El punto ciego DLP que aún no ha auditado
Las herramientas DLP supervisan el tráfico de red, los archivos adjuntos de correo electrónico y las transferencias de archivos. Detectan hojas de cálculo con columnas SSN. Marcan correos con listas de clientes. Bloquean cargas con registros médicos.
No detectan capturas de pantalla.
Una captura de pantalla es un archivo de imagen. Los datos personales que contiene están representados como píxeles. No se almacenan como texto. Los motores DLP que analizan patrones de datos personales no encuentran nada.
Cada día, los empleados pegan capturas de pantalla en Slack, Jira, Teams y cadenas de correo. No se genera ninguna alerta DLP.
Cómo las capturas de pantalla propagan datos personales en el trabajo
El trabajo remoto e híbrido ha hecho común compartir capturas. Las herramientas internas se llenan de ellas cada día.
Los miembros del equipo comparten capturas para dar contexto rápido:
- Los agentes de soporte comparten vistas de cuentas de clientes con sus responsables.
- Los desarrolladores comparten registros de errores que incluyen datos de entrada de usuarios.
- Los gestores de cuentas envían registros CRM para dar contexto a los equipos financieros.
- Los administradores IT capturan vistas del sistema para documentar configuraciones para contratistas.
- Los equipos de producto comparten vistas de paneles en actualizaciones para las partes interesadas.
Cada archivo adjunto puede contener información personal. Una captura de cuenta de cliente contiene nombre, correo electrónico, estado y dirección de facturación. Un archivo de registro de errores puede incluir nombres, direcciones o números de teléfono introducidos por usuarios. Una captura de registro CRM contiene el perfil completo de la cuenta. Un archivo de panel puede mostrar identificadores de usuario en etiquetas de gráficos.
El problema de control de acceso
Compartir capturas de pantalla también crea un problema de control de acceso.
La mayoría de las organizaciones aplican controles de acceso basados en roles en sus sistemas de producción. Un agente de soporte solo ve los registros de su cola. Un contratista solo ve los archivos de proyecto asignados.
Cuando un agente captura un registro de cliente y lo pega en un canal de Slack con contratistas, el control de acceso queda anulado. El contratista obtiene datos personales que no podría haber obtenido por las vías normales. El DPA que rige el trabajo de los contratistas puede no cubrir esta transferencia. Los derechos RGPD del cliente pueden no aplicarse a ese contratista.
Esta omisión es un problema conforme al artículo 5(1)(f) del RGPD. Se refiere a la integridad y la confidencialidad. También puede crear problemas de alineación con el artículo 28 si los contratistas reciben datos personales sin los DPA correctos. Consulte nuestra guía de conformidad RGPD para una lista de verificación de las obligaciones del artículo 28.
Detección de datos personales en imágenes como medida de protección técnica
La medida de protección técnica para la exposición de datos personales basada en capturas es la detección OCR más NLP. Los pasos son simples.
- El empleado captura una pantalla de una interfaz de cliente.
- Antes de compartir: sube la captura a una herramienta de detección.
- La herramienta extrae el texto visible mediante OCR.
- El NLP identifica entidades de datos personales en el texto.
- El empleado ve un informe: «Esta captura contiene: [nombre del cliente], [dirección de correo], [ID de cuenta].»
- El empleado luego redacta los datos personales, reduce el alcance del uso compartido o continúa con una razón escrita.
Esto no bloquea todo el uso compartido. Muestra la información personal antes de que se mueva. Las personas pueden tomar decisiones informadas. Vea cómo esto encaja en su pila de protección en la página de seguridad.
Caso de uso: Política de capturas en Jira para un helpdesk SaaS
El helpdesk de una empresa SaaS usaba Jira para registrar problemas de cuentas. Los archivos adjuntos a esos tickets contenían datos personales de usuarios. En concreto:
- Direcciones de correo electrónico de usuarios de las interfaces de gestión de cuentas.
- Detalles de planes de suscripción.
- Importes y fechas de facturación.
- Datos de pago parciales en algunos casos.
Una auditoría RGPD encontró 847 tickets de Jira creados en 18 meses. Todos contenían archivos adjuntos con datos personales. Jira estaba abierto a los 200 ingenieros. Algunos eran contratistas sin DPA para registros de facturación de clientes.
Pasos de remediación:
- Auditoría retroactiva: detección de datos personales en todos los archivos adjuntos existentes. 312 tickets marcados para revisión del DPO.
- Limpieza de tickets: 89 tickets tuvieron sus archivos redactados antes de volver a adjuntarlos.
- Cambio de proceso: nuevo flujo de trabajo que requiere una verificación de datos personales antes de adjuntar en Jira.
- Formación: sesión de 15 minutos para todo el personal del helpdesk.
Resultados tras 90 días:
- Incidentes de datos personales en Jira: caída del 90 por ciento.
- Incidentes restantes: casos en que el personal continuó con una razón diagnóstica escrita.
- Alcance del DPA: actualizado para reducir la exposición innecesaria de datos personales a contratistas.
Los 312 tickets históricos constituyeron un hallazgo de conformidad. La caída del 90 por ciento sirvió como prueba de remediación en la respuesta a la auditoría.
Integrar la revisión de capturas en los flujos de trabajo del equipo
Para las organizaciones que desean controles de datos personales sin ralentizar las operaciones, existen varias opciones.
Opción ligera: Una herramienta de navegador que los empleados usan antes de pegar en Slack o Jira. Arrastre la captura, obtenga un informe sobre datos personales en cinco segundos, luego continúe o redacte.
Conector Jira o ServiceNow: Detección que se ejecuta antes de que los archivos lleguen a los tickets. Funciona como un antivirus antes de una carga de archivos.
Bot de Slack: Un bot que recibe cargas de capturas en canales seleccionados. Ejecuta la detección de datos personales. Publica una respuesta en el hilo con las entidades detectadas. Esto hace visible la información personal sin bloquear el flujo de trabajo.
Norma de equipo más muestreo: Una verificación automatizada semanal. Muestree el 10 por ciento de las capturas en las herramientas de colaboración. Ejecute la detección. Informe los hallazgos al responsable del equipo. Esto crea responsabilidad sin bloquear ningún flujo de trabajo.
Para los registros RGPD: el control de datos personales en capturas cuenta como una «medida organizativa» según el artículo 32. Documente la medida de protección — política más herramienta técnica. Añada prueba de uso. Esto satisface la regla de responsabilidad del artículo 5(2). Consulte nuestra página de conformidad y la entrada del glosario para el artículo 32.
¿Quiere ver cómo anonym.legal gestiona esto para su equipo? Visite nuestra página de planes o lea la declaración del fundador sobre la de-identificación.
Fuentes
- RGPD Artículo 5: Principios del tratamiento de datos. VERIFIED-EXTERNAL.
- RGPD Artículo 32: Seguridad del tratamiento. VERIFIED-EXTERNAL.
- ICO: Protección de datos desde el diseño y por defecto. VERIFIED-EXTERNAL.