Análisis de Riesgo y Evaluación de Impacto

Fuente: AEPD; pág. 27 Guía de Evaluación de Impacto en la Protección de Datos.

Hace unos días, en el texto "Gestión de riesgos de la gestión de datos"[1], te trasladaba la impresión de la Agencia Española de Protección de Datos, AEPD, acerca de la importancia de la gestión de riesgos en la protección de datos de carácter personal. Pues bien, ayer, en el sitio Protección de Datos, texto "Guías de Análisis de Riesgo y Evaluación de Impacto"[2], me hacía eco de la presentación de la Guía de Análisis de Riesgo y la Guía de Evaluación de Impacto en la Protección de Datos. Y es que el RGPD[3], establece que las organizaciones que tratan datos personales deben realizar un análisis de riesgos (AR) con el fin de establecer las medidas que sean necesarias para garantizar los derechos y libertades de las personas. En aquellos casos en los que los tratamientos impliquen un riesgo alto para la protección de datos, el RGPD dispone que esas organizaciones están obligadas a realizar una evaluación de impacto. El RGPD supone un cambio del modelo tradicional hacia un modelo más dinámico, adaptado a la transformación tecnológica que se está produciendo en el ámbito del tratamiento de la información personal y enfocado en la gestión de los riesgos potenciales asociados al tratamiento. 

Con esta finalidad, el Reglamento incorpora el principio de responsabilidad activa de quienes tratan datos personales, de forma que puedan determinar qué medidas son adecuadas para proteger los datos y los derechos y libertades de las personas. Con esas nuevas guías[4], la AEPD complementa los materiales prácticos que las organizaciones tienen a su disposición para facilitar la adaptación al RGPD. Para entidades que tratan datos de escaso riesgo, la Agencia ya ofrece Facilita_RGPD, un cuestionario online gratuito con el que empresas y profesionales pueden obtener los documentos mínimos indispensables para ayudar a cumplir con el Reglamento. Las organizaciones que no puedan utilizar Facilita_RGPD deben llevar a cabo un análisis de riesgos. En este sentido, la Guía de Análisis de Riesgos recoge una metodología adecuada para evaluar el nivel de riesgo en relación con los tratamientos de datos personales que realizan[5]. El análisis y la gestión de riesgos son procedimientos que permiten a las organizaciones hacer un diagnóstico sobre los riesgos para los tratamientos de datos personales y, en ocasiones, aportar información suficiente para decidir si es necesario o no llevar a cabo una Evaluación de Impacto (EI) en Protección de Datos (PD).

Quiero centrarme esta mañana de uno de marzo, en la EI, proceso que permite a las organizaciones identificar los riesgos que un sistema, producto o servicio puede implicar para los derechos y libertades de las personas y, tras haber realizado ese análisis, afrontar y gestionar esos peligros antes de que se materialicen. La Guía de EI en la PD ayudará a las organizaciones a identificar las actividades que conllevan un alto riesgo y a establecer las medidas de control más adecuadas para minimizar el mismo antes de iniciar el tratamiento. Al igual que la Guía de AR, ésta también incluye plantillas y anexos que serán útiles para llevar a cabo la evaluación. En el proceso, la organización debe conocer para qué y cómo se van a utilizar los datos, identificar, evaluar y tratar los riesgos potenciales y elaborar un plan de acción donde se incluyan las medidas de control para garantizar los derechos y libertades de las personas. Con estas guías, la Agencia busca promover una cultura proactiva de la privacidad, proporcionando una ayuda a las organizaciones que contribuya, a la vez, a fortalecer la protección de los derechos y libertades de las personas (Fuente de la información y de la imagen: AEPD).

___________________

[1] Velasco Carretero, Manuel. Gestión de riesgos de la gestión de datos. 2018. Sitio visitado el 01/03/2018.

[2] Velasco Carretero, Manuel. Guías de Análisis de Riesgo y Evaluación de Impacto. 2018. Sitio Protección de Datos. Visitado el 01/03/2018.

[3] Reglamento General de Protección de Datos, que comenzará a aplicarse el 25 de mayo.

[4] Que constituyen una herramienta de ayuda para el cumplimiento.

[4] Esta guía también incluye plantillas y anexos de gran utilidad para empresas y profesionales.