Evaluación de Impacto en Protección de Datos
Una metodología estructurada para identificar, evaluar y gestionar los riesgos relativos a la protección de datos.
Metodología para la realización de una EIPD
Una EIPD se compone de una serie de fases que convergen hacia un único objetivo: proporcionar una visión detallada de la gestión de los riesgos relativos a la protección de datos durante el ciclo de vida de los datos asociados a las actividades de tratamiento, con el fin de garantizar los derechos y libertades de las personas físicas.
La ejecución de una EIPD implica la consideración de varios factores que permitan establecer una ruta de trabajo, las fases y los pasos que deben seguirse para realizarla de forma adecuada.
Factores que debemos considerar
¿Quién debe estar involucrado?
Es necesario definir quién va a realizar la EIPD y qué figuras o personas van a involucrarse en su ejecución.
Por ejemplo, el área responsable del tratamiento puede realizar la EIPD con el asesoramiento del DPD y del área de seguridad de la información.
¿Qué tareas se deben realizar y cómo?
Una EIPD puede constar de varias fases. Por tanto, es importante tener claro cuáles son cada una de ellas y los objetivos y tareas que deben alcanzarse.
Es necesario definir la metodología, las actividades a desarrollar y los hitos temporales asociados.
¿Qué y cómo documentar?
Las tareas, análisis y evaluaciones realizadas, así como las conclusiones obtenidas, deben quedar documentadas.
Es importante mantener la trazabilidad de las acciones y disponer de una base que justifique las conclusiones y decisiones tomadas.
La objetividad como principio fundamental
La búsqueda de objetividad es un principio fundamental en una EIPD. Es necesario disponer de un proceso sistemático, basado en una metodología o procedimiento estandarizado de trabajo, que permita establecer criterios comunes para garantizar la homogeneidad, repetitividad y comparabilidad en la ejecución de una EIPD.
Asesoramiento al responsable del tratamiento
Es fundamental que, a nivel interno de la organización, exista una comunicación fluida con las áreas involucradas en las operaciones del tratamiento, con el objetivo de obtener toda la información relevante.
Sierra & Salmerón, empresa perteneciente al grupo Aforos, le apoyará durante todo el proceso, supervisando su desarrollo y ayudando a identificar y evaluar correctamente los riesgos, mediante la información intercambiada con los diferentes departamentos implicados.
El análisis de riesgos requiere un conocimiento claro del contexto de los procesos y de las operaciones de tratamiento que se realizan en la organización.
Experiencia aplicada a diferentes sectores
Adicionalmente a la descripción del tratamiento, se debe obtener una descripción clara de los elementos que intervienen en cada una de las fases del ciclo de vida de los datos.
Este proceso requiere experiencia, que hemos adquirido a lo largo del tiempo trabajando en situaciones muy diversas y con diferentes grupos de actividad: desde profesionales autónomos hasta empresas de alto riesgo debido a la naturaleza y sensibilidad de los datos que tratan.
