Issuu

guías prácticas

Su obligatoriedad nace del nuevo Reglamento General de Protección de Datos de la Unión Europea, pero ya la Agencia Española de Protección de Datos había recomendado su práctica. La Evaluación de Impacto en materia de protección de datos no es sólo una lista de verificación de cumplimiento de la legalidad vigente, sino que viene a constituir una auténtica “herramienta”, que es esencial para conseguir una eficaz determinación de los riesgos que, para la privacidad de las personas, tiene cualquier tratamiento de carácter personal, a los efectos de procurar el respeto a los derechos de los titulares de los datos, y evitar, así, cualquier tipo de responsabilidad o sanción económica o de índole reputacional.

guías prácticas

Javier Puyol

La “Evaluación de Riesgos en protección de datos” constituye un proceso o metodología para determinar los riesgos o impactos que una propuesta o proyecto tiene en la privacidad de los individuos, así como para determinar los medios o soluciones para mitigar o evitar dichos riesgos o impactos negativos

EL MODELO DE EVALUACIÓN DE RIESGOS EN LA PROTECCIÓN DE DATOS EIPD/PIA’s

guías prácticas

EL MODELO DE EVALUACIÓN DE RIESGOS EN LA PROTECCIÓN DE DATOS EIPD/PIA’s

Javier Puyol

guías prácticas

EL MODELO DE EVALUACIÓN DE RIESGOS EN LA PROTECCIÓN DE DATOS EIPD/PIA’s

COMITÉ CIENTÍFICO DE LA EDITORIAL TIRANT LO BLANCH María José Añón Roig

Javier de Lucas Martín

Ana Cañizares Laso

Víctor Moreno Catena

Catedrática de Filosofía del Derecho de la Universidad de Valencia Catedrática de Derecho Civil Universidad de Málaga

Jorge A. Cerdio Herrán

Catedrático de Teoría y Filosofía de Derecho. Instituto Tecnológico Autónomo de México

José Ramón Cossío Díaz

Ministro de la Suprema Corte de Justicia de México

Eduardo Ferrer Mac-Gregor Poisot

Juez de la Corte Interamericana de Derechos Humanos. Investigador del Instituto de Investigaciones Jurídicas de la UNAM

Owen M. Fiss

Catedrático emérito de Teoría del Derecho de la Universidad de Yale (EEUU)

José Antonio García-Cruces González

Catedrático de Derecho Mercantil de la UNED

Luis López Guerra

Juez del Tribunal Europeo de Derechos Humanos Catedrático de Derecho Constitucional de la Universidad Carlos III de Madrid

Catedrático de Filosofía del Derecho y Filosofía Política de la Universidad de Valencia Catedrático de Derecho Procesal de la Universidad Carlos III de Madrid

Francisco Muñoz Conde

Catedrático de Derecho Penal de la Universidad Pablo de Olavide de Sevilla

Angelika Nussberger

Jueza del Tribunal Europeo de Derechos Humanos. Catedrática de Derecho Internacional de la Universidad de Colonia (Alemania)

Héctor Olasolo Alonso

Catedrático de Derecho Internacional de la Universidad del Rosario (Colombia) y Presidente del Instituto Ibero-Americano de La Haya (Holanda)

Luciano Parejo Alfonso

Catedrático de Derecho Administrativo de la Universidad Carlos III de Madrid

Tomás Sala Franco

Catedrático de Derecho del Trabajo y de la Seguridad Social de la Universidad de Valencia

Ignacio Sancho Gargallo

Magistrado de la Sala Primera (Civil) del Tribunal Supremo de España

Ángel M. López y López

Tomás S. Vives Antón

Marta Lorente Sariñena

Ruth Zimmerling

Catedrático de Derecho Civil de la Universidad de Sevilla Catedrática de Historia del Derecho de la Universidad Autónoma de Madrid

Catedrático de Derecho Penal de la Universidad de Valencia Catedrática de Ciencia Política de la Universidad de Mainz (Alemania)

Procedimiento de selección de originales, ver página web: www.tirant.net/index.php/editorial/procedimiento-de-seleccion-de-originales

EL MODELO DE EVALUACIÓN DE RIESGOS EN LA PROTECCIÓN DE DATOS EIPD/PIA’s

JAVIER PUYOL

Con la colaboración de: Lucía Do Nascimento Abogada

Valencia, 2018

Copyright ® 2018 Todos los derechos reservados. Ni la totalidad ni parte de este libro puede reproducirse o transmitirse por ningún procedimiento electrónico o mecánico, incluyendo fotocopia, grabación magnética, o cualquier almacenamiento de información y sistema de recuperación sin permiso escrito del autor y del editor. En caso de erratas y actualizaciones, la Editorial Tirant lo Blanch publicará la pertinente corrección en la página web www.tirant.com.

© TIRANT LO BLANCH EDITA: TIRANT LO BLANCH C/ Artes Gráficas, 14 - 46010 - Valencia TELFS.: 96/361 00 48 - 50 FAX: 96/369 41 51 Email:tlb@tirant.com www.tirant.com Librería virtual: www.tirant.es ISBN: 978-84-9143-976-9 MAQUETA: Tink Factoría de Color

Si tiene alguna queja o sugerencia, envíenos un mail a: atencioncliente@tirant.com. En caso de no ser atendida su sugerencia, por favor, lea en www.tirant.net/index.php/empresa/politicas-de-empresa nuestro Procedimiento de quejas. Responsabilidad Social Corporativa: http://www.tirant.net/Docs/RSCTirant.pdf

Índice 1. Introducción: Concepto y regulación legal............................................. 9 a) Concepto y regulación legal.......................................................... 9 b) Contenido..................................................................................... 32 c) Metodología.................................................................................. 43 2. Especial consideración de la Evaluación de Impacto en el Reglamento General de Protección de Datos de la Unión Europea (RGPDEU) y en sus normas de desarrollo........................................................................... 55 a) En el Reglamento General de Protección de Datos de la UE (RGPDEU).............................................................................................. 55 b) En las normas de desarrollo del Reglamento General de Protección de Datos de la Unión Europea (RGPDUE)....................................... 71 3. Una aproximación a la evaluación del riesgo como justificación del proceso de Evaluación de Impacto............................................................ 75 a) Introducción.................................................................................. 75 b) Los componentes de una administración de riesgos efectiva. La clasificación y flujos de la información sometidos a riesgos legales..... 85 c) La valoración de la probabilidad del riesgo..................................... 90 d) El análisis y determinación del impacto provocado por la situación de riesgo....................................................................................... 98 4. La identificación y la evaluación de riesgos en la protección de datos de carácter personal................................................................................. 109 5. La gestión de los riesgos identificados................................................... 119 6. La constitución del equipo de trabajo para la realización de la Evaluación de Impacto, y la definición de sus términos de referencia..................... 125 7. La descripción del proyecto de Evaluación de Impacto y de los flujos de datos personales................................................................................. 133 8. El respeto a la legalidad vigente y la realización de las correspondientes consultas con las partes afectadas....................................................... 137 a) El respeto a la legalidad vigente..................................................... 137 b) La realización de las correspondientes consultas a las partes afectadas. 140

Índice

9. La redacción, la publicación y la integración del Informe Final de Evaluación de Impacto................................................................................................ 155 10. La implantación efectiva de las recomendaciones................................ 161 11. La revisión de los resultados y realimentación de la Evaluación de Impacto.................................................................................................. 167 12. Ejemplo de un modelo practico para la realización de una Evaluación de Impacto.......................................................................................... 171 a) Introducción.................................................................................. 171 13. Algunas preguntas y cuestiones relativas al modelo global de práctica de la evaluación e implantación de una Evaluación de Impacto............ 217 14. Bibliografía......................................................................................... 291

1. Introducción: Concepto y regulación legal a) Concepto y regulación legal En la sociedad de la información global en la que vivimos, cada día se ponen en circulación nuevos productos, o se ofrecen nuevos servicios que hacen un uso intensivo de los datos personales. Baste señalar que, según las previsiones de la consultora IDC1, en el año 2020 se habrán generado en el mundo 40.000 millones de Exabytes (un Exabyte equivale a 1018 bytes, un trillón de bytes), que en gran parte provendrán de los 30.000 millones de dispositivos conectados que, de acuerdo con las previsiones de Gardner Group2, habrá para esas fechas. El tratamiento masivo de todos estos datos genera un valor económico gigantesco, pero tiene un fuerte impacto en la esfera de la vida privada de las personas. Ejemplo de ello, es el análisis predictivo para caracterizar consumidores, segmentar mercados o definir 1

International Data Corporation (IDC) es la principal firma mundial de inteligencia de mercado, servicios de consultoría, y conferencias para los mercados de Tecnologías de la Información, Telecomunicaciones y Tecnología de Consumo. A través de los conocimientos que genera, IDC ayuda a los profesionales de TI, ejecutivos de negocios y la comunidad de inversión, a tomar decisiones fundamentadas sobre la compra de tecnología y la estrategia de negocios. Más de 1,000 analistas alrededor de 110 países ofrecen a proveedores y usuarios su experiencia global, regional y local sobre las tendencias de la tecnología y las oportunidades de esta industria. En los últimos 50 años, IDC ha proveído perspectivas estratégicas para ayudar a nuestros clientes a alcanzar sus objetivos comerciales clave. http://pe.idclatin.com/about/. Gartner Inc. es una empresa consultora y de investigación de las tecnologías de la información con sede en Stamford, Connecticut, Estados Unidos. Las áreas de tecnología que la empresa incluye dentro del alcance de sus investigaciones las organiza de tres modos: de investigación de mercado, de investigación por asuntos y de investigación por sectores http://www.gartner.com/technology/home.jsp.

Javier Puyol

hábitos de consumo, y realizar análisis de riesgos financieros o luchar contra el fraude fiscal. Por ello, aunque en modo alguno hayan de abandonarse los actuales mecanismos de supervisión y exigencia del cumplimiento de la norma, sí que es necesario complementar esta aproximación con la promoción de un enfoque proactivo, de un compromiso responsable, para evitar o minimizar los riesgos para la privacidad de las personas en el diseño de nuevos productos y servicios. De esta manera, en el momento actual, y especialmente en un futuro muy próximo, se pondrán los medios necesarios para atajarlos antes de que se materialicen. Para llevarlo a cabo, resulta necesario que, desde los primeros momentos del desarrollo de un nuevo producto, servicio o sistema de información, y a lo largo de todo su ciclo de vida, se tengan en cuenta los principios y derechos de protección de datos, y los requerimientos en materia de seguridad, para que se incorporen los controles, protocolos y procedimientos necesarios para garantizar su aplicación. Con ello se consigue no sólo una mayor eficacia en la protección de los derechos de los afectados, sino también evitar algo que, por desgracia, sucede con demasiada frecuencia: la reconvención a posteriori de la norma a la tecnología. Esto es, una vez que el producto o servicio ha sido desarrollado, o incluso implantado, se aprecia su ilegalidad, con todos los costes que ello implica, económicos y muchas veces también de reputación3. En este contexto nacen las llamadas “Evaluaciones de Impacto” derivadas del tratamiento de datos de carácter personal, que forman parte de un programa más amplio de formulación de políticas basadas en evidencias4. 3

Cfr.: RODRÍGUEZ ÁLVAREZ, José Luis. “Evaluaciones de impacto en la protección de datos personales”. Redseguridad.com. http://www.redseguridad.com/especialidades-tic/proteccion-de-datos/evaluaciones-de-impacto-en-la-proteccion-de-datos-personales. La Evaluación de Impacto en la protección de datos (EIPD) es un concepto nuevo para muchas organizaciones que tratan datos personales en España, pero se trata de una medida con amplia tradición y recorrido en países, principalmente, anglosajones. Además, es necesario recordar que dicha medida está prevista, por ejemplo, en los Estándares Internacionales sobre Protección

El modelo de Evaluación de Riesgos en la Protección de Datos EIPD/PIA

Esta tendencia mundial creciente, se caracteriza por un cambio de enfoque: de los insumos5 a los resultados6. Así debe indicarse, que la década de 1970, la primera oficina de Evaluación de Tecnología (AT) fue creada por la Oficina de Evaluación Tecnológica de los Estados Unidos7. Se utilizó una Evaluación de Impacto para determinar las repercusiones accidentales y sociales de las nuevas tecnologías. De manera similar, en torno a esta época se produjeron también por primera vez, las llamadas “Evaluaciones de Impacto Ambiental” como una reacción al impulso social de los movimientos de los años 60 Green8. La metodología de ambas evaluaciones de impacto fue la precursora, de lo que más tarde supondría la creación de lo que conocemos hoy como “la Evaluación de Impacto de la privacidad”, que efectivamente surgió a finales de los 80.

de Datos Personales y Privacidad (Resolución de Madrid), adoptados durante la 31ª Conferencia Internacional de Autoridades de Protección de Datos y Privacidad que se celebró en Madrid el 5 de noviembre de 2009 y que, en su apartado 22, relativo a medidas proactivas, hace referencia a “la puesta en práctica de estudios de impacto sobre la privacidad previos a la implementación de nuevos sistemas y/o tecnologías información destinados al tratamiento de datos de carácter personal”. Cfr.: RECIO, Miguel. “Evaluación del impacto en la protección de datos: la AEPD te guía”. Lawyerspress. 31 de octubre de 2014. http://www.lawyerpress.com/blogs/LPe_Miguel_Recio_17.html. El insumo es todo aquello disponible para el uso y el desarrollo de la vida humana, desde lo que encontramos en la naturaleza, hasta lo que creamos nosotros mismos, es decir, la materia prima de una cosa. En general los insumos pierden sus propiedades y características para transformarse y formar parte del producto final. Cfr.: GERTLER, Paul J., MARTÍNEZ, Sebastián, PREMAND, Patrick, RAWLINGS, Christel, y VERMEERSCH, M.J. “La Evaluación de Impacto en la práctica”. Banco Mundial. 2011. http://www.worldbank.org/ieinpractice. Wikipedia: “Concepto de Evaluación de Impacto en materia de privacidad”. Son movimientos que surgen en EEUU y Europa Occidental a mediados de los 60, como propios de sociedades industriales muy avanzadas, o postindustriales.

Javier Puyol

Durante los años 90 se hizo necesaria la medición de la efectividad de la seguridad de los datos de una empresa u organización, especialmente, con la mayoría de los datos almacenados en computadoras u otras plataformas electrónicas. Así, a mediados de los años 909, las corporaciones y los gobiernos comenzaron a utilizar más ampliamente las Evaluaciones de Impacto en materia de privacidad, y posteriormente su uso se ha generalizado, siendo utilizadas a tales fines en diversas partes del planeta por organizaciones de todo el mundo, así como por diferentes gobiernos, entre los que se encuentran los de Nueva Zelanda, Canadá, Australia, y por ejemplo, el Departamento de Seguridad Nacional de los Estados Unidos10, a los efectos de poder evaluar el riesgo de la privacidad de sus sistemas. Además, debe indicarse que otros países y empresas están utilizando sistemas de evaluación similares a las Evaluaciones de Impacto en materia de privacidad para evaluar los análisis de riesgos, utilizando para ello los datos de carácter personal de sus clientes incorporados a sus bases de datos. De este modo, en un espectro importante de actividades, que abarcan desde los objetivos de desarrollo del milenio, hasta los incentivos de pago por desempeño para los proveedores de servicios públicos, esta tendencia mundial está cambiando el modo en que se llevan a cabo las políticas públicas. El enfoque en los resultados

Desde mediados de la década de los 90 de ese mismo siglo, se puede considerar que los PIA están consolidados en Australia, Inglaterra, Hong-Kong y EEUU (cf. Clarke 2011). Una visión general de la situación actual puede encontrarse en Wright y De Hert (2012). En el ámbito de habla alemana están de actualidad iniciativas de creación de estándares (cf. BSI 2011; DIN/ISO 2012), así como también el desarrollo de un modelo de aplicación práctica (Oetzel y Spiekermann 2012). Cfr.: BOCK, Kirsten. “Evaluación PIA desde el punto de vista del SDM”. Redseguridad.com. http://www.redseguridad.com/especialidades-tic/proteccion-de-datos/evaluacion-pia-desde-el-punto-de-vista-del-sdm. GAFFIN, Elisabeth. “Evaluación de impacto de la privacidad para el sistema de información de verificación que apoya los programas de verificación”. Departamento de Seguridad Nacional de los Estados Unidos. 13 de mayo de 2016.

El modelo de Evaluación de Riesgos en la Protección de Datos EIPD/PIA

no solo se emplea para fijar metas nacionales e internacionales y hacer un seguimiento de ellas, sino que los administradores de los programas, cada vez necesitan más conocer los resultados obtenidos para: (i) rendir cuentas; (ii) informar las asignaciones presupuestarias; (iii) poder orientar las decisiones sobre políticas; y, cualesquiera otras decisiones de carácter análogas. Consecuentemente con todo ello, se puede definir a una “Evaluación de Impacto” en la Protección de Datos (EIPD) como “un proceso o metodología para determinar los riesgos o impactos que una propuesta o proyecto tiene en la privacidad de los individuos, así como para determinar los medios o soluciones para mitigar o evitar dichos riesgos o impactos negativos11”. Al hilo de ello, se puede afirmar, que una Evaluación de Impacto consiste en una identificación y evaluación, con mayor o menor profundidad, de los potenciales riesgos y efectos que, en los aspectos y requerimientos de privacidad podrían tener nuevos servicios, 11

Cfr.: ISMS. “Reflexiones sobre el futuro de la Privacidad en Europa”. II Edición del Estudio de la Propuesta de Reglamento de Protección de Datos de la UE. Desde dicha Organización profesional, se ha señalado que actualmente hay diferentes países, Estados y regiones (caso de disponer de Autoridad de control propia en materia de Protección de Datos) donde se vienen utilizando los EIPD. Existen estudios comparativos entre ellos con un alto nivel de granularidad en el detalle de sus especificaciones y contenido. Por citar dos de ellos: a) “A Privacy Impact Assessment Framework for data protection and privacy rights” En él se analizan los diferentes PIA’s según las directrices que marca su correspondiente autorida de control. b) “An Evaluation of Privacy Impact Assessment Guidance Documents”. Es interesant porque los clasifica en tres grupos en función de su calidad, con la prevención de que dicha clasificación está sujeta a interpretación y puede variar en el transcurso del tiempo: − Grupo 1. Calidad insuficiente: Forman parte de él USA y todos sus estados, Canadá y todas sus provincias (a excepción de Ontario y Alberta) y todos los Estados australianos (excluyendo Victoria). − Grupo 2. Calidad moderada: Engloba a Nueva Zelanda, Australia y Hong Kong. − Grupo 3. Alta calidad: Lo constituyen, en orden cronológico de su publicación Ontario y Alberta de Canadá, Inglaterra y Victoria de Australia.

Javier Puyol

operaciones, procesos, proyectos, programas, iniciativas, políticas, sistemas, productos o tecnologías, dado que implican tratamientos de datos personales y produce como resultado una respuesta sobre si se aceptan, mitigan o evitan dichos riesgos, identificando las soluciones o medios correspondientes. El objetivo es, por un lado, conseguir una protección más activa del derecho fundamental a la protección de datos y, por otro, potenciar las políticas preventivas entre las organizaciones para evitar tanto costosos rediseños de los sistemas una vez han sido desarrollados, como posibles daños a la reputación y la imagen por un tratamiento inadecuado de los datos personales12. 12

Cfr.: Asociación de profesionales españoles de privacidad (APEP). 31 de octubre de 2014. http://www.apep.es/guia-para-una-evaluacion-de-impacto-en-la-proteccionde-datos-personales/. La APEP ha señalado que la Evaluación de Impacto en la protección de datos personales conlleva la realización de las siguientes apreciaciones, las cuales han sido recogidas en la guía editada ad hoc por la Agencia Española de Protección de Datos. Tales consideraciones son las que se exponen a continuación: a) Una Evaluación de Impacto en la Protección de Datos (EIPD) es un ejercicio de análisis de los riesgos que un sistema, producto o servicio puede implicar para la protección de datos y, tras haber realizado ese análisis, afrontar y gestionar esos peligros antes de que se produzcan. Las evaluaciones de impacto, una herramienta poco conocida en España, pero plenamente asentada en países anglosajones, forman parte de nuevos enfoques como el de la Privacidad desde el Diseño, que propugna que las cuestiones de privacidad y protección de datos se tomen en consideración desde la fase inicial del nuevo producto o servicio y se mantengan a lo largo de todo su ciclo de vida. b) Una Evaluación de Impacto en la Protección de Datos es un proceso que permite a las organizaciones identificar los riesgos que un producto o servicio puede implicar para la protección de datos antes de que se materialicen. c) Esta herramienta, poco conocida en España, pero plenamente consolidada en países anglosajones, aporta grandes beneficios tanto para los ciudadanos como para las entidades que la incorporen a sus políticas. d) La Guía indica situaciones en las que sería necesario realizar este análisis, identifica posibles riesgos y propone las medidas que se deberían adoptar. e) La Agencia quiere promover el compromiso responsable de las entidades que tratan datos facilitando un marco de referencia flexible que va un paso más allá del mero cumplimiento normativo.

El modelo de Evaluación de Riesgos en la Protección de Datos EIPD/PIA

A contrario sensu, debe tenerse muy presente que cuando cualquier sistema de tratamiento de la información identifique individuos, de tal manera, que no sea posible asociar los datos de carácter personal con determinadas personas, no se requerirá ni será preciso la realización de una Evaluación de Impacto sobre dicha base de datos, al no existir, propiamente dicho, datos de carácter personal13, al no estar asociados a persona física alguna. La Evaluación de Impacto en materia de protección de datos no es una lista de verificación de cumplimiento, sino que viene a constituir una auténtica “herramienta”. Y en consonancia con ello, se puede afirmar que esta herramienta es esencial para conseguir una eficaz evaluación de los riesgos que, para la privacidad de las personas, tiene cualquier nuevo sistema que trate datos de carácter personal, suponiendo este instrumento junto con otros, —como pueden ser: (i) la realización de auditorías periódicas; (ii) la correcta documentación de los tratamientos, o, (iii) el nombramiento de un Delegado de Protección de Datos—, viene a constituirse en un medio o instrumento poderoso para avanzar en la mejora proactiva de la privacidad14. Su realización dependerá mucho de cada organización, pudiendo ser muy diferente entre unas y otras, pues elementos tales como: su estructura, su cultura corporativa, su tamaño, o ámbito de negocio, entre otros factores, determinan siempre la existencia de peculiaridades en su realización en cada empresa u entidad.

f) La versión final de este documento, que incluye plantillas y anexos útiles, se presenta después de que la AEPD sometiera a consulta pública un borrador del texto. g) El acto de presentación de la Guía ha contado con la presencia de destacados representantes tanto del sector público como privado. Un dato personal es cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. Cfr.: Agencia Española de Protección de Datos. “Glosario de Términos”. https://www.agpd.es/portalwebAGPD/canalresponsable/inscripcion_ficheros/preguntas_frecuentes/glosario/index-ides-idphp.php. Cfr.: “Evaluación de Impacto en la Protección de Datos Personales. PIA (Privacy Impact Assessment)”. https://www.datusmas.com/pia-eipd/.

Javier Puyol

Una Evaluación de Impacto puede ayudar a una organización a ganarse la confianza del usuario, en el sentido de que la privacidad ha sido tenida en cuenta desde el diseño del proyecto, la elección de la tecnología o la determinación del servicio a prestar. Todo ello demuestra que esa organización considera a la privacidad una prioridad dentro de su visión del negocio o actividad. Elementos tales como: el monitoreo, y la Evaluación de Impacto constituyen elementos fundamentales de la formulación de políticas basadas en evidencias, ofreciendo un conjunto fundamental de herramientas que las partes interesadas pueden utilizar para verificar y mejorar la calidad, la eficiencia y la efectividad de las intervenciones en las diversas etapas de la implementación de su actividad. O, dicho de otro modo: les permite centrarse en los resultados. En términos sencillos, una Evaluación de Impacto evalúa los cambios en el bienestar de las personas que pueden atribuirse a un proyecto, programa o política particular. Este enfoque en el análisis de la atribución representa una característica distintiva de las Evaluaciones de Impacto. Y ello supone, por consiguiente, la principal justificación para llevar a cabo y desarrollar Evaluaciones eficaces de Impacto, cuyo principal objetivo sea el identificar la relación causal entre el proyecto, el programa o la política y los resultados de interés con relación a los tratamientos de datos de carácter personal, en cada uno de los proyectos a desarrollar. Hoy en día, se puede afirmar que, el avance en las tecnologías de información, la inclusión de las mismas en los procesos, la dinámica actual de la sociedad y la forma de hacer negocios han generado nuevos riesgos en relación a la identidad e intimidad de las personas, haciendo que el consumidor exija cada vez más el correcto uso y una protección eficiente de sus datos personales, por lo que ahora, las empresas cada vez más enfocan sus estrategias hacia la mejora y protección de la información de sus clientes15.

Cfr.: PWC. “Evaluación del Impacto de la Privacidad. PIA”

El modelo de Evaluación de Riesgos en la Protección de Datos EIPD/PIA

Consecuentemente con ello, a la hora de elaborar un proyecto de Evaluación de Impacto en un tratamiento de protección de datos, es necesario que demos respuesta a una serie de cuestiones fundamentales, entre las que se encuentran las siguientes: a) ¿Qué aspectos o ámbitos de actuación cubrirá la Evaluación de Impacto? b) ¿Qué ámbitos están fuera de su alcance? c) ¿Es sólo un ejercicio de recopilación de información, o, por el contrario, es necesario obtener información de una amplia variedad de fuentes? d) ¿Qué personas han de participar en su elaboración y cuando han de hacerlo? e) ¿Dónde la Evaluación de Impacto debe encajar en un proyecto global?

¿Quién es quien debe liderar el proyecto y cuando ha de realizarse el mismo?

f) ¿Quién tomará las decisiones sobre los riesgos y aquellos otros aspectos críticos que sean identificados por la Evaluación de Impacto?

¿Qué información se necesita al respecto?

g) ¿Con quién hay que consultar?

¿Cuándo debe efectuarse dicha consulta?

h) En un proyecto de Evaluación de Impacto, ¿hay terceros involucrados?

¿Qué papel desempeñan?

A modo de ejemplo se acompaña gráfico con preguntas:

18 Nº Pregunta

Javier Puyol

SI/ Justificación de la NO respuesta

¿El proyecto involucrará la recopilación de nueva información sobre individuos? ¿El proyecto obligará a los individuos a proporcionar 2 información sobre ellos mismos? ¿Se dará a conocer información sobre individuos a or3 ganizaciones o personas que no hayan tenido acceso rutinario a la información? ¿Está utilizando información sobre individuos para un 4 propósito que no se utiliza actualmente, o de una manera que no se utiliza actualmente? ¿El proyecto implica el uso de nueva tecnología que 5 podría ser percibida como intrusión de privacidad, por ejemplo, biométrica o reconocimiento facial? ¿El proyecto dará lugar a que la empresa tome decisio6 nes o tome acciones contra individuos de una manera que podría tener un impacto significativo en ellos? ¿Es particularmente probable que la información acer7 ca de determinadas personas suscite inquietudes o expectativas de privacidad? ¿El proyecto requiere que la empresa se ponga en con8 tacto con las personas que pueden encontrar el tratamiento de datos como intrusivo? 9 ¿Se requiere una revisión de seguridad de los datos? ¿Es necesaria una revisión de Impacto de Calidad/Se10 guridad Técnica? 1

Fuente: Nottinghamshire Health Informatic Service. http://www.mansfieldandashfieldccg.nhs.uk/index.php/governance-and-policy.

Estas, y otras muchas cuestiones necesariamente tienen que ser resueltas, a la hora de implementar un proyecto de Evaluación de Impacto. Hoy en día, es recomendable que los responsables del tratamiento de datos en general realizasen una Evaluación de Impacto en la Protección de Datos Personales (EIPD) antes de la realización de cualquier tipo de tratamiento ex novo de datos de carácter personal, siendo dicha práctica especialmente relevante en los supuestos de la comercialización de nuevos productos.

El modelo de Evaluación de Riesgos en la Protección de Datos EIPD/PIA

En este sentido, no debe olvidarse que la nueva normativa sobre protección de datos de carácter personal, conceden un amplio margen de autonomía a la organización de las empresas, y al mismo tiempo, ello conlleva la existencia de una mayor obligación de justificar ante el Regulador, ante los consumidores, y ante los mercados en general, el cumplimiento generalizado e intenso de la normativa sobre privacidad que está llevando a cabo una empresa concreta y determinada, y ello sin olvidar las consecuencias reputacionales que para la misma, se pueden derivar del cumplimiento inadecuado de la normativa sobre esta materia. Por ello, puede afirmarse que una Evaluación de Impacto es un proceso que permite identificar los riesgos que un producto o servicio puede implicar para la protección de datos antes de que se materialicen16. Su regulación legal se encuentra, evidentemente, en la Directiva 95/46/CE y consecuentemente con ello, en la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, donde, por ejemplo, se determina la obligación de notificar los ficheros o bases de datos a la autoridad de control. La Agencia Española de Protección de Datos, al igual que otros reguladores en el ámbito de la Unión Europea, han establecido guías y recomendaciones sobre los procesos a seguir en materia de Evaluación de Impacto17. El Reglamento General de Protección de Datos de la Unión Europea, ha reconocido en sus considerandos número 89 a 91 que esta medida de inscribir los ficheros o bases de datos en el Registro Ge-

En este sentido, se pronuncia GARCÍA MONTORO, Lourdes, en su obra “Wereables: qué son, cómo funcionan y que peligros entrañan para nuestra privacidad”. Centro de Estudios de Consumo. Universidad de Castilla-La Mancha. 23 de enero de 2015. Cfr.: En este sentido, se hace preciso consultar la “Guía para una Evaluación de Impacto en la Protección de Datos”, de la Agencia Española de Protección de Datos. https://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/ common/Guias/Guia_EIPD.pdf.

Javier Puyol

neral del Regulador correspondiente, no ha contribuido a mejorar la protección de datos personales, y la ha sustituido por la obligación de realizar una Evaluación de Impacto, cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de los interesados o personas afectadas por dicho tratamiento. La regulación material de las Evaluaciones de Impacto se encuentra en el artículo 35 de dicho Reglamento General, que será objeto de análisis en el siguiente Capítulo de esta Obra. Dentro de los tratamientos que pueden ser objeto de Evaluación de Impacto en materia de tratamiento de datos de carácter personal, hay que distinguir entre18: a) El tratamiento en desarrollo, y los llamados “tratamientos en producción”. Los tratamientos en desarrollo hacen referencia al examen o evaluación previa de los tratamientos a realizar y responder al concepto clásico de la Evaluación de Impacto que habitualmente tiene, como se ha indicado, un carácter previo al tratamiento de datos de carácter personal. Así, se puede afirmar que “los tratamientos en producción” son aquellos que ya se están llevando a cabo. La entrada en vigor del Reglamento General de Protección de Datos de la Unión Europea (RGPDUE), va a obligar a realizar un análisis de dichos tratamientos, conforme al nuevo marco normativo, y el resultado del mismo supondrá que puedan continuar, dejar de tratarse, o dejarse en “stand by” los mismos como posteriormente se indicará. Por tanto, los tratamientos en desarrollo podrán y deberán analizarse previamente a su puesta en producción.

Cfr. CHAVELI, Eduard. “Cómo realizar una Evaluación de Impacto en protección de datos (EIPD) en el marco del reglamento general de protección de datos de la unión europea (RGPDUE) parte 1”. Gobertis. 6 de septiembre de 2016. http://www.govertis.com/como-realizar-una-eipd-en-proteccion-de-datosrgpdue-parte-1.