Cómo realizar una Evaluación de Impacto de Protección de Datos (DPIA)

Realizar una evaluación de impacto en la protección de datos (DPIA) es una tarea compleja pero fundamental para garantizar que tus datos estén protegidos frente a brechas de seguridad y vulnerabilidades. Además, las DPIA son exigidas por muchas regulaciones. En particular, llevar a cabo evaluaciones de impacto en la protección de datos de forma regular es un requisito clave del Reglamento General de Protección de Datos (GDPR), una ley integral de privacidad de datos que se aplica a todas las organizaciones que almacenan o procesan datos de los residentes de la Unión Europea (UE). Las DPIA también son requeridas por el GDPR del Reino Unido.

Siga leyendo para aprender qué significa DPIA, los requisitos clave de la GDPR, los casos que requieren DPIAs y cómo realizar evaluaciones de impacto de protección de datos.

¿Qué es una evaluación de impacto en la protección de datos?

Las evaluaciones de impacto en la protección de datos, a veces denominadas evaluaciones de impacto sobre la privacidad (PIAs), se realizan para identificar, analizar y minimizar los riesgos de protección de datos de un proyecto o plan que involucre información personal identificable (PII) o, como lo denomina el GDPR, “datos personales”.

Los riesgos para la información personal pueden incluir cualquier cosa desde el acceso no autorizado por actores internos o externos hasta el manejo de datos personales que no cumple con los deseos del titular de los datos. Una DPIA siempre debe resultar en una lista de medidas que la organización tomará para abordar los riesgos identificados.

¿Cuáles son los beneficios de un DPIA?

Los beneficios de realizar DPIAs van mucho más allá del cumplimiento del GDPR. Incluyen:

• Menor probabilidad de data breaches para sistemas, cookies, aplicaciones y sitios web
• Reducción del riesgo de incumplir las obligaciones legales
• Menos riesgo de gastos considerables por recuperación de data breach, multas, demandas y pérdida de negocios
• Cumplimiento más fácil con otras regulaciones de protección de datos

¿Cuándo debe mi organización realizar una DPIA?

El GDPR no exige a las organizaciones realizar una Evaluación de Impacto sobre la Protección de Datos (DPIA) para cada operación de procesamiento relacionada con la privacidad. Más bien, deben llevar a cabo una DPIA siempre que su procesamiento de datos sea probable que resulte en un alto riesgo para los derechos y libertades de las personas (el término del GDPR es “personas naturales”).

No realizar una Evaluación de Impacto sobre la Protección de Datos cuando lo exigen las directrices oficiales puede resultar en acciones de ejecución legal, incluyendo multas elevadas por parte de la Junta Europea de Protección de Datos.

¿Cuándo se requiere un DPIA?

Utilice los siguientes criterios de The Guidelines on Data Protection Impact Assessment para determinar si es obligatorio realizar una DPIA:

• Evaluación o puntuación — Debe realizar evaluaciones de impacto sobre la protección de datos (DPIAs) al perfilar personas, especialmente su rendimiento laboral, situación económica, salud, preferencias o intereses personales, comportamiento, ubicación o movimientos. El GDPR también exige DPIAs para determinaciones de puntaje de crédito, pruebas genéticas para evaluar riesgos de salud y perfiles de marketing basados en comportamiento.
• Toma de decisiones automatizada — Los DPIAs son necesarios al implementar procesos que automatizan la toma de decisiones legales. Debes asegurarte de que dicho procesamiento no excluya ni discrimine a ningún individuo.
• Monitoreo sistemático — Debe realizar evaluaciones de impacto sobre la protección de datos (DPIAs) cuando observe, monitoree o controle a los sujetos de datos, incluso cuando se encuentren en áreas públicas. Ejemplos incluyen el monitoreo de seguridad remoto como aplicaciones de cámaras en timbres.
• Manejo de datos sensibles — Se requieren evaluaciones de impacto de protección de datos (DPIAs) cada vez que se manejan datos personales altamente sensibles, como los datos de salud de un paciente.
• Procesamiento de datos a gran escala — Se requieren evaluaciones de impacto sobre la protección de datos (DPIAs) cuando se realiza un procesamiento de datos a gran escala. Los criterios para determinar si el procesamiento de datos ocurre a gran escala incluyen el número de sujetos de datos y la duración y extensión geográfica de la actividad.
• Emparejamiento o combinación de conjuntos de datos — Debe realizar una DPIA cuando fusione o compare dos o más conjuntos de datos recopilados para diferentes propósitos.
• Sujetos de datos vulnerables — Se requieren evaluaciones de impacto sobre la protección de datos (DPIAs) cuando existe un desequilibrio de poder entre los sujetos de datos y el controlador de datos, ya que esto podría conducir a daños para el sujeto de datos. Las DPIAs son necesarias para sujetos de datos que no pueden oponerse al procesamiento de sus datos, como niños, empleados y personas con enfermedades mentales o problemas cognitivos.
• Uso innovador — Se requieren DPIAS para tecnologías más recientes, como dispositivos IoT, escáneres de huellas dactilares y sistemas de reconocimiento facial.
• Transferencia de datos fuera de la UE o el Reino Unido — Debe realizar evaluaciones de impacto sobre la protección de datos (DPIAs) al transferir datos fuera de la UE o el Reino Unido. Esto ayuda a garantizar que se establezcan las salvaguardias adecuadas.
• Manejo de datos de solicitantes — Cuando realice procesos que impidan a los sujetos de datos ejercer un derecho o utilizar servicios o contratos, debe llevar a cabo una evaluación de impacto sobre la protección de datos (DPIA). Un ejemplo es cuando un banco realiza verificaciones de crédito para solicitudes de préstamo.

¿Cuándo no es necesario un DPIA?

No es necesario realizar una DPIA en las siguientes circunstancias:

• Está cumpliendo con obligaciones legales — Si está procesando datos basados en una obligación legal o en nombre del público, no tiene que realizar una Evaluación de Impacto sobre la Protección de Datos (DPIA por sus siglas en inglés). Sin embargo, esta excepción solo se aplica cuando el procesamiento de datos cumple al menos una de las siguientes circunstancias:
  • Tiene una base legal para el procesamiento de los datos.
  • Una disposición legal o código estatutario regula la operación de procesamiento.
  • No está sujeto a las obligaciones de DPIA según lo establecido en la legislación aplicable.
  • Se realizó una evaluación de riesgo de protección de datos como parte de la evaluación de impacto cuando se adoptó el GDPR en mayo de 2018.
• Ya has realizado una DPIA similar — Si has completado una DPIA y puedes demostrar que la naturaleza, diseño, alcance, contexto y propósito de la situación actual son similares, puedes estar exento de realizar una nueva DPIA.

¿Cuándo se debe realizar una DPIA?

Debe incorporar las DPIAs en nuevos proyectos que involucren datos personales desde el inicio y utilizarlas durante toda la planificación y el desarrollo. Por ejemplo, si desea crear una aplicación IoT, considere las obligaciones de la DPIA durante las primeras etapas del proceso de planificación y hasta su finalización.

¿Qué pasa con los procesos que estaban en marcha antes de que el GDPR entrara en vigor?

El requisito de DPIA se aplica a los procesos que comenzaron en o después del 25 de mayo de 2018, y a los procesos que comenzaron antes de esa fecha y han cambiado de manera que afecta los requisitos de cumplimiento.

Aunque técnicamente puedas estar exento de realizar evaluaciones de impacto de protección de datos (DPIAs), la mayoría de los expertos en cumplimiento recomiendan llevar a cabo DPIAs para operaciones de procesamiento de riesgos que ya estaban en marcha antes de que el GDPR entrara en vigor.

¿Qué debe incluirse en un DPIA?

Desbloquear todos los beneficios de las DPIAs y asegurar el cumplimiento del GDPR requiere un enfoque integral. Las siguientes listas de verificación pueden ayudarte a evitar omitir información o contexto críticos.

Lista de verificación de conciencia de DPIA

Una lista de verificación de concienciación le ayudará a comprender los procesos actuales de DPIA de su empresa y a establecer una cultura en la que todos los empleados estén atentos a las necesidades de DPIA, reduciendo la probabilidad de error humano. Las listas de verificación de concienciación incluyen:

• Capacitación de empleados — Instruya a los empleados sobre cómo las Evaluaciones de Impacto sobre la Protección de Datos protegen los datos personales y cuándo son necesarias.
• Gestión de procedimientos y políticas — Revise qué tan bien las políticas de su empresa se alinean con los requisitos del DPIA.
• Implementación de directrices — Documente en qué circunstancias se requiere un DPIA.

Listas de verificación de evaluación de impacto de protección de datos

Una lista de verificación de evaluación proporciona un análisis más exhaustivo que detalla los criterios para cuando una DPIA es necesaria para proyectos específicos. Las listas de verificación de evaluación incluyen:

• Comprender los datos en cuestión — Crear documentos que planteen preguntas sobre la cantidad de datos involucrados, la vulnerabilidad de los sujetos de los datos y cuán personal y privados son los datos. También proporcionar pautas para distinguir entre datos de alto riesgo y de bajo riesgo.
• Detalles sobre el procesamiento de datos — Especifique cuánto tiempo se procesarán los datos, las ubicaciones de almacenamiento y supervisión, quién tiene acceso, qué medidas de seguridad están implementadas y cómo notificar a los sujetos de datos sobre el procesamiento. También documente cómo planea consultar a profesionales de la privacidad y reguladores.
• Declaración clara sobre por qué se consideró necesario o no realizar una DPIA — Si decide aprobar una DPIA, debe tener una declaración escrita y clara del propósito. Si decide no realizar una DPIA para un proyecto, siempre incluya documentación sobre por qué se decidió en contra de una DPIA.

Lista de verificación del procesamiento de DPIA

La lista de verificación de procesamiento dirige a los procesadores sobre su conducta exacta una vez que comienza la DPIA, lo que respalda su capacidad para cumplir con los requisitos del GDPR de principio a fin. No utilizar una lista de verificación de procesos aumenta significativamente las posibilidades de error humano y otros problemas durante la etapa de procesamiento. Una lista de verificación de procesamiento incluye:

• Identificación de riesgos — Defina cómo planea consultar con los procesadores para comprender los riesgos antes de que comience el procesamiento. Asegúrese de que el alcance del procesamiento coincida con el propósito general. Una vez evaluados los riesgos, incluya medidas escritas sobre cómo planea medirlos y mitigarlos.
• Lista de partes interesadas — Identifique a todos los stakeholders clave y sus planes para comunicarse y actualizarlos en las diversas etapas.
• Registros de toma de decisiones — Incluya documentación detallada sobre a quién consulta antes y durante el procesamiento, así como todas las personas a las que se les ha otorgado acceso a los datos. Además, documente todos los métodos de procesamiento, cualquier tecnología utilizada y cualquier cambio en la metodología.
• Revisar procesos — Al realizar una DPIA, cree un cronograma para revisar constantemente el estado de su proyecto y las modificaciones. Recuerde, cualquier cambio en la naturaleza, contexto, alcance o diseño de la evaluación puede requerir que comience el proceso desde el principio.

¿Qué pasos debo seguir para realizar un DPIA?

Aquí están los pasos que necesita seguir en el proceso de evaluación de impacto DPIA para cumplir con el Reglamento General de Protección de Datos.

1. Identificar la necesidad de un DPIA.

Utilice la información anterior para determinar si se requiere una DPIA. Asegúrese de documentar los siguientes aspectos del procesamiento:

• Naturaleza — Qué planeas hacer con los datos
• Alcance — Qué datos serán procesados
• Contexto — Factores internos y externos que podrían afectar las expectativas o impactar
• Propósito — Por qué su organización desea procesar los datos

2. Describa las operaciones de procesamiento y su propósito.

Documente cómo se procesarán los datos a lo largo del proyecto y el alcance de los mismos. Responda a las siguientes preguntas:

• ¿Cómo se recopilan y utilizan los datos?
• ¿Dónde y cómo se almacenan los datos?
• ¿De dónde se recopilan los datos?
• ¿Se almacenan los datos con terceros?
• ¿Hay alguna categoría de datos de alto riesgo involucrada?
• ¿Cuántos datos se están recopilando y cuántos sujetos de datos están afectados?
• ¿Dónde se llevan a cabo las actividades de procesamiento de datos?
• ¿Cuáles son los requisitos de retención de datos?

A continuación, describa el propósito de las actividades de procesamiento de datos en relación con los objetivos del proyecto. Describa cada actividad de procesamiento de datos, cómo afectará al consumidor y cómo se aprovechará para el proyecto.

3. Evaluar la necesidad y proporcionalidad.

Un aspecto importante de una DPIA es justificar las actividades de procesamiento de datos que ocurren explicando qué es realmente necesario para los objetivos y resultados del proyecto. Comience respondiendo a estas preguntas:

• ¿Existe una base legal para recopilar estos datos?
• ¿Se han establecido las medidas de consentimiento apropiadas?
• ¿Están involucrados sujetos de datos vulnerables?
• ¿Se ha realizado un procesamiento similar en proyectos anteriores de naturaleza similar? Si es así, ¿se identificaron y remediaron fallos de seguridad?
• ¿Es necesario el procesamiento de datos para alcanzar los objetivos del proyecto?
• ¿Cómo se están defendiendo los derechos del consumidor?
• ¿Existen maneras de minimizar el uso de datos de consumidores?

4. Consulte a las partes interesadas.

Debe consultar a varias partes clave durante el transcurso de la DPIA. Estas incluyen:

• Data Protection Officer (DPO) — El DPO de la organización es responsable de monitorear el cumplimiento del GDPR y otras leyes de protección de datos, capacitar al personal involucrado en el procesamiento de datos y actuar como punto de contacto para los sujetos de datos. Consultar a un DPO puede ayudarte a demostrar cumplimiento, aumentar la responsabilidad y obtener retroalimentación sobre los riesgos del proyecto.
• Partes interesadas del proyecto — Involucrar a todos los interesados le ayudará a comprender completamente el alcance y la necesidad de las actividades de procesamiento de datos, así como a idear estrategias adecuadas para abordar los riesgos.
• Sujetos de datos y sus representantes — Los sujetos de datos y sus representantes pueden proporcionarle retroalimentación sobre cómo se están procesando sus datos y asegurar la legalidad de sus actividades de procesamiento.
• Expertos externos — Para la privacidad de datos, considere la posibilidad de contratar expertos externos como profesionales de la seguridad de la información, abogados, técnicos, analistas de seguridad y sociólogos.

5. Identificar y evaluar los riesgos para los datos personales.

Cree una lista priorizada de sus activos e identifique posibles vulnerabilidades. Por ejemplo, si uno de sus activos es un servidor donde almacena datos de clientes, los riesgos para esos datos podrían incluir desastres naturales, fallos de hardware y ataques maliciosos.

En su análisis de riesgo, considere:

• Datos cuya pérdida o exposición afectaría las operaciones
• Procesos empresariales clave que utilizan esos activos de datos
• Si los datos están siendo anonimizados
• Si las políticas de retención de datos son aplicables
• Ya sea que los datos se estén almacenando en ubicaciones inseguras o que posiblemente puedan ser trasladados a dichas ubicaciones
• Si el alcance del procesamiento de datos cambiará a lo largo del proyecto
• Si se están aplicando los controles de acceso adecuados
• Amenazas que podrían afectar la capacidad de la organización para operar, y la gravedad y probabilidad de cada amenaza

6. Identificar medidas para abordar los riesgos.

Una vez que tenga una buena idea de los riesgos potenciales involucrados en el proyecto, formule e implemente estratégicamente las medidas de mitigación de riesgos adecuadas. Las soluciones de seguridad de datos pueden ayudarlo a asegurar que:

• Las medidas de seguridad necesarias están establecidas para prevenir el acceso no autorizado a los datos personales por parte de actores internos o externos.
• Las políticas de retención de datos están establecidas para eliminar los datos que ya no son necesarios.
• Las tecnologías de descubrimiento y monitoreo proporcionan visibilidad sobre dónde existe la información personal, quién la está accediendo, cómo se está utilizando y cómo se mueve a lo largo de la organización.
• Las acciones de remediación (como eliminar datos innecesarios y limpiar el acceso) pueden automatizarse y realizarse a gran escala.

Debe documentar qué riesgos de protección de la información ayudará a abordar una medida de mitigación específica y cómo. Aquí hay dos ejemplos:

Ejemplo 1

Riesgo: La organización retiene información personal identificable más tiempo del necesario.

Solución: Utilice una herramienta automatizada de retención de datos para asegurar que los datos se eliminen según lo requerido.

Ejemplo 2

Riesgo: Los usuarios no autorizados podrían acceder al servidor y acceder a datos regulados.

Solución: Aumente las pruebas de seguridad y el monitoreo del servidor para prevenir y detectar actividades sospechosas.

7. Obtenga la aprobación.

Una vez que se identifican todos los riesgos y se elabora una estrategia de seguridad adecuada, obtenga la aprobación para la implementación de las partes relevantes. La lista dependerá de la organización y del proyecto específico, pero a menudo incluye al Data Protection Officer y a miembros del equipo de gestión.

8. Implemente medidas para abordar los riesgos.

A continuación, implemente las soluciones y otras medidas que haya identificado para reducir los riesgos.

9. Elabore un informe final de DPIA.

Por último, pero no menos importante, debe producir un informe final de DPIA. Debe incluir la siguiente información:

• Una descripción detallada del proyecto y su propósito
• Una evaluación de las necesidades y el alcance del procesamiento de datos
• Una evaluación de los riesgos de protección de datos y privacidad del consumidor
• Una explicación de cómo la organización mitigará riesgos y cumplirá con los requisitos del GDPR

Es una buena práctica publicar los DPIAs completos o en parte, incluso si el GDPR no lo requiere. Esto ayuda a fomentar la confianza en sus operaciones de procesamiento y demuestra responsabilidad y transparencia a todos los interesados.

¿Cómo puede Netwrix ayudar con las evaluaciones de impacto en la protección de datos?

Realizar un DPIA puede ser un proceso que consume mucho tiempo, especialmente para organizaciones con personal de TI limitado. Afortunadamente, Netwrix está aquí para ayudar. Ofrecemos soluciones de soluciones de auditoría de cumplimiento que fortalecen la seguridad, satisfacen a los auditores y protegen organizaciones de todos los tamaños. Con nuestros servicios, usted puede:

• Identifique los datos regulados y restrinja el acceso a los mismos — Determine qué contenido regulado tiene su organización y asegúrese de que solo se almacene en ubicaciones seguras.
• Controle el acceso a sus datos — Aplique estrictamente el principio de privilegio mínimo con flujos de trabajo automatizados de solicitud y aprobación de acceso, revisión y certificación periódica por parte de los propietarios de los datos, gestión efectiva de Group Policy, configuraciones seguras del sistema y políticas de contraseñas. Además, detecte amenazas en sus etapas iniciales y responda rápidamente para neutralizarlas.
• Reduzca el tiempo de preparación de auditorías de semanas o días a minutos — Genere rápidamente pruebas fehacientes de cumplimiento regulatorio con informes predefinidos sobre configuraciones de sistemas, acceso a datos, cuentas de usuarios y más.

FAQ

1. ¿Son obligatorias las DPIAs?

El artículo 35 del GDPR requiere una DPIA siempre que se realicen procesos que puedan aumentar el riesgo para los derechos o libertades individuales. El requisito de la DPIA se aplica a los procesos que comenzaron en o después del 25 de mayo de 2018, y a los procesos que comenzaron antes de esa fecha y han cambiado de manera que afecta los requisitos de cumplimiento.

2. ¿Hay alguna excepción?

Es posible que no se requiera un DPIA si está procesando datos basados en una obligación legal o en nombre del público, o si ya realizó un DPIA similar.

3. ¿Quién es responsable de realizar las DPIAs?

Un DPIA debe involucrar a su Oficial de Protección de Datos si tiene uno, así como a la persona que lidera el proyecto que desencadenó el DPIA y cualquier procesador de datos relevante.

4. ¿Cuándo se deben realizar las DPIAs?

Las organizaciones deben incorporar las DPIAs desde el inicio de cualquier nuevo proyecto y llevarlas a cabo a lo largo del proceso de planificación y desarrollo.

5. ¿Qué debe contener un DPIA?

La Oficina del Comisionado de Información (ICO) describe qué incluir en una evaluación de DPIA. En particular, asegúrese de documentar los siguientes factores sobre el procesamiento de datos:

• Naturaleza — Qué planeas hacer con los datos
• Alcance — Qué abarca el procesamiento
• Contexto — Factores internos y externos que podrían afectar las expectativas o tener un impacto
• Propósito — Por qué la organización desea procesar los datos