Desde 2018, las leyes de protección de datos han reducido las violaciones de seguridad, pero han afectado el valor de las empresas.

La introducción de nuevas normas de protección de datos redujo significativamente las infracciones por parte de las empresas, pero afectó negativamente a su valor de mercado, según una nueva investigación de la Universidad de East Anglia (UEA) y la Universidad de Texas.

Los investigadores analizaron lo que sucedió cuando el Reglamento General de Protección de Datos (RGPD) de la Unión Europea comenzó a aplicarse en 2018. Utilizando su alcance extraterritorial, los autores exploran la variación en la exposición de las empresas estadounidenses al RGPD de la UE para ver cómo las leyes de privacidad de datos más estrictas afectaron su valor, sus opciones de inversión y las violaciones de datos.

Descubrieron que el valor de mercado de las empresas que tenían que cumplir con el RGPD cayó entre un 0,6 y un 1,1% (o de 42.000 a 76.000 millones de dólares en total) en la semana en que entró en vigor. Esto se debió en parte a que las leyes de seguridad y privacidad de datos más estrictas frenaron el crecimiento de las ventas de las empresas.

Sin embargo, estas empresas invirtieron más dinero en protección de datos que las que no se vieron afectadas por el RGPD y tuvieron menos probabilidades de sufrir violaciones de datos. Esta reducción fue significativa, ya que evitó que se filtraran hasta 34 millones de registros cada año, lo que habría costado a las empresas entre 205 y 561 millones de dólares anuales.

Los hallazgos se publican en la revista Revista de contabilidad y finanzas empresarialesEl coautor Dr. Fabio Motoki, profesor de Contabilidad en la Norwich Business School de la UEA, dijo: «En general, este estudio muestra los costos y beneficios clave de leyes de privacidad de datos más estrictas, brindando información útil para empresas y reguladores de todo el mundo.

«Estos resultados sugieren que el RGPD puede haber logrado uno de sus objetivos previstos: mejorar la protección de los datos y la privacidad de los consumidores. Se cree que este es el primer estudio que documenta los posibles beneficios asociados a los esfuerzos recientes por regular estas áreas.

«En concreto, hemos comprobado que las empresas estadounidenses sujetas al RGPD tienen menos probabilidades de denunciar una vulneración de datos tras la entrada en vigor de la normativa. La disminución de la probabilidad de vulneración de datos parece deberse a una reducción de las vulneraciones de datos asociadas a la piratería y el malware, lo que podría atribuirse a una mayor inversión en ciberseguridad. Esta mayor inversión podría deberse a la mayor atención que presta una junta más especializada a supervisar los riesgos de ciberseguridad en las empresas estadounidenses debido al RGPD».

La UE aprobó el RGPD para abordar las crecientes preocupaciones en torno a la privacidad y seguridad de los datos. Entró en vigor el 25 de mayo de 2018 y exige una mayor transparencia en la forma en que las empresas recopilan datos de los consumidores, estableciendo un consentimiento claro para la recopilación, imponiendo una gestión y un control de datos más estrictos y asignando sanciones sustanciales y riesgos de responsabilidad por violaciones del procesamiento o el flujo de datos. Como resultado, se pensó que la regulación probablemente impondría altos costos de cumplimiento a las empresas.

El RGPD exige que cualquier empresa que controle o procese datos de residentes de la UE cumpla las normas, independientemente de su ubicación. Por lo tanto, las empresas de todo el mundo, incluidas las de EE. UU., podrían estar sujetas al RGPD si procesan datos personales de residentes de la UE.

Desde entonces, muchos estados de EE. UU. y otros países, como Brasil, China y Canadá, han promulgado o están debatiendo leyes como el RGPD, lo que resalta la importancia de evaluar sus consecuencias fuera de la UE.

El Dr. Motoki y el coautor Jedson Pinto, profesor adjunto de Contabilidad en la Universidad de Texas, analizaron cómo el RGPD afectó a una muestra de 1.013 precios de acciones de empresas estadounidenses alrededor de la semana en que las normas entraron en vigor, comparando aquellas empresas expuestas a ellas con aquellas que no lo estaban.

El grupo de control de empresas no expuestas a los riesgos asociados al RGPD opera en los sectores de la atención sanitaria, la banca o los seguros, ya que trabajan bajo leyes de protección de datos más estrictas. Se descubrió que los sectores más afectados por el RGPD se encuentran en áreas que van desde los servicios empresariales y los servicios públicos hasta los productos farmacéuticos y los contenedores de transporte.

Los investigadores dicen que la caída en el valor de las empresas es consistente con la anticipación de los inversores de un efecto negativo sustancial de las leyes de privacidad de datos más estrictas sobre el flujo de caja futuro de las empresas.

También descubrieron que las empresas expuestas al RGPD muestran un crecimiento de ventas estadísticamente más lento que las que no están expuestas al RGPD: las afectadas vieron sus ventas crecer entre 5,8 y 6,6 puntos porcentuales más lento que las empresas de control después de que la ley entró en vigor.

La disminución de la probabilidad de violación de datos representó 10 violaciones menos en un año. En 2023, el costo por registro para una violación de tamaño mediano (hasta 101,200 registros) se estimó en aproximadamente $165 por registro, y las violaciones grandes tuvieron estimaciones por registro más bajas, pero costos económicos totales elevados.

El Dr. Pinto afirmó: «Nuestros hallazgos se suman a la creciente cantidad de literatura que documenta los costos del RGPD, como la disminución de la inversión de capital de riesgo de la UE, especialmente cuando las empresas y los inversores principales no están en el mismo estado o unión.

«Estos resultados indican que el RGPD puede haber cambiado la forma en que el mercado percibe estas infracciones, modificando potencialmente los incentivos de los ejecutivos para proteger los datos de los clientes. Estos resultados son coherentes con el hecho de que las regulaciones son una forma alternativa de abordar las recientes preocupaciones sobre la privacidad y la seguridad de los datos y deberían ser de interés para los reguladores de todo el mundo que han promulgado o están buscando promulgar leyes similares al RGPD de la UE».

El Dr. Motoki y el Dr. Pinto también examinaron si el RGPD afectó a la forma en que los inversores reaccionaron ante el anuncio de una filtración de datos utilizando información de 62 filtraciones en el período de muestra. Concluyeron que después del RGPD, los inversores pueden reaccionar más negativamente a una filtración de datos en el caso de empresas con requisitos de protección de datos más estrictos.

El efecto es económicamente significativo, ya que una filtración de datos se asocia con una caída de hasta el 5,3% en los precios de las acciones en los cinco días posteriores al anuncio de la filtración en comparación con las empresas que no están sujetas a las regulaciones. Afirman que estos resultados son coherentes con la expectativa de los inversores de tener que afrontar importantes costos judiciales asociados con las multas en caso de una filtración.