GoDaddy publicó su Reporte Global de Impacto para Stakeholders 2025, con un capítulo dedicado a gobierno responsable, operaciones, ciberseguridad y privacidad de datos. Más allá de la dimensión de RSE, el documento ofrece una radiografía de cómo una empresa de infraestructura digital a escala global estructura sus capacidades de data governance — y qué elementos son replicables para organizaciones en América Latina que aún están construyendo esos marcos.
Un reporte de impacto como espejo de madurez
Publicar un reporte de impacto para stakeholders es, en buena medida, un ejercicio de accountability sobre decisiones de governance ya tomadas. GoDaddy —que gestiona dominios, hosting y servicios de presencia digital para millones de pequeñas y medianas empresas en todo el mundo— articula en su edición 2025 una estructura que vincula explícitamente el gobierno de datos con la operación del negocio: no como función de soporte, sino como pilar de continuidad. Ese encuadre es relevante porque los equipos de datos en la región suelen batallar exactamente ese argumento frente a sus directorios.
El reporte aborda, según se informó, políticas de clasificación de datos, procedimientos de respuesta ante incidentes y marcos de supervisión interna del tratamiento de información. Lo interesante desde una perspectiva de DAMA-DMBOK es que estas tres dimensiones corresponden a knowledge areas distintas — Data Security, Data Quality y Metadata Management, respectivamente — pero en la práctica corporativa tienden a fragmentarse entre equipos de IT, Legal y Compliance sin un ownership claro en el nivel de data stewardship.
El dato que importa: ownership y accountability, no solo políticas
Uno de los patrones más comunes que emerge cuando grandes proveedores de infraestructura digital divulgan sus marcos de governance es la brecha entre política documentada y accountability operativo. Bob Seiner, referente de Non-Invasive Data Governance, sostiene que el gobierno de datos efectivo no requiere nuevos roles sino clarificar quién ya es responsable de qué dato en su trabajo cotidiano. Cuando GoDaddy describe sus controles de privacidad y ciberseguridad como parte de “operaciones responsables”, está haciendo exactamente eso: anclar el governance en la cadena de decisión existente, no en una estructura paralela.
Para un CDO o Data Governance Manager en América Latina, la pregunta concreta es: ¿mi organización puede producir un documento equivalente — aunque sea interno — que describa quién es el data owner de cada dominio crítico, cuál es el criterio de clasificación vigente y cuál es el proceso de notificación ante una brecha? Si la respuesta es no, ese es el punto de partida, no la certificación.
El ángulo regulatorio que LATAM no puede ignorar
Las empresas de infraestructura digital que operan en la región — ya sea como proveedoras de hosting, SaaS o servicios de dominio — están sujetas a múltiples marcos normativos simultáneos. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que los operadores de datos implementen medidas técnicas y administrativas proporcionales al riesgo del tratamiento, con auditoría posible por parte de la Autoridade Nacional de Proteção de Dados (ANPD). En Argentina, la Ley 25.326 y su decreto reglamentario establecen obligaciones de seguridad que recaen tanto en el responsable como en el cesionario. En México, el INAI ha profundizado en los últimos años sus criterios sobre medidas de seguridad bajo la LFPDPPP.
Esto significa que un proveedor como GoDaddy —o cualquier empresa regional que gestione datos de clientes de múltiples países— necesita un modelo de governance capaz de mapear qué dato corresponde a qué jurisdicción y qué obligación de notificación aplica. Ese mapeo no es un ejercicio legal: es data lineage aplicado a compliance. Sin un catálogo de datos con clasificación por sensibilidad y jurisdicción, el área Legal no puede cumplir sus plazos y el CDO no puede demostrar control.
Qué hace un CDO con esto el lunes
La publicación del reporte de GoDaddy es una oportunidad concreta para benchmarking interno. Tres acciones accionables para esta semana:
- Revisar si la organización tiene documentado un marco de clasificación de datos con al menos tres niveles de sensibilidad (público, interno, restringido/confidencial) y si ese marco está operativo en los sistemas de almacenamiento principales — no solo en una política en PDF.
- Validar que existe un data owner formal para cada dominio de datos crítico (clientes, transacciones, identidad) y que esa persona conoce sus responsabilidades. Si no existe, es el momento de iniciar el proceso de asignación usando el modelo de Non-Invasive Data Governance como punto de partida de baja fricción.
- Confirmar que el procedimiento de notificación ante incidentes tiene un paso explícito de evaluación de impacto en datos personales, con tiempos definidos por jurisdicción (72 horas bajo LGPD para casos de riesgo, plazos similares bajo la normativa argentina vigente).
El EDM Council, a través de su marco CDMC (Cloud Data Management Capabilities), identifica la trazabilidad de datos sensibles entre jurisdicciones como una capability de nivel intermedio-avanzado. Muchas organizaciones latinoamericanas operan con procesos equivalentes a ese nivel sin haberlo formalizado — y sin la certificación que lo acredite frente a auditores o reguladores. Formalizar lo que ya existe suele ser más rápido que construir desde cero.
El verdadero valor de un reporte de impacto de governance no está en su publicación: está en si la organización que lo produce puede respaldar cada afirmación con un proceso verificable. Esa es la vara con la que también deberían medirse las empresas de la región.
Deja un comentario