Protección de Datos Personales en Organizaciones de la Sociedad Civil del Sur Global: Urgencia, Desafíos y Responsabilidad

En los últimos años, la importancia de los datos personales ha crecido de manera exponencial. Lo que antes se consideraba información administrativa —nombres, números telefónicos, direcciones— hoy es un activo estratégico que influye en decisiones de políticas públicas, mecanismos de vigilancia estatal y estrategias comerciales de grandes corporaciones tecnológicas. Para las organizaciones de sociedad civil (OSC), especialmente en contextos marcados por altos niveles de violencia, discriminación y vigilancia estatal o corporativa, el manejo de datos personales no es un asunto técnico accesorio: es una cuestión de vida, seguridad y defensa de los derechos humanos.

En el CAD nos hemos enfrentado repetidamente a una realidad que es sistemática y preocupante: muchas OSC en Ecuador, Latinoamérica y el Sur Global no cuentan con protocolos sólidos de manejo, almacenamiento y tránsito de datos personales, tanto de sus equipos como de las comunidades con las que trabajan. Esta carencia es el resultado de un entorno donde las prioridades de financiamiento, las capacidades técnicas y las exigencias regulatorias no han empujado aún a la protección de datos al centro de la agenda.

Las OSC trabajan con poblaciones vulnerables: personas defensoras de derechos, comunidades indígenas, víctimas de violencia de género, migrantes, ambientalistas y grupos LGBTIQ+, entre otros. Estos grupos no solo enfrentan discriminación estructural; muchas veces están en el radar de gobiernos autoritarios, fuerzas de seguridad, empresas extractivistas y redes de crimen organizado. El manejo deficiente de datos personales (listados de beneficiarios, ubicaciones físicas, historiales de atención, imágenes y testimonios sensibles, entre otros) expone directamente a estas personas a riesgos reales.

En Ecuador, por ejemplo, la mayoría de organizaciones no tienen políticas claras de clasificación de datos, mecanismos de cifrado, controles de acceso o procesos para responder a brechas de seguridad. A menudo los datos se almacenan en dispositivos personales, cuentas de correo sin autenticación de dos factores o servicios de almacenamiento sin que previamente se realicen evaluaciones de riesgo. Estas prácticas no sujetas a protocolos definidos pueden parecer eficientes en el corto plazo, pero generan vulnerabilidades críticas cuando hay intentos de acceso no autorizado o cuando se producen extravíos de dispositivos.

Los riesgos a los cuales están expuestos los datos personales que custodian las OSC son múltiples y se cruzan de diversas maneras: En el Ecuador y otros países de la región, existen antecedentes de uso de herramientas de vigilancia para monitorizar a defensores/as de derechos humanos o disidentes. La falta de protocolos para proteger datos sensibles incrementa la probabilidad de que información estratégica caiga en manos de agencias de inteligencia o fuerzas de seguridad, especialmente cuando se trata de documentación sobre violaciones de derechos humanos o procesos de rendición de cuentas.

Asimismo, las grandes plataformas tecnológicas y corporaciones buscan cada vez más acceder a bases de datos para monetizarlas o para construir perfiles comerciales. OSC que utilizan herramientas comerciales de mensajería, almacenamiento y gestión de proyectos muchas veces lo hacen sin revisar las cláusulas de uso o las políticas de privacidad, facilitando una transferencia de datos que no siempre es evidente para sus equipos o beneficiarios.

Además, en contextos donde grupos criminales tienen presencia territorial, el acceso a listados de personas, ubicaciones de centros comunitarios o patrones de atención puede convertirse en material para extorsión, amenazas o violencia directa. La falta de medidas básicas de seguridad informática, como autenticación fuerte, respaldo seguro y formación del personal, amplifica estos riesgos.

En teoría, la protección de datos en Ecuador está respaldada por la Constitución, la Ley Orgánica de Protección de Datos Personales (LOPDP) y la jurisprudencia de la Defensoría del Pueblo. Sin embargo, la implementación efectiva de estas normas por parte de las OSC es todavía incipiente. Las leyes reconocen derechos como el acceso, rectificación, cancelación y oposición, pero pocas organizaciones cuentan con mecanismos operativos para garantizarlos internamente.

En Latinoamérica en general, la situación es similar: existe una serie de marcos legales (por ejemplo, la Ley de Protección de Datos Personales en Argentina, Brasil con la LGPD, Chile con su proyecto de ley), pero las organizaciones de la sociedad civil a menudo no forman parte de estas discusiones jurídicas y técnicas.

Muchas OSC operan con presupuestos ajustados y priorizan gastos de operación, actividades de campo, salarios mínimos, infraestructura básica, dejando de lado inversiones en seguridad de la información o capacitación especializada.

Además, la mayoría carece de personal con conocimientos en ciberseguridad, protección de datos o gestión de riesgos digitales. Esto se traduce en prácticas improvisadas, muchas veces basadas en herramientas gratuitas, sin evaluaciones de riesgos previas ni políticas internas.

Existe una percepción, que se repite preocupantemente en grupos más pequeños o comunitarios, de que “nuestros datos no interesan a nadie”. Esta creencia ignora la realidad de que los datos de poblaciones vulnerables son extremadamente valiosos y sensibles, no solo para actores delictivos o estatales, sino también para intermediarios digitales que los comercializan sin transparencia.

A diferencia de las empresas privadas que enfrentan auditorías regulatorias y sanciones por incumplimiento, las OSC no siempre están sujetas a un escrutinio sistemático sobre cómo tratan datos personales, lo que reduce la presión para formalizar procesos, aun cuando ya existe normativa e instituciones que velan por la protección de datos personales.

La protección de datos personales en organizaciones de sociedad civil debe pensarse no como una barrera burocrática, sino como una extensión de su compromiso ético con las comunidades con las que trabajan. Esto implica reconocer que cada dato es una persona y que los impactos de una brecha pueden ser tan perjudiciales como un ataque físico.

Algunas prácticas clave que toda organización debe considerar son:

• Desarrollar políticas internas claras: Esto incluye definir qué datos se recopilan, por qué, cómo se almacenan, quién tiene acceso y por cuánto tiempo se conservan. Estas políticas deben estar documentadas y ser accesibles para todo el equipo.
• Capacitación permanente: El eslabón más débil de cualquier sistema de seguridad es el factor humano. Entrenar a equipos en buenas prácticas, como reconocer intentos de phishing, usar contraseñas robustas, gestionar permisos de acceso, puede ayudar a reducir drásticamente los riesgos.
• Cifrado y controles de acceso: No basta con tener datos, hay que protegerlos. Usar herramientas que cifran la información en tránsito y en reposo, así como autenticación multifactor para acceder a sistemas, son medidas esenciales.
• Evaluaciones de riesgo periódicas: Identificar puntos críticos, como almacenamiento en servicios de terceros, dispositivos móviles sin protección, registros físicos sin control, permite priorizar inversiones y estrategias de mitigación.
• Transparencia con las comunidades: Informar a las personas beneficiarias sobre cómo se usarán sus datos, qué derechos tienen y cómo pueden ejercerlos fortalece la relación de confianza y respalda el enfoque de derechos del trabajo cotidiano.

En Latinoamérica y el Sur Global, donde los estados fluctúan entre prácticas autoritarias y capacidades institucionales limitadas, las OSC no pueden ni deben enfrentar solas la complejidad de proteger datos sensibles. La solidaridad intersectorial —entre organizaciones de derechos humanos, académicas, activistas digitales y defensores legales— es una estrategia no solo útil, sino indispensable.

Es vital reconocer que proteger datos personales no es solo una cuestión técnica, es una postura política y ética. Para las organizaciones de sociedad civil, implica afirmar que los derechos digitales son parte integral de los derechos humanos. Significa reconocer que en un mundo hiperconectado, la seguridad y la dignidad de quienes confían su información a nuestras organizaciones dependen de nuestra capacidad de gestionarla con responsabilidad, transparencia y ética.

Si nuestras políticas, prácticas y tecnologías no evolucionan para responder a los riesgos de nuestra época, corremos el peligro de reproducir en el espacio digital las mismas relaciones de vulneración que buscamos cambiar fuera de él. Por eso, invertir en la protección de datos no es un lujo técnico: es un acto de defensa de la vida, la libertad y la justicia.