa que pueden alterar las operaciones, reducir el valor para los accionistas y dañar la reputación corporativa. Las secciones 305 a 311 de la Ley de Sociedades y Asuntos Afines de 2020 abordan los deberes fiduciarios de un director nigeriano. El artículo 305 es la disposición fundamental que codifica el deber fundamental del director de actuar de buena fe y en el mejor interés de la empresa. Es seguro argumentar que los administradores son cada vez más incapaces de cumplir esta obligación crítica de manera significativa sin una supervisión específica de la gobernanza digital. De hecho, el gobierno de datos se ha convertido en una parte inexorable del gobierno corporativo.

Esta evolución es consistente con los desarrollos globales en los informes ambientales, sociales y de gobernanza (ESG). Ahora es común que los inversores institucionales evalúen a las empresas objetivo no solo por su desempeño financiero, sino también por sus sólidas métricas de gobierno corporativo, su avanzada preparación cibernética, sus prácticas éticas de inteligencia artificial y su gestión responsable de los datos de las partes interesadas. Las barreras establecidas por las Normas de Divulgación de Sostenibilidad de las Normas Internacionales de Información Financiera (NIIF) respaldan el vínculo entre estructuras de gobierno sólidas y la sostenibilidad corporativa. En la economía digital, la supervisión y el control de los datos se han convertido en una parte indispensable de un buen gobierno corporativo, en lugar de una conversación regulatoria auxiliar.

La introducción de la inteligencia artificial amplía aún más esta responsabilidad. Si bien los sistemas de IA dependen en gran medida de los datos, también atraen involuntariamente nuevos riesgos en torno a los resultados generados por el sistema, los sesgos algorítmicos, la transparencia y la rendición de cuentas. Esto refuerza la razón por la cual la privacidad y la protección de datos necesitan un firme apretón de manos con la gobernanza de la IA en Nigeria. Un ejemplo útil de esto es el concepto de Privacidad desde el Diseño, incorporado en el Artículo 25 del Reglamento General de Protección de Datos (GDPR) de la UE, que requiere que las salvaguardias de privacidad se incorporen a los sistemas desde el principio, en lugar de reconstruirlas después de su implementación. Cabe señalar que el NDPC ha respaldado esta filosofía a través de su propio Libro Blanco sobre Privacidad por Diseño en la innovación en etapas tempranas, lo que demuestra que la innovación que tiene en cuenta consideraciones éticas y no solo preocupaciones de cumplimiento regulatorio definirá el panorama digital de Nigeria.

Las crecientes prácticas globales refuerzan esta visión. El RGPD ha demostrado que las leyes de privacidad estrictas y la innovación no son mutuamente excluyentes. De hecho, pueden coexistir cuando las organizaciones fomentan la gobernanza basada en riesgos en lugar de los procedimientos de cumplimiento de verificación de documentos. En la misma línea, las Directrices de Privacidad de la Organización para la Cooperación y el Desarrollo Económicos (“OCDE”) y los Principios de IA de la OCDE destacan la rendición de cuentas, la transparencia y la gobernanza responsable como elementos fundamentales de la gobernanza digital. La Recomendación de la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (“UNESCO”) sobre la ética de la inteligencia artificial destaca igualmente los derechos humanos, la privacidad y la rendición de cuentas como el centro neurálgico de las prácticas responsables de la IA. Es reconfortante observar que Nigeria ha adoptado esta mentalidad y conjunto de normas globales, al tiempo que las ha adaptado a las realidades locales.

Como era de esperar, esta alineación es importante para los inversores. La gobernanza de datos ya no es algo simplemente deseable, sino más bien algo imprescindible en la debida diligencia transaccional. Los financieros, inversores y adquirentes valoran cada vez más la durabilidad de la ciberseguridad, la solidez del cumplimiento de la privacidad, la gobernanza de la IA y la eficacia con la que los sistemas pueden responder a las vulnerabilidades como indicadores del valor empresarial. Cuando las estructuras de gobernanza en estas áreas son débiles, pueden crear pasivos que duran más que las adquisiciones, perturban las transacciones comerciales y disminuyen la confianza de los inversores.

El propio NDPC parece entender que un régimen de sanciones no es una solución milagrosa. Quizás esta sea la razón por la que, en su Hoja de Ruta Estratégica y Plan de Acción 2023-2027, se otorga un enorme valor a la defensa pública, el fortalecimiento de la capacidad empresarial, la orientación regulatoria y la participación de las partes interesadas junto con las fuerzas del orden. Esto demuestra la comprensión de que un entorno regulatorio sostenible depende tanto de la movilización y las asociaciones de base como de la investigación y las sanciones.

En última instancia, el legado de la Comisión no debe juzgarse por la cantidad de violaciones que identificó, o la cantidad de sanciones aplicadas a las partes infractoras, sino por la profundidad con la que transformó el comportamiento empresarial para priorizar una sólida ética de gobernanza de datos. Institucionalizar esta cultura en todo nuestro panorama empresarial alentaría a los ejecutivos y directores no ejecutivos a interrogar de forma rutinaria los riesgos cibernéticos y los sistemas de inteligencia artificial; los empleados protegen instintivamente su información personal; y los consumidores a confiar sus datos a las organizaciones porque esa confianza se la han ganado.

Ahora que la NDPA ha proporcionado la arquitectura legal, la NDPC tiene la difícil tarea de fomentar un entorno de gobernanza en el que la confianza en nuestros activos digitales se eleve a una ventaja competitiva en lugar de un pasatiempo regulatorio. Se espera que el viaje de la Comisión hacia su destino deseado de convertirse en un actor digital global confiable y competitivo no sea un viaje prolongado, sino una progresión orgánica de un mero organismo de control de la industria a un facilitador de inversiones.

Simeon Oyakhilome Okoduwa es el socio director de The Timeless Practice