ÁREA DE USUARIO
Esta nueva normativa está muy enfocada a la gestión de riesgos. Plantea dos niveles de seguridad: el análisis de riesgo y la evaluación de impacto. El tipo de análisis que debe realizar cada empresa dependerá de los riesgos que pueda suponer el tratamiento de la información que se maneje.
ANÁLISIS DE RIESGOS Y EVALUACIÓN DE IMPACTO
El nuevo reglamento exige que todas las empresas, con independencia de su tamaño, enfoquen el cumplimiento de la privacidad desde la perspectiva del riesgo; para ello deberán hacer un análisis de riesgos y una evaluación de impacto.
Según la nueva reglamentación, el análisis de riesgos será obligatorio en todos los casos. Sin embargo, la evaluación de impacto solo será necesaria en ciertas ocasiones.
Estas diferenciaciones pueden generar algunas confusiones.
- La primera fase: análisis de riesgos
El análisis de riesgos es la práctica más utilizada. Este estudio parte de la descripción de todas las actividades de tratamiento y el posterior análisis de todo el proceso. Con los datos obtenidos se tendrá la información precisa para establecer, en su caso, las medidas de seguridad adecuadas.
- Evaluación de riesgos
El RGPD señala en su artículo 35 en qué casos se deberá realizar una evaluación de impacto de protección de datos, antes de poner en marcha el tratamiento.
Este análisis en profundidad deberá hacerse cuando exista la probabilidad de que un tratamiento de la información implique “un alto riesgo para los derechos y libertades de las personas físicas”. Normalmente se tratará de categorías especiales de datos que incluyen opiniones políticas, religiosas, datos relativos a la salud, etc.
TIPOS DE RIESGOS
Los principales riesgos se pueden dividir en dos tipos:
- Riesgos asociados a la protección de la información.
- Riesgos relacionados con el cumplimiento de los requisitos que regulan los derechos de los interesados.
En cuanto a la protección de la información, se suelen identificar tres niveles de amenazas: aquellas que afectan a la confidencialidad, la integridad y la disponibilidad. Los principales problemas son los que afectan potencialmente la integridad de los datos personales, es decir, su modificación o alteración.
También puede ocurrir situaciones relacionadas con la confidencialidad, generalmente con el uso no autorizado de la información personal. Y finalmente están los riesgos asociados a la disponibilidad, como es el caso de la pérdida o borrado de los datos.
En cuanto a los riesgos relacionados con el cumplimiento de los requisitos regulatorios, el problema más común que puede tener que enfrentar una empresa es el de no contar con los procedimientos apropiados para satisfacer los derechos de los usuarios.
Otro riesgo de este tipo es el que tiene que ver con la ausencia de legitimidad para el tratamiento de los datos, o bien que se realice un tratamiento ilícito de estos.
Ahora ya conoces mejor las modificaciones y las nuevas exigencias que trae el Nuevo Reglamento Europeo de Protección de Datos. No hay una gran reforma, pero las novedades tienen una gran importancia en la práctica.
Redacción SF Abogados
