Una empresa de telecomunicaciones del Reino Unido contrató a un proveedor de analítica de marketing para optimizar sus campañas de reactivación de clientes. Le entregó una lista de contactos: nombres de clientes, direcciones de correo electrónico y nivel de cuenta. La plataforma del proveedor enriqueció automáticamente cada registro al importarlo mediante su red estándar de socios de datos, añadiendo empleador, cargo, ciudad de residencia, ingresos estimados del hogar, perfiles en redes sociales y puntuaciones de comportamiento derivadas de conjuntos de datos de intermediarios de datos externos. El enriquecimiento se produjo de forma silenciosa como parte del flujo de incorporación de la plataforma. El DPA entre la empresa de telecomunicaciones y el proveedor especificaba la base jurídica para el tratamiento de los datos de contacto originales. No decía nada sobre los datos enriquecidos, que tenían un origen distinto, una caracterización regulatoria distinta, implicaciones de conservación distintas y, en varios casos, un requisito de base jurídica distinto del de los datos originales según el UK GDPR. La investigación de la ICO que siguió a una solicitud de acceso de un cliente que preguntaba qué datos conservaba la empresa de telecomunicaciones en el proveedor encontró diecisiete categorías de datos que la empresa no había proporcionado, que no sabía que el proveedor estaba recopilando y para cuyo tratamiento no podía demostrar una base jurídica.
¿En qué consiste realmente el problema del riesgo de enriquecimiento de datos por parte de proveedores?
El enriquecimiento de datos es la práctica de ampliar un conjunto de datos base con atributos adicionales procedentes de proveedores externos, añadiendo a los registros de clientes datos demográficos, de comportamiento, firmográficos y psicográficos para crear perfiles más completos. El enriquecimiento es una práctica estándar y comercialmente legítima en las plataformas de marketing, analítica y personalización. El riesgo surge cuando el enriquecimiento se produce automáticamente como funcionalidad de la plataforma, cuando las categorías de datos enriquecidos incluyen datos con características regulatorias distintas de las de los datos originales, cuando el cliente no sabía que se produciría el enriquecimiento y cuando el DPA que rige la relación abarca solo los datos que proporcionó el cliente y no todo el conjunto de datos que crea la plataforma.
El problema de la base jurídica es la dimensión regulatoria central del riesgo de enriquecimiento. Según el GDPR y los marcos equivalentes, cada categoría de datos personales tratada debe tener una base jurídica: la organización debe poder especificar por qué está autorizada a tratar esa categoría concreta de datos personales para esa finalidad concreta. La empresa de telecomunicaciones tenía una base jurídica para tratar los nombres y las direcciones de correo electrónico de los clientes con fines de marketing. Los ingresos estimados del hogar y las puntuaciones de propensión de comportamiento obtenidos de intermediarios de datos requieren bases jurídicas separadas: un análisis de interés legítimo distinto, consentimiento explícito u otra base que la empresa nunca había evaluado porque no sabía que esos datos existían. El enriquecimiento creó un problema de base jurídica de forma retroactiva, para datos que el cliente no eligió recopilar.
La dimensión de la transparencia es igual de importante. Los marcos de protección de datos exigen que se informe a las personas sobre los datos que se tratan acerca de ellas, incluidos los datos obtenidos de fuentes distintas de la propia persona. Un cliente que recibe la respuesta a su solicitud de acceso con diecisiete categorías de datos enriquecidos que la organización no recopiló explícitamente tiene la expectativa razonable de recibir una explicación: concretamente, cuándo se recopilaron, de dónde y con qué base. Una organización que no puede responder a esas preguntas porque no sabía que se había producido el enriquecimiento ha incumplido sus obligaciones de transparencia a causa del comportamiento predeterminado de la plataforma de un proveedor.
Los riesgos del enriquecimiento de datos por parte de proveedores se concentran en cinco patrones específicos de fallo de gobernanza:
- Enriquecimiento automático sin notificación al cliente: plataformas de proveedores que enriquecen los datos importados como funcionalidad predeterminada sin notificación explícita ni mecanismos de exclusión
- Alcance del DPA limitado a los datos proporcionados por el cliente: acuerdos de tratamiento de datos que regulan los datos originales, pero no abordan los datos enriquecidos que crea la plataforma
- Brecha de base jurídica para las categorías de datos enriquecidos: categorías de datos enriquecidos con características regulatorias que exigen una base jurídica distinta de la de los datos originales
- Alcance de las solicitudes de acceso que incluye datos enriquecidos desconocidos: datos sobre clientes que conserva el proveedor y que incluyen categorías enriquecidas que el responsable del tratamiento desconoce
- Obligaciones de conservación y supresión de los datos enriquecidos: solicitudes de supresión que deben abarcar categorías de datos enriquecidos que el responsable del tratamiento no proporcionó y cuya existencia puede desconocer
Por qué es importante
El enriquecimiento de datos por parte del proveedor es relevante para TPRM porque representa una categoría de tratamiento de datos que se produce en el sistema del proveedor sin que el cliente haya decidido explícitamente recopilar o tratar los datos enriquecidos. El cliente tomó una decisión de minimización de datos cuando eligió compartir solo nombres y direcciones de correo electrónico. La plataforma del proveedor revirtió esa decisión de forma automática al enriquecer el conjunto de datos. El DPA, los avisos de privacidad y las evaluaciones de base jurídica del cliente se diseñaron en torno a los datos que eligió compartir. Ninguno de ellos abordaba los datos que la plataforma del proveedor decidió añadir.
La dimensión de las solicitudes de acceso y de supresión es donde el riesgo de enriquecimiento se vuelve operativo de forma más inmediata. Cuando un titular de los datos presenta una solicitud de acceso, tiene derecho a recibir todos los datos personales que la organización conserva sobre él, incluidos los datos que conservan los encargados del tratamiento. Si la plataforma de un proveedor ha enriquecido el registro del titular con diecisiete categorías de datos adicionales, esas categorías son datos personales que el encargado conserva por cuenta del responsable, y deben incluirse en la respuesta a la solicitud de acceso. El responsable que no sabe que se produjo el enriquecimiento no puede incluir esas categorías en la respuesta, lo que da lugar a una atención incompleta de la solicitud de acceso y a un posible incumplimiento normativo.
Para los profesionales de TPRM, esto crea una obligación de evaluación específica para los proveedores de marketing, analítica y CRM: preguntar si la plataforma enriquece automáticamente los datos importados como funcionalidad estándar, qué fuentes de datos se utilizan, qué categorías se añaden y si el enriquecimiento puede deshabilitarse o limitarse para los clientes que no lo desean. Esta pregunta no es estándar actualmente en la mayoría de las evaluaciones de TPRM y representa una de las brechas de gobernanza no detectadas más importantes en las relaciones con proveedores de tecnología de marketing.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es no preguntar si las plataformas de los proveedores enriquecen automáticamente los datos importados. El enriquecimiento de datos es una funcionalidad que muchas plataformas de marketing, analítica y CRM ofrecen y habilitan de forma predeterminada: es un argumento de venta de la plataforma, no un riesgo de divulgación que el proveedor tenga interés en destacar. Los clientes que no preguntan por el enriquecimiento pueden no descubrirlo hasta que una solicitud de acceso o una auditoría regulatoria revela categorías de datos que el cliente nunca recopiló explícitamente.
El segundo fallo es limitar los acuerdos de tratamiento de datos a los datos que proporciona el cliente sin abordar los datos que la plataforma del proveedor puede recopilar, inferir u obtener de otras fuentes. Un DPA limitado con precisión a la transferencia de datos del cliente crea una laguna regulatoria para cualquier dato que añada la plataforma, porque el DPA regula el tratamiento de los datos transferidos, pero no crea ningún marco que regule los datos enriquecidos, que pueden tratarse sin una base jurídica clara, comunicarse sin transparencia hacia los titulares de los datos y conservarse sin un calendario de conservación.
- No preguntar si la plataforma enriquece automáticamente los datos importados: una pregunta sobre una funcionalidad predeterminada que la mayoría de las evaluaciones nunca formulan
- DPA limitado solo a los datos proporcionados por el cliente: sin disposiciones que regulen las categorías de datos enriquecidos ni que exijan la aprobación del cliente antes del enriquecimiento
- Ninguna evaluación de base jurídica para las categorías de datos enriquecidos: un responsable del tratamiento que desconoce que se ha producido el enriquecimiento no puede evaluar la base jurídica
- Solicitudes de acceso cuyo alcance no incluye los datos enriquecidos: atención incompleta cuando el responsable desconoce los datos enriquecidos
- No se evalúa ningún mecanismo de exclusión: si el enriquecimiento puede deshabilitarse para los clientes que no lo desean
Cómo se ve una buena práctica
Los programas maduros de gobernanza del enriquecimiento exigen que los proveedores divulguen todas sus capacidades de enriquecimiento antes de importar los datos, obtengan una autorización explícita antes de aplicar el enriquecimiento a los datos del cliente, garanticen que los acuerdos de tratamiento de datos aborden tanto las categorías de datos enriquecidos como los datos proporcionados y permitan a los clientes deshabilitar el enriquecimiento o suprimir las categorías de datos enriquecidos.
- Divulgación del enriquecimiento antes de la importación: el proveedor debe divulgar sus capacidades de enriquecimiento, sus fuentes de datos y sus categorías antes de que los datos del cliente se importen en la plataforma
- Autorización explícita del enriquecimiento: el enriquecimiento se aplica solo con autorización explícita del cliente, no como funcionalidad predeterminada
- Disposiciones sobre enriquecimiento en el DPA: un acuerdo de tratamiento de datos que aborde las categorías de datos enriquecidos, los requisitos de base jurídica y las obligaciones de conservación y supresión
- Capacidad de exclusión o deshabilitación del enriquecimiento: posibilidad de que el cliente deshabilite el enriquecimiento o suprima las categorías de datos enriquecidos
- Inventario de enriquecimiento para solicitudes de acceso: el proveedor puede proporcionar un inventario de todas las categorías de datos enriquecidos de un titular concreto en respuesta a las solicitudes de acceso
Herramientas
Gobernar el riesgo de enriquecimiento de datos requiere tanto mecanismos contractuales como controles técnicos sobre las funcionalidades de enriquecimiento de la plataforma.
Controles de datos de plataformas de marketing: Salesforce Marketing Cloud, HubSpot, Marketo
Las principales plataformas de marketing ofrecen controles de enriquecimiento: la posibilidad de configurar qué fuentes de datos de enriquecimiento están habilitadas, qué categorías se añaden y qué registros pueden enriquecerse. Conocer las opciones de configuración del enriquecimiento en la plataforma concreta que utiliza un proveedor permite formular preguntas de gobernanza específicas sobre si el enriquecimiento está habilitado, qué fuentes están activas y si la configuración puede ser específica para cada cliente. Para los profesionales de TPRM, preguntar si el enriquecimiento de la plataforma del proveedor está habilitado para los datos del cliente, y en concreto si puede deshabilitarse, es una pregunta de gobernanza sobre una funcionalidad específica de la plataforma.
Transparencia de los intermediarios de datos: LiveRamp, Acxiom, Experian Marketing Services
Conocer las principales redes de intermediarios de datos que utilizan las plataformas de marketing para el enriquecimiento permite evaluar las categorías de datos que esas fuentes suelen aportar: datos demográficos, de comportamiento, de ingresos y psicográficos que pueden requerir un tratamiento separado en cuanto a la base jurídica. Para los profesionales de TPRM, saber qué fuentes de enriquecimiento utiliza una plataforma permite formular preguntas más concretas sobre la base jurídica de las categorías específicas que esas fuentes aportan.
Gestión de la privacidad: OneTrust, TrustArc
Las plataformas de gestión de la privacidad facilitan el mantenimiento de los registros de las actividades de tratamiento, que deben incluir las categorías de datos enriquecidos, lo que permite al responsable del tratamiento documentar todo el alcance de los datos tratados, incluidas las categorías enriquecidas por el proveedor. Para los profesionales de TPRM, preguntar si el proveedor ofrece un inventario de datos de enriquecimiento que pueda incorporarse al ROPA del responsable plantea una pregunta concreta de integración documental.
Desafíos de gobernanza
El reto de gobernanza del enriquecimiento de datos es el problema de la configuración predeterminada de la plataforma. El enriquecimiento es una funcionalidad del producto que las plataformas habilitan de forma predeterminada porque aumenta el valor de la plataforma: perfiles de clientes más completos producen mejor analítica y una segmentación más eficaz. Los clientes que no desactivan específicamente el enriquecimiento, o que no saben que deben preguntar por él, reciben el enriquecimiento como opción predeterminada que nunca eligieron explícitamente. Gobernar el enriquecimiento exige formular la pregunta antes de importar los datos, en lugar de descubrir la funcionalidad después de que una solicitud de acceso revele datos desconocidos.
Para los programas de TPRM, el enfoque práctico de gobernanza consiste en añadir la divulgación y la autorización del enriquecimiento a la lista de verificación estándar de incorporación de proveedores para toda plataforma que trate datos personales de clientes: exigir la divulgación de las capacidades de enriquecimiento antes de la importación, la autorización explícita antes de aplicar el enriquecimiento y disposiciones en el DPA que aborden las categorías de datos enriquecidos. La pregunta debe figurar en la lista de verificación de todo proveedor de plataformas de marketing, analítica y CRM en el que la respuesta no sea obviamente negativa.
- Añadir la divulgación del enriquecimiento a la lista de verificación de incorporación de proveedores para plataformas de marketing, analítica y CRM
- Exigir autorización explícita antes de aplicar el enriquecimiento a los datos del cliente
- Añadir disposiciones sobre enriquecimiento al DPA: base jurídica, conservación, supresión y derechos de exclusión para los datos enriquecidos
- Preguntar por las fuentes de datos de enriquecimiento: qué intermediarios de datos se utilizan y qué categorías aportan
- Exigir un inventario de enriquecimiento para las solicitudes de acceso: obligación del proveedor de proporcionar las categorías de datos enriquecidos en las solicitudes de acceso del titular
Si usted forma parte de un equipo pequeño
Añada una pregunta a su lista de verificación de incorporación de proveedores para cada plataforma de marketing, analítica y CRM: ¿enriquece esta plataforma automáticamente los datos de clientes importados con datos adicionales de fuentes de terceros? Y, en tal caso, ¿qué categorías se añaden, de qué fuentes y puede deshabilitarse el enriquecimiento para nuestra cuenta? Esa sola pregunta sacará a la luz la funcionalidad de enriquecimiento predeterminada a la que la mayoría de las evaluaciones nunca llegan, y la respuesta determinará si la decisión de minimización de datos que usted tomó sobre qué compartir con el proveedor quedó anulada por una configuración predeterminada de la plataforma antes de que terminara la primera importación.
- Preguntar si la plataforma enriquece automáticamente los datos importados y qué categorías se añaden
- Preguntar si el enriquecimiento puede deshabilitarse específicamente para su cuenta
- Preguntar qué redes de intermediarios de datos se utilizan para el enriquecimiento y qué categorías aportan
- Añada disposiciones sobre enriquecimiento en la próxima renovación del DPA con sus proveedores de marketing y analítica
Qué exigir
Pregunte directamente:
“¿Su plataforma enriquece automáticamente los datos de clientes que importamos con datos adicionales de fuentes de terceros? Y, en tal caso, ¿qué categorías de datos concretas se añaden, de qué redes de intermediarios de datos proceden y puede deshabilitarse este enriquecimiento para nuestra cuenta?”
“Si importamos solo nombres y direcciones de correo electrónico, ¿qué categorías de datos habrá asociado su plataforma a esos registros una vez finalizado su proceso estándar de incorporación?”
“Si recibimos una solicitud de acceso de un cliente cuyos datos hemos importado en su plataforma, ¿qué categorías de datos enriquecidos se incluirían en la salida de su sistema para ese titular? ¿Y nos corresponde a nosotros incluir esas categorías en la respuesta a la solicitud de acceso?”
Evidencia que debe esperar
- Divulgación de la funcionalidad de enriquecimiento: qué se añade, de qué fuentes y qué categorías
- Confirmación de la capacidad de deshabilitar el enriquecimiento o de excluirse de él
- Inventario de datos para solicitudes de acceso, incluidas las categorías enriquecidas
- Disposiciones sobre enriquecimiento en el DPA: base jurídica y obligaciones de conservación y supresión para los datos enriquecidos
A un proveedor que responde a la pregunta sobre el enriquecimiento con “solo tratamos los datos que usted nos proporciona” se le debe preguntar si su plataforma tiene alguna funcionalidad de enriquecimiento y si esas funcionalidades están activas de forma predeterminada. La respuesta “tratamos lo que usted nos proporciona” puede ser exacta respecto del tratamiento principal de datos de la plataforma y, al mismo tiempo, no decir absolutamente nada sobre las funcionalidades de enriquecimiento que operan sobre los datos importados como capacidad estándar.
Cómo demostrarlo
Los principios de limitación de la finalidad, minimización de datos y transparencia del GDPR se aplican a las categorías de datos enriquecidos con la misma plenitud que a los datos proporcionados por el cliente. Demostrar la diligencia debida requiere evidencia de que el enriquecimiento se evaluó en la incorporación del proveedor y se reguló mediante disposiciones del DPA.
- Documentación de divulgación del enriquecimiento obtenida en la incorporación del proveedor
- Autorización explícita del enriquecimiento o confirmación de la exclusión
- Documentación de las disposiciones sobre enriquecimiento del DPA
- Documentación del alcance de las solicitudes de acceso, incluidas las categorías de datos enriquecidos
Conclusión clave
La decisión de minimización de datos que tomó al elegir compartir solo nombres y direcciones de correo electrónico fue la correcta. La funcionalidad de enriquecimiento predeterminada de la plataforma la revirtió antes de que terminara su primera importación. Su DPA regula lo que usted envió. Los datos de enriquecimiento (estimaciones de ingresos, puntuaciones de comportamiento, perfiles en redes sociales) llegaron al sistema del proveedor sin una evaluación de base jurídica, sin figurar en su aviso de privacidad, sin un calendario de conservación y sin ninguna gobernanza, porque nadie sabía que estaban allí. El enriquecimiento de datos es una funcionalidad de la plataforma, no una decisión de compartir datos que usted haya tomado. Gobernarlo exige preguntar por él antes de importar los datos, exigir una autorización explícita antes de aplicarlo y abordarlo en el DPA junto con los datos que eligió compartir. La pregunta está en la lista de verificación o estará en la respuesta a una solicitud de acceso.