¿Cómo realizar una evaluación de impacto en la protección de datos (EIPD)?

Introducción

La Evaluación de Impacto en la Protección de Datos (EIPD) forma parte del Reglamento General de Protección de Datos (RGPD) de la UE. 

Para quienes no estén familiarizados con el tema, el RGPD es la nueva ley de la UE creada para unificar todas las leyes de protección de datos en la Unión Europea. 

Según la certificación del RGPD , realizar una evaluación de impacto en la protección de datos (EIPD) es ahora obligatorio para cualquier empresa que utilice servicios en la nube y que lance un nuevo proyecto que implique el tratamiento de datos personales de los clientes.

Realizar una DPIA es una de las mejores maneras de demostrar su cumplimiento con el RGPD ante las autoridades pertinentes si su empresa procesa cualquier tipo de datos personales de clientes. 

Dicho esto, si no está seguro de qué implica un proceso de DPIA o cómo realizar una evaluación de impacto en la protección de datos del RGPD, ha llegado al lugar correcto. 

Este artículo le explicará todo lo que necesita saber sobre la DPIA y el proceso de 5 pasos que debe seguir para realizar una DPIA para su empresa alojada en la nube. 

¿Qué es una Evaluación de Impacto sobre la Protección de Datos (EIPD)?

La DPIA es un proceso creado para identificar cualquier tipo de riesgo que pueda surgir al recopilar, almacenar, usar o procesar datos personales . El objetivo principal de la DPIA es descubrir, estudiar y minimizar los riesgos de protección de datos que se presenten en el nuevo proyecto lanzado por su empresa alojada en la nube.

Realizar evaluaciones de impacto en la protección de datos se ha vuelto obligatorio en diversas situaciones. Por ejemplo, realizar una EIPD es obligatorio si su empresa planea realizar actividades de elaboración de perfiles utilizando datos personales.

Existen muchos otros casos en los que realizar una evaluación de impacto en la protección de datos (EIPD) es obligatorio, y los analizaremos próximamente. Por ahora, profundicemos un poco más en la evaluación de impacto en la protección de datos según el RGPD.

Requisitos de evaluación de impacto en la protección de datos del RGPD

La evaluación de impacto relativa a la protección de datos es un nuevo requisito del RGPD. Ahora forma parte oficial del principio de «protección de datos desde el diseño», tal como se actualiza en el artículo 35 del RGPD. 

Según la nueva ley, si su empresa alojada en la nube procesa cualquier tipo de datos personales que puedan suponer un alto riesgo para la libertad y los derechos de la persona media, deberá realizar una evaluación de impacto en la protección de datos antes de procesar los datos de sus clientes.

Normalmente, una Evaluación de Impacto en la Protección de Datos (EIPD) se encarga como parte de una estrategia de protección de datos más amplia , en lugar de como una simple comprobación de cumplimiento puntual, ya que los mismos flujos de datos, propietarios y medidas de seguridad que identifica se incorporan directamente al registro continuo de riesgos y controles de la estrategia.

Aquí tienes algunos ejemplos de situaciones en las que realizar una DPIA se vuelve obligatorio para tu empresa alojada en la nube:

• Al utilizar nuevas tecnologías
• Al rastrear el comportamiento o la ubicación de los usuarios
• Al monitorear exhaustivamente un lugar de acceso público 
• Al procesar datos de niños
• Al procesar datos personales relacionados con el origen étnico, las opiniones políticas, las creencias religiosas y filosóficas, los datos genéticos, los datos biométricos y los datos relativos a la salud o la orientación sexual de una persona.
• Al procesar datos personales para tomar decisiones automatizadas sobre los clientes que en última instancia pueden tener consecuencias legales

Dicho esto, incluso si el nuevo proyecto de su empresa no cumple con los estándares de alto riesgo, recomendamos realizar una DPIA por dos razones. 

1) Realizar una DPIA le ayudará a descubrir y eliminar cualquier responsabilidad relacionada con la protección de datos. 

2) Demostrará que su empresa sigue las mejores prácticas del sector para proteger los datos personales. Esto le ayudará a ganarse la confianza de sus clientes y a demostrarlo ante las autoridades competentes. 

Ahora bien, si no está seguro de cómo realizar una evaluación de impacto en la protección de datos, no se preocupe, ya le hemos explicado cómo hacerlo. 

A continuación, compartimos un proceso de 5 pasos que puede seguir para realizar una evaluación de impacto en la protección de datos para el nuevo proyecto de su empresa alojada en la nube.

Directrices para la evaluación del impacto en la protección de datos

Si bien no existe un proceso prescrito para realizar la evaluación de impacto en la protección de datos, el artículo 35 del RGPD describe los siguientes cuatro requisitos mínimos de características:

• Descripción de las operaciones de procesamiento previstas y su finalidad.
• Una explicación de la necesidad y proporcionalidad del procesamiento
• Una evaluación de los riesgos en relación con los derechos y libertades de las personas.
• El sistema se estableció para abordar los riesgos y demostrar el cumplimiento del RGPD.

Esta naturaleza amplia y genérica del marco DPIA le brinda total flexibilidad y escalabilidad para diseñar una DPIA que se adapte perfectamente a las necesidades de su empresa alojada en la nube.

Dicho esto, a continuación se detallan los pasos que debe seguir para llevar a cabo una evaluación exhaustiva del impacto en la protección de datos.

Paso 1: ¿Cuándo podría utilizarse una evaluación de impacto en la protección de datos?

Antes de diseñar el proceso de evaluación de impacto en la protección de datos (EIPD), primero debe verificar si es necesario realizar una EIPD. Para determinar si se requiere una EIPD, solo necesita revisar los siguientes aspectos del nuevo proyecto de su empresa alojada en la nube:

• Naturaleza: ¿Qué planeas hacer con los datos de tus clientes?
• Alcance: qué datos personales serán procesados.
• Contexto: factores internos y/o externos que podrían afectar las expectativas.
• Propósito: ¿Por qué su nuevo proyecto necesita procesar los datos de sus clientes?

Paso 2 – Determinar quiénes participarán

En una evaluación de impacto sobre la protección de datos deben participar diversos tipos de personal. 

Para empezar, debe designar a una persona responsable que supervise y garantice el desarrollo exitoso de su nuevo proyecto.

En segundo lugar, también debe haber un Responsable de Protección de Datos (RPD) que participe en la realización de la Evaluación de Impacto en la Protección de Datos (EIPD). 

Y en caso de que utilice procesadores de datos del RGPD, como una persona jurídica, agencia, autoridad pública o cualquier otro organismo que procese datos personales, debe solicitarles que le proporcionen la información y la asistencia pertinentes necesarias.

Por último, también debería considerar la posibilidad de buscar asesoramiento externo de expertos en privacidad, como abogados, analistas de seguridad y profesionales de la seguridad. 

Paso 3 – Evalúe su Protección de datos y riesgos relacionados

Empiece por crear una lista de todos sus activos e inspecciónelos en busca de vulnerabilidades. Por ejemplo, si almacena los datos de sus clientes en un servidor, busque cualquier riesgo asociado, como posibles vulnerabilidades, ciberataques, fallos de hardware, etc.

Para descubrir todos los riesgos asociados, realice un análisis de riesgos considerando los siguientes criterios:

• Datos personales cuya exposición o pérdida puede afectar las operaciones
• Procesos que utilizan esos datos personales
• Posibles amenazas que podrían dañar la capacidad de su empresa para funcionar correctamente.
• La probabilidad y la gravedad de todas las amenazas descubiertas.

Paso 4: Desarrollar y determinar los procesos y herramientas de protección de datos.

El siguiente paso consiste en desarrollar procesos de protección de datos adecuados y determinar las herramientas para ejecutar las medidas de mitigación de riesgos pertinentes.

Además, deberá documentar todos los riesgos detectados, junto con sus soluciones específicas, para mitigarlos mediante un proceso detallado.

Paso 5 – Crear un informe final de DPIA

Si bien no es obligatorio por ley elaborar informes de evaluación de impacto sobre la protección de datos (EIPD), se considera una buena práctica elaborar y publicar dichos informes, ya sea en su totalidad o en parte. 

Un informe de Evaluación de Impacto en la Protección de Datos (EIPD) ayuda a generar confianza entre los clientes potenciales. Y lo que es aún más importante, contribuye a demostrar responsabilidad y transparencia ante las autoridades pertinentes y las partes interesadas.

Dicho esto, si va a elaborar un informe de DPIA por primera vez, asegúrese de mencionar y destacar los cuatro requisitos mínimos que compartimos anteriormente. Los hemos vuelto a enumerar aquí 🙂

• Una explicación completa de su nuevo proyecto y su propósito.
• Evaluación del alcance y la necesidad de procesar datos personales.
• Evaluación de los riesgos relacionados con la protección de datos personales y la privacidad.
• Aclaración sobre cómo mitigará los riesgos detectados para cumplir con el RGPD.

Por último, asegúrese de obtener la aprobación de todas las partes involucradas, incluyendo al Responsable de Protección de Datos, las partes interesadas, los miembros del consejo de administración y los miembros del equipo directivo superior.

Conclusión

La Evaluación de Impacto en la Protección de Datos (EIPD) es un proceso extremadamente complejo y, a veces, confuso. Sin embargo, es obligatoria si su empresa, que opera en la nube, procesa datos personales de sus clientes. Sprinto, una plataforma de cumplimiento automatizada, puede ayudarle a demostrar su cumplimiento con el RGPD mediante la realización de una EIPD para su empresa en la nube.

Nuestra plataforma puede automatizar todo el proceso de Evaluación de Impacto en la Protección de Datos (EIPD) de su empresa, ahorrándole tiempo y esfuerzo valiosos. Descubra cómo Sprinto puede ayudarle con su EIPD a través de nuestra demo.

Preguntas frecuentes