Para muchas organizaciones el problema de la privacidad y la protección de datos es una mera cuestión de cumplimiento normativo (compliance); un ejercicio reducido a marcar casillas en una lista de verificación centrada en los aspectos formales de la ley.
La realidad es que es perfectamente posible cumplir formalmente con la regulación sin que esto implique necesariamente que se garantize adecuadamente la confidencialidad de la información.Está claro que el enfoque de cumplimiento es insuficiente para los retos y expectativas de privacidad en la era digital.
Las autoridades de protección de datos son conscientes de estas deficiencias desde hace tiempo, y están tratando de superarlas impulsando nuevas tendencias en la forma de asegurar una mejor privacidad en el mundo online. Conceptos como el de “Privacidad por Diseño” o la “Evaluación de impacto en la privacidad” formarán parte de la inminente nueva regulación europea de protección de datos. Se trata de pasar a un enfoque más global para asegurar, más allá del mero cumplimiento formal, una genuina protección de la información y la privacidad de las personas.
Vamos a hacer un breve repaso a la metodología de Evaluación de Impacto en la Protección de Datos Personales (EIPD). Tomaremos como referencia la guía de la Agencia Española de Protección de Datos que, a su vez, está alineada con el modelo propuesto por las autoridades Europeas.
Qué es una EIPD
Una EIPD es un análisis de los riesgos que un producto o servicio puede entrañar para la protección de datos de los afectados y, como consecuencia de ese análisis, la gestión de dichos riesgos mediante la adopción de las medidas necesarias para eliminarlos o mitigarlos. El análisis debe tomar como referencia tanto las expectativas de privacidad de las personas ante el tratamiento de sus datos personales como las percepciones generales de la sociedad o los colectivos más afectados por el tratamiento del que se trate.
Una definición más formal, tomada de la guía de la AEPD:
«una metodología para evaluar el impacto en la privacidad de un proyecto, política, programa, servicio, producto o cualquier iniciativa que implique el tratamiento de datos personales y, tras haber consultado con todas las partes implicadas, tomar las medidas necesarias para evitar o minimizar los impactos negativos. Una evaluación de impacto en la privacidad es un proceso que debería comenzar en las etapas más iniciales que sea posible, cuando todavía hay oportunidades de influir en el resultado del proyecto»
Ventajas de la EIPD
La corrección de los problemas potenciales para la privacidad detectados durante las fases iniciales del diseño de un nuevo producto, servicio o sistema de información, es mucho más barata que la corrección de estos problemas a posteriori, cuando el producto, servicio o sistema está acabado. Por otro lado, no solo hay que tener en cuenta los costes económicos, sino el impacto reputacional para la organización y la frustración en el equipo del proyecto cuando hay que rehacer el trabajo y reabrir cuestiones de diseño e implementación.
Fases de la EIPD
El siguiente esquema tomado de la guía de la AEPD describe las fases de al metodología del EIPD. Se trata como puede observarse del ciclo típico usado en la gestión de riesgos y asimilable al modelo de ciclo de vida de protección de datos que ya presentamos en este blog:
Una vez que el proyecto ha finalizado, se deben llevar a cabo revisiones periódicas para verificar si los riesgos previstos han desaparecido o se han mitigado de la forma esperada y para comprobar si han aparecido otros nuevos que requieran una actuación complementaria. Los resultados de estas revisiones son nuevos elementos que habrán de tenerse en cuenta para decidir si es necesario revisar la EIPD y, en su caso, establecer nuevas medidas.
Un fuerte abrazo y gracias,
Negocios bajo control 