Untitled

Evaluaciones de Impacto en Protección de Datos Personales

• Analiza el principio de protección de datos desde el diseño y por defecto, según el Reglamento (UE) 2016/679.
• Este reglamento fue establecido por el Parlamento Europeo y el Consejo el 27 de abril de 2016.
• Concretiza procesos y medidas técnicas preventivas que garantizan la protección de derechos y libertades al tratar datos personales.
• Se deriva de los principios estudiados en el tema seis, principalmente la minimización de datos y limitación del tratamiento.
• La protección de datos desde el diseño y por defecto actúa como una garantía técnica preventiva ante vulneraciones e infracciones de los derechos de los interesados.
• Se analizarán las Evaluaciones de Impacto en Protección de Datos Personales (EIPD), cuyo objeto es evaluar el impacto en la protección de datos en operaciones de tratamiento de alto riesgo para los derechos de las personas físicas.
• Se examinarán amenazas, riesgos y brechas de seguridad, aspectos vinculados a las evaluaciones de impacto pero no estrictamente ligados al cumplimiento normativo.

El principio de protección de datos desde el diseño

• El considerando 78 del RGPD establece que el derecho fundamental a la protección de datos requiere la adopción de medidas técnicas y organizativas apropiadas.
• El responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan con los principios de protección de datos.
• La aplicación preventiva debe hacerse desde el diseño y por defecto.
• Dichas medidas pueden incluir reducir el tratamiento de datos, seudonimizar los datos lo antes posible, y dar transparencia a las funciones y el tratamiento de datos personales.
• Los principios del régimen jurídico de protección de datos deben considerarse ex ante, tanto por el responsable del tratamiento como por el desarrollador del software.
• Los productores deben considerar el derecho a la protección de datos al desarrollar y diseñar aplicaciones de gestión de bases de datos.
• El artículo 25 del RGPD establece que, considerando "el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento", el responsable del tratamiento debe emplear medidas técnicas y organizativas para aplicar los principios de protección de datos.
• Este principio vincula los principios a una aplicación preventiva anterior a la recogida, procesamiento y tratamiento de datos, evitando que los principios de protección de datos queden vacíos de contenido.
• Los principios como el de minimización de datos o la limitación del tratamiento requieren un proceso que opere desde el inicio.
• En la 31.ª Conferencia Internacional de Comisionados de Protección de Datos y Privacidad del año 2009, bajo el título Privacy by Design: The Definitive Workshop, se manifiesta de forma múltiple.
• Implica el concepto de responsabilidad proactiva, lo que conlleva que el responsable del tratamiento deba adelantarse a los posibles riesgos y brechas de seguridad
• La privacidad debe operar como una configuración determinada e incorporada en la fase del diseño, asegurándola durante todo el ciclo de vida.
• Las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto Versión 2.0 Adoptadas el 20 de octubre de 2020 (Comité Europeo de Protección de Datos), se señaló la importancia de entender el concepto de diseño por defecto.
• La base de datos debe tener preconfigurados parámetros que apliquen los principios de minimización de datos, garantizando su eficacia por las limitaciones del software.
• Si el responsable del tratamiento opera con software de terceros, se deberá realizar una evaluación de riesgos del producto.
• La falta de adopción de medidas técnicas y organizativas apropiadas para aplicar los principios de protección de datos desde el diseño se considera infracción grave.
• También es infracción grave la falta de adopción de medidas técnicas y organizativas apropiadas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

Evaluación de Impacto relativa a la Protección de Datos (EIPD)

• La evaluación de impacto relativa a la protección de datos (EIPD) se presenta como un proceso requerido por la propia naturaleza del principio de protección de datos desde el diseño.
• En el considerando 84 RGPD se indica que, en los supuestos en los que las operaciones de tratamiento entrañen un alto riesgo para los derechos de las personas físicas, deberá llevarse a cabo una evaluación de impacto relativa a la protección de datos.
• EIPD son la versión europea de las Privacy Impact Assessment que ya venían operando en el mundo anglosajón en el ámbito de la protección de datos.
• En el articulado del RGPD, la EIPD se destina la sección III del Capítulo IV a.
• Una evaluación sistemática de aspectos personales.
• Tratamiento a gran escala de categorías especiales.
• Cuando la evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, con la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar.
• Cuando el tratamiento a gran escala operan con datos sensibles a gran escala también conlleva EIPD, aunque no es necesario que concurran las notas características de tratamiento automatizado con efectos jurídicos sobre las personas.
• La Agencia Española de Protección de Datos (AEPD), debe publicar una lista adicional de tratamiento de datos que requieran EIPD.
• La AEPD ha venido a añadir otra serie de supuestos que requieren un proceso de evaluación de amenazas y riesgos:
• Tratamientos que impiden perfilado o valoración de sujetos.
• Tratamientos que impliquen la toma de decisión automatizada.
• Tratamientos que impliquen la observación, monitorización, supervisión, geolocalización o control del interesado de forma sistemática y exhaustiva.
• Tratamientos que impliquen el uso de categorías especiales de datos a las que se refiere el artículo 10 del RGPD.,
• Tratamientos que impliquen el uso de datos biométricos con el propósito de identificar de manera única a una persona física.
• Tratamientos que impliquen el uso de datos genéticos para cualquier fin.
• Tratamientos que impliquen el uso de datos a escala general.
• Tratamientos que impliquen la asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos.
• Tratamientos de datos de sujetos vulnerables o en riesgo de exclusión social.,
• Tratamientos que impliquen la utilización de nuevas tecnologías o aún uso innovador de tecnologías consolidadas.
• Tratamientos de datos que impidan a los interesados ejercer sus derechos, utilizar un servicio o ejecutar un contrato.
• El art. 28.2 LOPDGDD contempla otra serie de tratamientos que pueden conllevar mayor riesgo:
• Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales.
• En cuanto a la EIPD, de acuerdo con el art.35.7 RGPD, deberá incluir
• Una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento.
• Una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad.
• Una evaluación de los riesgos para los derechos y libertades de los interesados.
• Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de dos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.
• De acuerdo con el art. 36 RGPD, cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo, el responsable del tratamiento deberá elevar una consulta con la autoridad de control.
• Las responsabilidades respectivas del responsable, los corresponsables y los encargados implicados en el tratamiento, en particular en caso de tratamiento dentro de un grupo empresarial.
• Los fines y medios del tratamiento previsto.
• Las medidas y garantías establecidas para proteger los derechos y libertades de los interesados de conformidad con el presente Reglamento.
• Los datos de contacto del delegado de protección de datos.
• La evaluación de impacto relativa a la protección de datos estudiada en la sección anterior.
• Cualquier otra información que solicite la autoridad de control.
• La autoridad de control podrá recurrir a cualquiera de las potestades previstas en el art. 58 RGPD (poderes de investigación, poderes correctivos, poderes de autorización, poderes consultivos), si bien lo más recurrente sería llevar a cabo un asesoramiento al responsable del tratamiento.

Evaluación de amenazas y riesgos. Brechas de Seguridad

• El artículo 25 RGPD recuerda que también deberá tenerse en cuenta los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas.
• Las normas ISO como la ISO 31000:2018(ES) Gestión del riesgo e ISO 31010:2019 Gestión del riesgo, definen este concepto como el «efecto de la incertidumbre sobre la consecución de objetivos».
• El Grupo de trabajo del art. 29 lo definía como «un escenario que describe un acontecimiento y sus consecuencias, estimado en términos de gravedad y probabilidad».
• Aplica al régimen jurídico de protección de datos, el riesgo se manifiesta de forma compleja.
• El RGPD no establece formalidades específicas o procesos concretos que deban aplicarse para el análisis del riesgo, si bien estos deben poder obtenerse de los propios principios de protección de datos.
• Se debe tener en cuenta el tratamiento de los datos personales desde una perspectiva múltiple: el tratamiento en sí mismo, el tratamiento en el contexto interno de una organización, y el tratamiento en el contexto externo (normativo y social).
• Las brechas de seguridad en materia de datos personales se definen como aquellos incidentes que puedan tener efectos adversos para las personas, que pueden ser perjuicios físicos o inmateriales.
• Estos efectos pueden traducirse en:
  • Pérdida de control sobre los datos personales.
  • Restricción de los derechos.
  • Discriminación.
  • Usurpación de identidad.
  • Pérdidas financieras.
  • Reversión no autorizada de la seudonimización.
  • Daño para la reputación.
  • Pérdida de confidencialidad de datos sujetos al secreto profesional.
  • Cualquier otro perjuicio económico o social significativo para la persona.
• En caso de producirse una violación de la seguridad de los datos personales, el responsable del tratamiento la «notificará a la autoridad de control competente.
• La notificación se debe hacer sin dilación indebida y a máximo tardar 72 horas después de que haya tenido constancia de ella.
• En esta comunicación, se debe incluir la siguiente información:
  • Describir la naturaleza de la violación de seguridad de los datos personales.
  • Comunicar el nombre y los datos de contacto del delegado de protección de datos.
  • Escribir las posibles consecuencias de la violación de la seguridad de los datos personales.
• De acuerdo con el art. 34 RGPD, «cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida».
• El responsable del tratamiento haya adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se hayan aplicado a los datos personales afectados por la violación de la seguridad de los datos personales.
• La falta de cumplimiento de estos deberes de comunicación a la autoridad de control e interesado respectivamente constituyen infracciones graves, según dispone el art. 73 LOPDGDD.