Privacy Driver® - 1ª Aplicación profesional para cumplir el GDPR - Gestión del riesgo y evaluación de impacto en tratamientos de datos personales\nManuel Castilleja Toscano 03/11/2021\nPrivacy Driver ha elaborado un resumen de la guía publicada por la AEPD el 29/06/2021 “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales” como documento de consulta rápida de la misma sin pretender sustituirla en ningún caso.\nSe han mantenido los títulos y apartados con el mismo nombre de la guía, para que el lector pueda localizar y consultar el contenido original, que se puede descargar en:\nSECCIÓN 1. FUNDAMENTOS DE LA GESTIÓN DE RIESGOS PARA LOS DERECHOS Y LIBERTADES\n2. Conceptos asociados a la gestión del riesgo\n3. El proceso de gestión del riesgo para los derechos y libertades\n4. La gobernanza de los riesgos para los derechos y libertades\nSECCIÓN 2. METODOLOGÍA BÁSICA PARA LA APLICACIÓN DE LA GESTIÓN DEL RIESGO PARA LOS DERECHOS Y LIBERTADES\n5. Descripción y contextualización del tratamiento\n6. Identificación y análisis de factores de riesgo\n7. Evaluación del nivel de riesgo del tratamiento\n8. Controles para disminuir el riesgo\n9. Valoración del riesgo residual y revisión\nSECCIÓN 3. EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS\n10. La evaluación de impacto relativa a la protección de datos\n11. Análisis de la obligación de llevar a cabo la EIPD\n12. Análisis de la necesidad de realizar una EIPD\n13. Evaluación de la necesidad y proporcionalidad del tratamiento\n14. Obligación de documentación\n15. Recabar la opinión de los interesados o de sus representantes\n16. Consulta previa a la autoridad de control\nLa gestión de riesgo está formada por un conjunto de acciones ordenadas y sistematizadas con el propósito de controlar las posibles (probabilidad) consecuencias (impactos) que una actividad puede tener sobre un conjunto de bienes o elementos (activos) que han de ser protegidos.\nEl RGPD demanda la identificación, evaluación y mitigación, realizadas de una forma objetiva, del riesgo (gestión del riesgo) para los derechos y libertades de las personas en los tratamientos de datos personales. La mitigación ha de realizarse mediante la adopción de medidas técnicas y organizativas que garanticen y, además, permitan demostrar la protección de dichos derechos. Estás deberán determinarse con referencia a la naturaleza, el alcance, el contexto y los fines del tratamiento. Además, dichas medidas se revisarán y actualizarán cuando sea necesario.\nEn cumplimiento del principio de responsabilidad proactiva, responsabilidad demostrable o “accountability”, la gestión del riesgo ha de estar documentada. La gestión del riesgo no es un documento sino un proceso que se traduce en hechos y que se acredita documentalmente.\nA. La gestión del riesgo\nLa gestión del riesgo debe de entenderse como una metodología general que integra distintos objetivos de gestión (riesgo financiero, legal, laboral, social, etc.)\nEjemplos de distintas perspectivas de la gestión del riesgo\nEl tratamiento en sí mismo\nRiesgos de seguridad para las personas (laborales)\nRiesgo de fiabilidad técnica\nRiesgos de continuidad de negocio en S.I., etc.\nEl tratamiento en el contexto interno de la organización\nImpacto en otros tratamientos de la misma organización de forma directa o indirecta\nCoste de oportunidad, etc.\nEl tratamiento en el contexto externo normativo, social y económico\nRiesgos de responsabilidad civil o penal\nRiesgo para los derechos y libertades, etc.\nTabla 1. Ejemplos de distintas perspectivas de la gestión del riesgo\nB. La gestión del riesgo en el RGPD\nEl RGPD hace referencia al término “riesgo” en innumerables ocasiones y de forma específica en el artículo 24.1: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”.\nEl RGPD no exige ningún requisito explícito de formalidad a la hora de ejecutar la gestión del riesgo, sin perjuicio de las obligaciones de “accountability”. La “aproximación basada en el riesgo” se desarrolla en el “Statement on the role of a risk-based approach in data protection legal frameworks WP218” del Grupo de Trabajo del Artículo 29 (en adelante la Declaración WP218). Sin embargo, para tratamientos que impliquen un alto riesgo, sí establece unos requisitos mínimos (artículos 35 y 36). En este sentido, el Comité Europeo de Protección de Datos (CEPD) ha desarrollado el documento “Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo” a efectos del Reglamento (UE) 2016/679 (WP248). En estas directrices, un “riesgo” es un escenario que describe un acontecimiento y sus consecuencias estimado en términos de gravedad y probabilidad; la “gestión de riesgos” puede definirse como las actividades coordinadas para dirigir y controlar una organización respecto al riesgo.\nC. Riesgo para los derechos y libertades\nEl Considerando 75 desarrolla el concepto de riesgo para los derechos y libertades como cualquier efecto o consecuencia no deseados sobre los interesados o no previsto en el propio tratamiento de datos personales, capaz de generar daños o perjuicios sobre sus derechos y libertades, particularizando, entre otros: los daños y perjuicios físicos, materiales o inmateriales, problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización, perjuicios económicos o sociales, privación a los interesados de sus derechos y libertades, que se les impida ejercer el control sobre sus datos personales, etc.\nLas Directrices WP248 interpretan que la protección debe extenderse a otros derechos fundamentales y ha de realizarse evaluando tanto el impacto que tienen sobre las personas afectadas como el impacto social general que puede ocasionar, es decir tanto para el interesado, como para todos aquellos individuos o colectivos de afectados.\nD. La gestión del riesgo de cumplimiento vs. riesgo para los derechos y libertades\nLa gestión del riesgo de cumplimiento normativo está orientada a la protección de los intereses de la entidad para evitar incurrir en sanciones legales o administrativas, pérdidas financieras o de reputación etc. La gestión del riesgo para los derechos y libertades está orientada a la protección del interesado. Por tanto, el incumplimiento normativo no es objeto de una gestión del riesgo que para los derechos y libertades puede ocasionar un tratamiento a los interesados.\nLa Declaración WP218, interpreta que los derechos y principios fundamentales establecidos en el RGPD que han de cumplir los responsables deben estar garantizados, independientemente de las características del tratamiento y del proceso de gestión del riesgo para los derechos y libertades.\nFigura 1. Cumplimiento como requisito previo a la gestión del riesgo\nLa gestión del riesgo para los derechos y libertades no se puede resolver mediante el uso de garantías legales que se basen en un desvío de la responsabilidad hacia terceros. Los responsables o encargados del tratamiento no pueden eludir su responsabilidad cubriendo los riesgos con pólizas de seguros.\nEl balance coste/beneficio, en términos económicos o financieros, derivado de la falta de cumplimiento normativo no debe interpretarse, en ningún caso, como una gestión del riesgo para los derechos y libertades, sino que, incluso, podría ser considerado por la Autoridad de control como un posible beneficio obtenido de la propia infracción y un posible factor agravante.\nGestión del riesgo para los derechos y libertades\nContrato con el encargado de tratamiento cumpliendo los requisitos del artículo 28 del RGPD.\nEs una obligación de cumplimiento normativo, no una gestión del riesgo.\nPóliza de seguros para cubrir la responsabilidad de la organización ante una posible infracción del RGPD.\nSupone una gestión del riesgo de cumplimiento, pero no del riesgo para los derechos y libertades.\nLa firma de un acuerdo de confidencialidad por parte de personal que tratan determinados datos.\nPuede ser una medida de gestión del riesgo para los derechos y libertades, en la medida que no relaja las obligaciones del responsable, sino que busca garantizar el compromiso del personal que trata los datos.\nTabla 2. Ejemplos de garantías jurídicas y su relación con la gestión del riesgo\nLa gestión del riesgo para los derechos y libertades tiene por objetivo el estudio del impacto y la probabilidad de causar daño a las personas, a nivel individual o social, como consecuencia de un tratamiento de datos personales.\nLa gestión de riesgo de cumplimiento normativo tiene por objetivo verificar el grado de cumplimiento de las obligaciones y preceptos exigidos legalmente de la entidad con relación a una actividad de tratamiento.\nPor tanto, previamente al proceso de gestión de riesgos y como condición sine qua non para emprender una actividad de tratamiento, es preciso sistematizar la verificación de cumplimiento normativo a lo largo de todo el ciclo de vida del tratamiento.\nLa AEPD pone a disposición de los responsables y encargados un documento que contiene un Listado de cumplimiento normativo y una Hoja de ruta para garantizar la conformidad con la normativa de protección de datos que puede ser de utilidad a la hora de analizar el grado de conformidad con la normativa de protección de datos.\nE. La gestión del riesgo en todos los tratamientos\nEl concepto de “riesgo cero” no existe cuando hablamos de gestión del riesgo. Siempre existirá un riesgo inherente o inicial implícito en cualquier tratamiento y, una vez que se hayan aplicado medidas y garantías que lo minimicen, seguirá existiendo un riesgo residual.\nLa gestión del riesgo debe ajustarse al posible impacto de la actividad de tratamiento sobre los interesados y a la propia dificultad del tratamiento. En ningún caso debe someterse al tamaño de la entidad, o la disponibilidad de recursos o, a la especialidad o sector de la misma. Si una entidad pretende abordar un tratamiento sin la capacidad suficiente para gestionar el riesgo, deberá buscar ayuda externa especializada (consultoría de privacidad, DPD, etc.).\nF. La gestión proactiva en la gestión del riesgo\nLa gestión del riesgo ha de incluir el enfoque preventivo y requiere realizar una evaluación a largo plazo, especialmente en aquellos escenarios cuyo impacto pudiera derivar en un perjuicio muy elevado sobre los interesados o sobre la sociedad.\nG. La gestión de riesgo como proceso\nLa gestión del riesgo debe abordarse como un proceso transversal que afecta toda la organización y conectarlo con el resto de los procesos existentes de cara a lograr un marco de gestión del riesgo global, integral, eficaz y eficiente que abarque a la organización en su conjunto y en todas sus dimensiones.\nLa gestión de riesgos, tal y como lo entiende la norma ISO 31000, es un proceso formado por un conjunto de actividades y tareas que permiten controlar la incertidumbre relativa a una amenaza, mediante una secuencia de iniciativas o acciones.\nLas aplicaciones, guías o checklist dirigidos a la gestión del riesgo pueden ser herramientas muy útiles de soporte, pero hay que tener presente que el análisis final, la toma de decisiones y la ejecución del plan de acción, son competencia exclusiva de la dirección y de los posibles ejecutores del plan, siendo dichas herramientas meros instrumentos de ayuda y apoyo a las tareas de gestión.\nFigura 2. Soporte a la decisión y toma de decisiones\nUna vez estructurado el tratamiento y analizado los requisitos de cumplimiento normativo, iniciaremos el proceso de gestión del riesgo mediante las siguientes etapas:\nDescripción del tratamiento, tanto en lo que respecta a su naturaleza, como al ámbito, contexto y fines del mismo.\nIdentificación y análisis de los riesgos en el tratamiento.\nEvaluación del nivel de riesgo y determinación de si procede o es necesario realizar una EIPD (evaluación de impacto relativa a protección de datos).\nSeguimiento y verificación de la eficacia de las medidas adoptadas y decisión sobre cuándo es necesario realizar un proceso de revisión y reevaluación de las medidas.\nAl ser un proceso, este debe plasmarse en las políticas de la organización y tendrá que estar documentado.\nFigura 3. Esquema básico del proceso de gestión del riesgo\nH. La integración en la gestión de la organización\nLa norma ISO 31000 manifiesta que la gestión del riesgo ha de estar integrada con el resto de los procesos de la entidad, en particular en la política, planificación y revisión del tratamiento, para que sea relevante, eficaz y eficiente. Es decir, la gestión del riesgo no puede realizarse de forma aislada, independientemente o después del diseño y/o implementación de un tratamiento.\nEntre los procesos con los que debe integrarse están todos aquellos relativos a la gestión del riesgo desde otras perspectivas: financiera, fraude, coste de oportunidad, continuidad de procesos, imagen, suplantación, de negocio, ambiental, seguridad de las personas, etc., que deben entenderse de forma integral.\nFigura 4. Integración de la gestión del riesgo para los derechos y libertades en el resto de procesos de gestión de riesgos de la organización\nUn caso particular de esta gestión integral lo representan las obligaciones del responsable respecto de la notificación de las brechas de seguridad. En este caso, la evaluación del riesgo que sobre los derechos y libertades de los interesados pueda representar la brecha no debería ser, en ningún caso, inferior a la evaluación que se hubiera hecho en el marco del análisis de riesgo del tratamiento. Como se ha señalado, gestión del riesgo y gestión de brechas, son dos tareas que deben ser gestionadas de manera conjunta con el fin de evitar incongruencias que pudieran repercutir negativamente en el proceso de gestión de un tratamiento de datos personales o en los propios afectados.\nFigura 5. Evaluación del riesgo del tratamiento y de una brecha de datos\nI. Papel de encargados, desarrolladores y suministradores\nEl RGPD establece en el artículo 28, apartados 3.c, f y h, así como en el considerando 83, la obligación del encargado de asistir al responsable en la gestión del riesgo, teniendo en cuenta la naturaleza del tratamiento y la información puesta a su disposición. Para ello, el encargado debe gestionar el riesgo dentro de los límites del objeto del encargo.\nPor otro lado, un desarrollador o suministrador de un producto o servicio con el que varios responsables van a realizar distintos tratamientos de datos debe llevar a cabo una gestión del riesgo propia, que se incorporará al proceso de gestión del riesgo que realiza el responsable. Este proceso debería ampararse en las garantías contractuales correspondientes a la adquisición del producto o servicio. En cualquier caso, el responsable seguirá manteniendo la obligación de realizar su propia gestión del riesgo.\nJ. La gestión del riesgo para los derechos y libertades y la EIPD\nCuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará una evaluación del impacto.\n1. Definición de EIPD como proceso que obliga a actuar\nEn las Directrices WP248, la EIPD se define como “... un proceso concebido para describir el tratamiento, evaluar su necesidad y proporcionalidad y ayudar a gestionar los riesgos para los derechos y libertades de las personas físicas derivados del tratamiento de datos personales evaluándolos y determinando las medidas para abordarlos.”\nLa EIPD es un proceso de análisis de un tratamiento que se extiende en el tiempo, a lo largo de todo el ciclo de vida de un tratamiento de datos personales, y que debe revisarse de forma continua, “al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento” (art. 35.11). Por tanto, la EIPD debe:\nEvaluar los riesgos “determinando las medidas para abordarlos”.\nEstar documentada, como soporte para la realización del proceso.\nObligar al responsable a actuar.\nLa EIPD tiene una dimensión mayor que un mero formalismo plasmado en un documento sobre el que se puedan realizar cambios mínimos para adaptarlo a cualquier tratamiento. Reducir la EIPD a una actividad puntual y aislada en el tiempo es incompatible con el concepto de proceso que interpreta las Directrices WP248.\n2. Integración de la EIPD y la gestión del riesgo\nLa EIPD forma parte del proceso de gestión de riesgos. No es posible ejecutar una EIPD si previamente no existe una gestión de riesgos para los derechos y libertades y no se realiza en el marco de la misma.\nFigura 6. Integración de la EIPD en la gestión del riesgo para los derechos y libertades\nFigura 7. Esquema básico del proceso de gestión del riesgo incluyendo la EIPD\n3. La EIPD amplía los requisitos de la gestión del riesgo\nLas características que incorpora la EIPD con relación a la gestión general del riesgo:\nEs exigible cuando hay un alto riesgo para los derechos y libertades.\nEs una obligación específica del responsable.\nExige un análisis de necesidad y proporcionalidad del tratamiento con relación a sus fines.\nExige su realización antes del inicio de las actividades de tratamiento.\nExige el asesoramiento del DPD, si este está nombrado.\nRequiere recabar la opinión de los interesados, o sus representantes, cuando proceda, en el proceso de gestión del riesgo, justificando en su caso la no procedencia o la limitación en la comunicación de información.\nTendrá en cuenta el cumplimiento de los códigos de conducta y de las certificaciones.\nSu resultado se debe tener en cuenta para evaluar la viabilidad o no del tratamiento.\nEn caso necesario, en función del nivel de riesgo residual, obliga al responsable a realizar una Consulta Previa (art. 36) a la Autoridad de control.\nFigura 8. Qué añade la EIPD al proceso de gestión del riesgo.\n4. La EIPD como herramienta para demostrar cumplimiento\nUna de las posibles medidas de “accountability” o de demostrar cumplimiento es la realización de una EIPD, cuando esta no sea obligatoria.\nA. Determinación precisa de las finalidades del tratamiento\nPara llevar a cabo una correcta gestión del riesgo es necesario identificar y caracterizar de forma precisa los fines del tratamiento. Los fines y la legitimación del tratamiento deben fijarse antes de iniciar la gestión del riesgo. Los fines deben cumplir con las siguientes propiedades:\nHan de determinarse cuál es el fin último del tratamiento y no confundirlo con objetivos intermedios, medios instrumentales u operaciones de tratamiento que tengan lugar en alguna fase del tratamiento o que pueden ser dependientes con la forma de implementar el tratamiento.\nSuficientemente precisos y concretos, especificando las carencias, demandas, exigencias, obligaciones u oportunidades objetivas y finales que el fin del tratamiento viene a resolver o a dar respuesta.\nHan de definir un estado futuro deseable en términos cualitativos.\nSe determinan garantías para conseguir los fines del tratamiento en la medida que es posible “demostrar” que el fin último se va a conseguir.\nSe han de conseguir en un periodo de tiempo y en el marco de una determinada etapa del ciclo de vida del tratamiento.\nTabla 3. Propiedades que han de cumplir unos fines del tratamiento bien definidos\nEn algunos casos, se podrían confundir los fines del tratamiento con alguna de las medidas que se podrían adoptar para conseguirlos. Por ejemplo, en tratamientos que tienen como fin la seguridad de las personas, se pueden utilizar métodos técnicos, como la videovigilancia, como medidas para conseguir dicho fin. La videovigilancia es un instrumento para la consecución del fin, no el fin último del tratamiento.\nLos fines del tratamiento han de describirse de forma clara, precisa y entendible, pero no simplificadora.\nB. Descripción del tratamiento\nPara gestionar los riesgos de un tratamiento es necesario analizarlo. Analizar supone examinar detalladamente, separando y considerando de forma independiente cada una de sus partes, para conocer sus características, cualidades, restricciones y limitaciones, y así poder extraer conclusiones.\nLas etapas en las que se implementa.\nEl flujo de datos personales.\nLas operaciones de tratamiento que precisa (manuales y automatizadas).\nLos activos/ elementos sobre los que se implementa.\nLos roles que acceden a los datos.\nLas características tecnologías relevantes.\nLa participación de encargados en distintas operaciones.\nLa extensión en la cantidad de datos.\nLa extensión en la cantidad de sujetos afectados.\nLa extensión en los tipos y categorías de datos.\nLa extensión geográfica.\nLa extensión en el tiempo del tratamiento.\nLa extensión en el tiempo de la conservación.\nLa frecuencia de recogida.\nEl mercado o sector en el que se desenvuelve.\nEl entorno social en el que despliega.\nEl entorno normativo.\nLa interacción con otros tratamientos de la entidad.\nLas cesiones de datos que son necesarias.\nLas transferencias internacionales que implica.\nLas brechas de seguridad o incidentes que se producen en tratamientos relacionados.\nLos efectos colaterales en la sociedad\nTabla 4. Ejemplo de la información que describe el tratamiento que es útil para la gestión del riesgo\nLa descripción del tratamiento puede ir más allá de las obligaciones normativas establecidas de elaborar y mantener un Registro de Actividades de Tratamiento con el contenido mínimo que exige el artículo 30 del RGPD y el artículo 31 de la LOPDGDD.\nEl responsable debe conocer las tecnologías que pretende utilizar, así como sus riesgos asociados, ya que forma parte de su deber de diligencia con relación al cumplimiento de las previsiones del RGPD. En ningún caso, el desconocimiento del contexto tecnológico puede entenderse como un eximente de las obligaciones del responsable.\nC. La evaluación del nivel de riesgo del tratamiento para los derechos y libertades de las personas físicas\nLa evaluación del nivel de riesgo tiene dos objetivos:\nOptimizar los esfuerzos para mitigar y gestionar los riesgos de forma proporcional.\nDeterminar si el nivel de riesgo exige cumplir con lo previsto en los artículos 35 y 36 del RGPD (supuestos de alto riesgo).\n1. Proceso de evaluación del riesgo\nEl proceso de evaluación del nivel de riesgo es una disciplina con una metodología consolidada y común a cualquier proceso de gestión del riesgo. Para la evaluación del nivel de riesgo asociado a un tratamiento hay que realizar las siguientes tareas:\nIdentificar los factores de riesgo o amenazas para los derechos y libertades.\nAnalizar los mismos, en su impacto (gravedad) y probabilidad.\nEvaluar el nivel global del riesgo del tratamiento para los derechos y libertades.\nPodemos definir un factor de riesgo o amenaza como una causa potencial de la que se puede derivar un perjuicio para los derechos y libertades de las personas físicas.\n2. Riesgo inherente y riesgo residual\nEl riesgo inherente es el resultante de evaluar el nivel de riesgo previo a la implantación de medidas y garantías destinadas a reducir el riesgo derivado de cada uno de los factores de riesgo.\nTodos los posibles factores de riesgo deben evaluarse de forma conjunta, teniendo en cuenta su acción acumulativa y su efecto combinado.\nEl riesgo residual es el resultante de evaluar el nivel de riesgo después de tomar las medidas y garantías destinadas a reducir el riesgo derivado de cada una de las fuentes de riesgo. El objetivo es que se reduzca a un nivel de riesgo aceptable.\nFigura 9: Evaluación del riesgo inherente y riesgo residual\n3. Identificación de los factores de riesgo\nIdentificar un factor riesgo consiste en detectar la fuente que puede propiciar un evento capaz de ocasionar impacto en los derechos y libertades de los interesados. El RGPD requiere que:\nLa evaluación del nivel de riesgo sea una tarea del responsable que debe orientarse hacia las operaciones de tratamiento que realiza y no hacia el posible contenido de un fichero de datos.\nLa evaluación del nivel de riesgo tenga en cuenta todos los aspectos del tratamiento, que se derivan de la naturaleza, ámbito, el contexto y los fines del tratamiento.\nLas medidas y garantías a adoptar no se limiten a medidas de seguridad, sino que, además, impliquen medidas sobre la concepción del tratamiento, gobernanza y políticas de protección de datos, medidas de protección de datos desde el diseño (de desvinculación, transparencia y control), gestión de brechas de datos personales y, en su caso, la realización de una EIPD.\n4. Identificación de factores de riesgo de un tratamiento de datos personales en la normativa\nEl RGPD y su normativa de desarrollo identifican los factores de riesgo que hay que gestionar, algunos de alto impacto y probabilidad total, y otros en los que hay que estimar el impacto que podrían producir y/o la probabilidad de que se materialicen. Estos son:\nLos casos del artículo 35.3 del RGPD.\nLa normativa especial que exige una EIPD para el tratamiento o identifica factores de riesgo.\nLos casos y ejemplos de las Directrices WP248.\nLos casos de la lista aprobada por la AEPD en base al artículo 35.4 del RGPD.\nLos casos del artículo 28.2.b de la LOPDGDD.\nLos casos del artículo 32.2 del RGPD.\nLos riesgos identificados en el Considerando 75 RGPD.\nLos casos y condiciones específicas descritos en las directrices publicadas por el CEPD para tratamientos específicos.\nLos casos y condiciones específicas descritos en los códigos de conducta de acuerdo con el artículo 40 y mecanismos de certificación de acuerdo con el artículo 42 del RGPD.\n5. Riesgos de impacto muy elevado\nPara establecer un nivel de medidas y garantías adecuado ante un factor de riesgo hay que tener en cuenta la probabilidad de su materialización y la intensidad del impacto. Si el impacto es muy alto, aunque la probabilidad de que se materialice sea muy bajo o despreciable, es necesario gestionar adecuadamente dicho factor de riesgo.\nSe deberán analizar aquellos tratamientos que por su extensión o intrusión pudieran ser de muy alto riesgo. También los tratamientos masivos, especialmente de categorías especiales, extendidos en el tiempo y con consecuencias sobre los derechos y libertades (tratamientos de las AA.PP., grandes entidades de telecomunicaciones, grandes entidades financieras, aseguradoras, servicios sanitarios, grandes servicios de Internet, etc.).\nTambién se deben analizar los escenarios de baja probabilidad, pero que pueden comprometer garantías básicas.\nD. El tratamiento del riesgo\nLa gestión del riesgo, con independencia de que se trate de un tratamiento de alto riesgo o no, supone ejecutar acciones para reducir, eliminar o asumir de forma controlada los riesgos identificados disminuyendo, bien la probabilidad de que estos se materialicen, bien el impacto que representan.\nEl “tratamiento del riesgo” es la selección de medidas y garantías para reducir, eliminar o asumir de forma controlada los riesgos identificados. Dichas medidas y garantías se denominan “controles”.\nLa gestión de los factores de riesgo es un proceso repetitivo que precisa aplicar controles tantas veces como sea necesario para reducir la probabilidad o el impacto hasta alcanzar un nivel de riesgo aceptable.\nLas medidas de control deben considerarse de forma independiente para cada riesgo identificado, aunque más tarde se evalúe su efecto combinado.\n1. Clasificación de las medidas y garantías\nLas medidas para mitigar el riesgo se pueden clasificar en base a distintos criterios:\nMedidas destinadas a prevenir el riesgo o respuesta a un riesgo materializado\nMedidas atendiendo a la naturaleza del riesgo\nGarantías jurídicas necesarias como las cláusulas de confidencialidad\nMedidas de protección desde el diseño, de seguridad, auditorías, etc.\nAsociadas a los procedimientos, organización y/o gobierno de la entidad\nMedidas orientadas a afrontar el riesgo\nReducir/mitigar el riesgo\nDisminuir el nivel de probabilidad/impacto asociado al riesgo inherente\nEvitar/eliminar el riesgo\nSi el riesgo es muy elevado y no se quiere asumir:\nmodificar su naturaleza, alcance, contexto, fin, etc.\nAceptar/asumir el riesgo\nSiempre que el riesgo inherente sea aceptable y se de forma continua\nTabla 5. Clasificación de medidas y garantías para la gestión del riesgo\nEn base el modelo de responsabilidad proactiva del RGPD, las medidas y garantías que se pueden adoptar para mitigar los riesgos de protección de datos se pueden clasificar en:\nMedidas y garantías en base al RGPD\nMedidas sobre el concepto y diseño del tratamiento\nMedidas de gobernanza y políticas\nMedidas de protección de datos por defecto y desde el diseño\nLas medidas de protección de datos por defecto se han de implementar por defecto, es decir, en cualquier caso e independientemente del riesgo\nMedidas de prevención y gestión de brechas de datos personales/ medidas de seguridad\nTabla 6. Medidas y garantías para la gestión del riesgo en base al RGPD\nA cada uno de los factores de riesgo identificados hay que asociar las medidas de control adoptadas. Es muy importante asegurarse de que la asignación de los controles es adecuada y acorde al riesgo, además de que los riesgos se gestionen de forma conjunta y teniendo en cuenta la interrelación entre ellos, con el claro objetivo de poder mitigar los niveles de riesgo del tratamiento como un todo.\n2. Transparencia y derechos como medidas para disminuir el riesgo\nLas obligaciones de transparencia e información determinan un conjunto de derechos que el responsable ha de proporcionar a los interesados de manera que garanticen un tratamiento leal y transparente. Estas obligaciones no son medidas para disminuir el riesgo del tratamiento, sino que forman parte del cumplimiento normativo al que debe someterse el responsable.\nSin embargo, pueden considerarse medidas para disminuir el riesgo, por ejemplo, publicar información que resulte relevante sobre la EIPD o atender los derechos de los interesados garantizando una diligencia más allá de lo establecido en el Reglamento.\nD. Brechas de datos personales y seguridad en los tratamientos\nEs obligatorio determinar el riesgo que puede suponer el que se materialice una brecha de seguridad, es decir, un tratamiento no autorizado o accidental sobre los datos.\nFigura 10. La gestión de la seguridad como una parte de la gestión del riesgo\nAbordar los riesgos no puede limitarse a aplicar exclusivamente medidas de seguridad. La gestión de los riesgos de seguridad es una más de las actividades para la gestión de los riesgos y se tiene que supeditar a esta última.\nLas medidas de mitigación deben orientarse a reducir el impacto y la probabilidad de que afecten al interesado.\nFigura 11. Las medidas de seguridad en la gestión del riesgo\n1. La seguridad por defecto\nLas Directrices sobre el artículo 25 Protección de datos desde el diseño y por defecto del Comité Europeo de Protección de Datos, en su párrafo 47, manifiesta que las medidas de seguridad siempre se han de incluir por defecto. O sea, aunque el riesgo del tratamiento para los derechos y libertades sea escaso, el responsable o encargado:\nHa de implementar medidas de seguridad.\nLa selección de medidas de seguridad a implementar debe guiarse por un análisis de riesgos.\nEn tratamientos con un riesgo por encima del aceptable, las medidas de seguridad deben emplearse para reducir el nivel de riesgo.\n2. Ámbito de las medidas de seguridad\nEl artículo 32 está dedicado a las medidas de carácter preventivo que han de garantizar la seguridad del tratamiento y los artículos 33 y 34 a medidas correctivas de contingencia en caso de que se produzca una brecha de datos personales.\nSe deberá evaluar el impacto para los derechos y libertades que puede tener un incidente que afecte al sistema de información, tanto con relación a la materialización de ataques, intrusiones o cualquier tipo de proceso no autorizado. Lo mismo en caso de incidentes accidentales, tanto tecnológicos como humanos o asociados a eventos naturales.\nAdemás, se deberán gestionar los posibles errores o fallos que pudieran derivarse de las distintas medidas técnicas y organizativas que implementan estrategias de protección de datos por defecto, desde el diseño u otras garantías como:\nEn la seudonimización y el cifrado de datos personales.\nSobre los procesos de anonimización.\nEn los procesos de desvinculación de datos.\nEn la ejecución de la eliminación de datos.\nEn la implementación de tratamientos federados.\nEn la implementación de medidas de protección de datos por defecto.\nTambién será necesario gestionar los errores técnicos derivados de la implementación automatizada de tratamientos que se pudieran derivar de, por ejemplo:\nSistemas de decisión automática.\nErrores en la sincronización de sistemas transaccionales.\nErrores en la separación de entornos virtuales.\nLos fallos y errores anteriores pueden derivar en problemas específicos de confidencialidad, integridad, disponibilidad, trazabilidad o autenticación, pero también otros más específicos como de calidad de datos, discriminación, etc.\nFigura 12. Fuentes de brechas de datos personales\n3. Estimación del nivel de riesgo de una brecha de datos personales\nPara estimar el impacto que pudiera tener una brecha de datos personales hay que plantearse las consecuencias que se derivarían de la materialización de la brecha. Una forma de hacerlo es:\nplantearse los posibles escenarios de materialización de una brecha\ndeterminar sus consecuencias\nevaluar cómo afecta a los derechos y libertades de los interesados, sobre todo si se trata de consecuencias irreversibles.\nAnte esas consecuencias, hay que determinar medidas para disminuir la probabilidad de que suceda la brecha. Dado que la posibilidad de materialización de la brecha siempre existe, también hay que considerar medidas para eliminar, disminuir o revertir las consecuencias de la misma sobre el interesado.\nUn ejemplo: consideremos el marco de aplicaciones de domótica o de control de consumo que podrían recoger la actividad doméstica de personas físicas. Se pueden plantear varios escenarios de brecha, uno de los cuales, podría ser el siguiente:\nConfidencialidad: se accede a los registros de actividad de los usuarios de los sistemas domóticos que se almacenan en un servidor central.\nDatos básicos, datos de contacto, datos detallados sobre eventos del sistema, uso o consumo por minuto durante un largo periodo de tiempo.\nPerjuicios al interesado\nSe conoce la dirección y detalles de identificación del usuario.\nSe podría inferir cuándo el hogar está vacío.\nSe podría inferir los horarios de entrada y salida del hogar.\nSe podría inferir si el individuo vive solo o acompañado.\nSe podría inferir cuándo se va a dormir.\nSe pueden inferir aspectos muy personales, e incluso categorías especiales de datos.\nEvaluación del impacto sobre el interesado\nPuede tener un impacto muy significativo, al afectar a los derechos y libertades fundamentales de forma irreversible.\nReducir la precisión temporal en la recogida de datos, y en lugar de hacerlo por minuto, hacerlo por horas, días o semanas (reducir la granularidad)\nAgrupar datos de diversos individuos (aumentar la agregación).\nReducir el conjunto de datos recogidos (minimización de datos).\nEliminar la información recogida individualmente en muy breve espacio de tiempo, casi tiempo real (conservación de datos).\nDisponer de un procedimiento de comunicación a los afectados muy rápido (comunicación de brechas de datos).\nMedidas para reducir la probabilidad\nMedida de identificación para el acceso al sistema.\nSistemas de control de acceso a los datos.\nCifrar la información en tránsito y reposo.\nTabla 7. Ejemplo de escenario de brechas de datos personales\nDe este ejemplo podemos concluir:\nLos escenarios han de plantearse para casos de pérdida de confidencialidad, disponibilidad, integridad, autenticación, trazabilidad, resiliencia, fallos en las garantías (como reidentificación en datos anónimos o seudónimos), errores en el tratamiento o cualquier otro que se considere oportuno.\nAdemás de medidas que reduzcan la probabilidad, es necesario implementar medidas que reduzcan el impacto, ya que la probabilidad nunca es cero.\nLas medidas que reducen el impacto son, en muchos casos, medidas de privacidad desde el diseño y/o por defecto.\nExisten medidas preventivas (por ej. aplicar políticas de agregación de datos) y reactivas (por ej. tener preparada una gestión de brechas que permita la comunicación ágil a los afectados).\nHay que evaluar qué impacto puede tener para el individuo y la sociedad, ya que hay brechas cuyo impacto social hace más difícil minimizar los riesgos (por ej. si la brecha afecta a un único individuo se pueden poner en marcha mecanismos reactivos que son inviables si afectan a miles de usuarios).\nPor tanto, la adopción de medidas de seguridad debe realizarse bajo una visión de la gestión de los riesgos para los derechos y libertades que va más allá del ámbito estricto de la organización. Es decir, el análisis no puede centrarse solo en el impacto producido al interesado, ya que se podrían dar situaciones como, por ejemplo:\nUna pérdida de confidencialidad en la Entidad-A puede suponer la usurpación de identidad de un sujeto. Esa suplantación se puede utilizar sobre la Entidad-B para acceder a los datos del interesado.\nLa alteración de la integridad de los datos de una persona en una Entidad-A puede impedir que dicha persona acceda a servicios proporcionados por una Entidad-B.\n4. La probabilidad de una brecha de datos personales\nNo existen sistemas 100% seguros. Por tanto, no se pueden plantear tratamientos bajo el supuesto de que la seguridad nunca va a ser violada. Más aún, cuando el periodo de tiempo en el que el tratamiento estará activo (ciclo de vida del tratamiento) tiende a infinito, el que se produzca una brecha de datos personales es sólo cuestión de tiempo. Por tanto, a la hora de evaluar la probabilidad, hay que tener en cuenta el plazo de tiempo que se pretender tener activo el tratamiento.\nFigura 13. Evolución de la probabilidad de una brecha en el tiempo\nLa resiliencia es la capacidad que tiene un sistema de continuar dando servicio ante un imprevisto, aunque sea con pérdida de eficacia o eficiencia. O sea, que se refiere a la capacidad de adaptación de un organismo, organización, sistema o sociedad a los cambios sin que sus características básicas estructurales y funcionales se vean alteradas. Estas, han de adaptarse sin alcanzar el punto de ruptura, parálisis o crisis.\nTras esa adaptación, la entidad puede volver a su estado original o incluso haber mejorado su adecuación al entorno. Esto significa la capacidad de asumir, con flexibilidad, situaciones límites y sobreponerse a ellas.\nLa resiliencia organizativa persigue anticiparse, prepararse, responder y adaptarse a los cambios o eventos que se puedan producir. Estos pueden ser cambios en el contexto económico, político, legal, social, ambiental, etc.; así como daños en la infraestructura, actos de terrorismo, cibercrimen, etc.\nLa resiliencia es inherente, relativa y ninguna organización, red o sistema puede ser totalmente resiliente. El grado de resiliencia dependerá de:\nEl personal, tanto del nivel más alto al más bajo, ha de tener la capacidad de detectar los cambios, la capacidad de comunicarlos, la capacidad de entenderlos, la capacidad de innovar ante ellos, la capacidad de actuar y la voluntad de actuar de forma proactiva, en tiempo real.\nFlujo adecuado de información\nHa de ser ágil, específico, mínimo, completo y desde y hacia las personas adecuadas.\nHan de existir puntos claros de toma de decisión con responsabilidades bien definidas.\nLas estructuras físicas, tecnológicas y organizativas han de poder evolucionar en tiempo real hacia nuevos objetivos o formas de actuar.\nTabla 8. Factores que determinan el grado de resiliencia de una organización\nA su vez, resiliencia y sostenibilidad son conceptos relacionados. La resiliencia está vinculada al grado de preparación para la reacción de la organización ante un contexto variable. La sostenibilidad está relacionada con las acciones para evitar o mitigar sus impactos en el interior y exterior a la empresa, en su entorno, asegurando su propia viabilidad a largo plazo, y de contribuir, a su vez, a la del entorno.\n6. Integración de los requisitos de gestión del riesgo para los derechos y libertades en el SGSI\nLa gestión de la seguridad de la información es una disciplina muy madura, con modelos de gestión (SGSI o Sistema de Gestión de la Seguridad de la Información) y directrices (normas ISO 27000 o ENS) bien conocidas e implantadas que pueden considerarse estándares de seguridad.\nLos sistemas de información son una proyección de los tratamientos de la entidad, en tanto que son los medios que le dan soporte y, por ello, las políticas de los sistemas de información deberían ser una proyección de las políticas de información de la entidad. A su vez, las políticas de seguridad son un subconjunto de las políticas de información de la entidad.\nEl modelo de responsabilidad proctiva se basa en la toma de decisiones de abajo a arriba, o sea, desde el diseño de los tratamientos y con una visión holística. Los administradores de los sistemas de información deben implementar los requisitos de seguridad que proporcione el responsable de seguridad con una visión integral de la organización, pero no deben tomar decisiones con relación a la seguridad más allá de las cuestiones técnicas y operativas relacionadas con la propia administración de los sistemas.\nEn particular, el conjunto de requisitos de seguridad, con relación a los derechos y libertades, ha de ser una de las entradas al proceso de análisis de riesgos general de los sistemas de información que ha de llegar al departamento TIC.\nLos requisitos no funcionales de seguridad pueden provenir de distintos objetivos de la entidad en general y de los tratamientos de datos que se realizan, en particular: seguridad de las personas, robo, fraude, etc. A su vez, será necesario tener en cuenta otros requisitos funcionales y no funcionales, además de los que se deriven de normativas, obligaciones contractuales, certificaciones, etc.\nLa forma de implementar dichos requisitos ha de balancearse entre los distintos objetivos. Por ejemplo, si con objeto de proteger la seguridad de las personas se plantea una solución basada en identificación biométrica, ha de valorarse que puede colisionar con protección de datos o con la imagen que la empresa quiere proporcionar.\nFigura 14. Integración de los requisitos de seguridad para la protección de los derechos y libertades\n7. Medidas de gestión brechas de datos personales\nLa gestión de brechas es una obligación del responsable, que debe incluir el establecimiento de medidas preventivas y reactivas en función del riesgo y que repercute en el ciclo de gestión del riesgo del tratamiento.\nLa normativa establece una serie de obligaciones ante una brecha de seguridad que no dependen de la realización de un análisis de riesgos como, por ejemplo, la obligación del encargado del tratamiento de notificar, sin dilación indebida, al responsable del tratamiento las brechas de datos personales que afecten a los tratamientos encargados (art.33.2 RGPD).\nLo que sí depende de la gestión del riesgo es la dimensión de las medidas técnicas y organizativas para la gestión de incidentes, como podrían ser:\nUtilización de herramientas de gestión de incidentes adaptadas al RGPD.\nProcedimientos establecidos de cumplimiento de las obligaciones relativas a los artículos 33 y 34 del RGPD.\nProtocolos de identificación de riesgos adicionales generados por la brecha y de reevaluación del nivel de riesgo para los derechos y libertades de los interesados.\nF. Implementación de los controles, verificación y reevaluación: la gestión del riesgo como un proceso continuo\nLa verificación de la correcta aplicación de las medidas y garantías, así como la revisión del nivel de riesgo y su gestión, es un proceso que hay que realizar a lo largo de todo el ciclo de vida del tratamiento. Se recomienda realizar un proceso de verificación durante la fase de implantación con el objetivo de garantizar y validar que las medidas de control definidas en el Plan de acción se han puesto en marcha correctamente. Lo ideal es que estas tareas, con carácter general, estén reflejadas en un plan de acción de gestión del tratamiento.\nSon varias las referencias del RGPD a esta necesidad de introducir la gestión del riesgo a lo largo de las distintas etapas del ciclo de vida del tratamiento (arts. 24, 25, 32, 35).\nLa gestión del riesgo es un proceso continuo y cíclico. Dicha gestión ha de realizar su primer ciclo con las primeras fases del tratamiento: antes de determinar los medios del tratamiento (en su concepción, análisis, diseño, prototipado e implementación) y antes de ejecutar el tratamiento (pruebas y preparación/despliegue). Además, la gestión del riesgo ha de repetirse a lo largo del ciclo de vida del tratamiento para evaluar y tratar los cambios que se puedan producir en las fases siguientes (operación, mantenimiento, evolución y retirada.)\nFigura 15. La gestión del riesgo en el ciclo de vida del tratamiento\nLa gestión del riesgo de realizarse, en una primera iteración, en la concepción del tratamiento.\nLas acciones derivadas de la gestión del riesgo deberían verificarse, y reevaluarse cuando esta actividad tenga una mayor intensidad, como son las fases de operación, mantenimiento y evolución.\nLa reevaluación del riesgo puede iniciarse por eventos propios en fases distintas de la fase en la que se encuentre el tratamiento dentro de su ciclo de vida y depender del contexto, es decir, de eventos externos al tratamiento.\nLa organización debe implementar procedimientos que detecten problemas, cambios o eventos en el tratamiento o en su entorno que sean susceptibles de desencadenar la necesidad de iniciar un ciclo de revisión de la gestión del riesgo. Si no se detectan, será necesario establecer periodos de revisión que podrían estar fijados en el marco de las políticas de protección de datos del responsable.\nLa iteración de un ciclo de gestión del riesgo no ha de suponer un esfuerzo desproporcionado, sino que ha de ser una actividad eficaz y eficiente. Lo único que exige es reflexionar, aunque sea por un momento, si se sigue teniendo el tratamiento bajo control ante condiciones cambiantes del propio tratamiento y/o del contexto en el que este se desenvuelve. Además, esta reflexión, ha de estar integrada en los procesos de gestión del tratamiento para que sea realmente efectiva.\nA. Políticas de protección de datos\nCuando se trata de datos personales, la gobernanza de los datos establecida en la organización debe garantizar el cumplimiento de los derechos y libertades conforme al RGPD. Para ello, los tratamientos de datos personales deben estar respaldados por la implementación efectiva de los principios relativos al tratamiento (art.5 RGPD), tomando las medidas adecuadas y ofreciendo garantías suficientes.\nEn virtud del principio de responsabilidad proactiva, las políticas han de ser compromisos establecidos a nivel de la dirección de la organización. Las políticas de protección de datos son el conjunto de directrices que rigen un modo de actuar de la organización ante los tratamientos de datos personales a lo largo de todo su ciclo de vida.\nFigura 16. Las políticas de protección de datos\nLa aplicación práctica del RGPD precisa integrar directrices específicas en la documentación de los procedimientos aprobados por la entidad. Dependiendo de la complejidad de la organización, es recomendable que no se creen políticas nuevas, sino que la protección de datos se integre con las políticas corporativas ya existentes para disminuir la carga administrativa y de gestión.\nEn organizaciones complejas, se recomienda disponer de un documento marco, siempre que se emplee como guía para la adopción de las directrices señaladas en procedimientos específicos, como, por ejemplo, los procedimientos de recursos humanos, teletrabajo, contratación de productos y servicios, desarrollo de aplicaciones, etc. En cualquier caso, deberá garantizar la eficacia en la protección de datos y no deberá limitarse a una pura declaración formal en un documento desvinculado de la realidad de los procedimientos de la entidad.\nFigura 17. Relación entre gobernanza, políticas y procedimientos\nComo establece el artículo 24, la implementación de dichas políticas y gobierno de los datos dependerá de la estructura orgánica de cada entidad. De igual forma, tendrán que adoptarse dichas políticas en las organizaciones que pudieran actuar como encargadas del tratamiento con la finalidad de abordar una gestión y control eficaces que garanticen al responsable el cumplimiento del RGPD.\nLas políticas de protección de datos se deberán verificar, revisar, actualizar y mejorar de forma continua, de acuerdo con los criterios y métodos implantados en la organización.\nFigura 18. Marco de la ejecución de las políticas de protección de datos\nLa obligación de documentar el proceso de gestión del riesgo está relacionada con el cumplimiento de la obligación de “accountability”. La documentación tiene dos objetivos generales:\nDar soporte a la ejecución eficaz y eficiente de la gestión del riesgo para los derechos y libertades.\nPermitir demostrar que así se ha realizado.\nPor tanto, la documentación de la gestión del riesgo:\nHa de ser útil para la ejecución de la gestión del riesgo de forma eficaz.\nHa de ser eficiente\nHa de suponer una carga mínima en la gestión del tratamiento.\nHa de recoger las decisiones tomadas en la gestión del riesgo, así como la justificación de dichas decisiones basadas en evidencias objetivas.\nHa de ser dinámica\nSe ha de mantener y hacer evolucionar en la medida en que se produzcan cambios en el tratamiento, en su contexto o incidencias que le afecten.\nHa de ser trazable\nPermitirá realizar el seguimiento y la evolución en el tiempo del proceso de gestión del riesgo.\nHa de comunicarse\nHa de llegar a los órganos adecuados de toma de decisión, de ejecución de las decisiones y de control.\nHa de transmitir información\nHa de tener el formato, lenguaje y el contenido necesario para que se puedan ejecutar dichas acciones con eficacia y eficiencia\nNo es monolítica\nHa de estar formada por distintos documentos, adaptados a los distintos destinatarios de la información.\nHa de estar integrada en la gestión de la organización\nEn línea de lo manifestado con relación a las políticas de protección de datos, ha de estar integrada con el resto de documentación asociada a la gestión del tratamiento en otros aspectos.\nTabla 9. Características de la documentación para la gestión del riesgo\nLa documentación no es la gestión del riesgo, aunque la gestión de riesgo ha de estar documentada. A su vez, la documentación no exige escribir un único documento compacto, sino tener un sistema de registro de los análisis, decisiones y seguimiento de las acciones.\nLa complejidad de este sistema, como interpreta la Declaración WP218, se deberá adaptar a la complejidad y el impacto del tratamiento, y podría tomar diferentes formas, desde una hoja de cálculo hasta una base de datos o, incluso, un sistema de gestión documental.\nLa documentación de la gestión del riesgo tampoco es un informe jurídico. En la medida que la documentación adquiera un volumen engorroso que no permita la gestión eficaz y eficiente del riesgo, no será adecuada. De esta forma, ha de recogerse toda la información necesaria para una gestión eficiente y solo dicha información.\nFigura 19. La documentación del proceso de gestión del riesgo\nLa documentación de la gestión del riesgo tendrá que contener estos elementos mínimos:\nLa descripción del tratamiento.\nMetodologías y guías empleadas en el proceso de gestión.\nLa identificación y análisis de riesgos para los derechos y libertades.\nLa evaluación del nivel de riesgo para los derechos y libertades.\nLa decisión de realizar o no una EIPD (análisis de obligación y análisis de necesidad de EIPD).\nLas medidas seleccionadas y un plan de implementación y seguimiento.\nLos criterios para reevaluar el plan y los plazos de revisión\nFecha de realización o revisión.\nTabla 10. Contenido mínimo de la documentación de gestión del riesgo\nEsta información podría ser un documento aislado o estar integrado en la documentación de gestión de los tratamientos de la organización. A su vez, la descripción del tratamiento tendrá que ser congruente con la información registrada en las herramientas sobre las que se ha implementado el RAT.\nAdicionalmente, con relación a la documentación sobre las metodologías seguidas, se podría documentar:\nLa decisión de elegir una determinada metodología.\nLa identificación de la escala cualitativa o cuantitativa utilizada para describir la magnitud potencial del riesgo.\nLa identificación del impacto que una amenaza puede tener sobre el tratamiento y los propios interesados si llegara a materializarse.\nLa identificación de la probabilidad de materialización de una amenaza teniendo en cuenta sus vulnerabilidades. Con carácter general, a mayor número de vulnerabilidades, mayor probabilidad de que una amenaza se materialice.\nLos criterios utilizados para la evaluación del riesgo y objetivos de nivel de riesgo considerados aceptables.\nEn cuanto al grado de trasparencia a aplicar a la documentación, las Directrices WP248 estipulan que no hay obligación de publicar esta información, pero que podría fomentar la confianza publicar un resumen, y que, en caso de consulta previa, se deberá comunicar la EIPD completa a la Autoridad de control.\nPor tanto, la publicación o no, puede depender de las políticas de transparencia de la entidad. Habrá que valorar si la transparencia puede ayudar a la gestión de los riesgos para los derechos y libertades. No obstante, no es justificable ni recomendable la publicación si se detallan elementos concretos de las medidas para la gestión del riesgo que pudieran aumentar dicho riesgo.\nUna correcta gestión del riesgo para los derechos y libertades exige conocer los detalles del tratamiento. Los requisitos para que la descripción de los tratamientos sea adecuada, son:\nDebe incluir la información establecida en el artículo 30 del RGPD, sobre los mínimos exigibles en los RAT.\nDebe contener suficiente información para realizar una eficaz gestión del riesgo para los derechos y libertades de las personas físicas.\nLa granularidad que se debe alcanzar en la descripción del tratamiento ha de ser la suficiente para que sea posible realizar dicha gestión. En este sentido se podría estudiar el tratamiento hasta en tres niveles de detalle:\nEstudio a alto nivel del tratamiento.\nAnálisis de la estructura del tratamiento, o descomposición del tratamiento en fases para realizar el estudio individual de las mismas.\nAnálisis del ciclo de vida de los datos.\nLa profundidad en el estudio dependerá del posible nivel de riesgo y de la complejidad del tratamiento.\nFigura 20: Niveles en la descripción del tratamiento\nCuando existan dudas sobre la profundidad del estudio que se debería realizar, se recomienda llevar a cabo el análisis estructurado, como mínimo. En cualquier caso, cualquier aproximación que se adopte para la descripción del tratamiento ha de tener como objetivo disponer de un instrumento útil para “garantizar y poder demostrar”, de forma eficiente, la gestión del riesgo para los derechos y libertades.\nA. Estudio a alto nivel del tratamiento\nUn estudio a alto nivel del tratamiento aborda a este como un elemento monolítico, sin divisiones ni partes. Este estudio debe permitir realizar un análisis del riesgo con la formalidad que sea necesaria, y también puede servir para conseguir la información suficiente que permita cumplir con las obligaciones del art. 30 del RGPD y 31 de la LOPDGDD (RAT e Inventario). Dicho análisis debería poder proporcionar, al menos, la siguiente información:\nEn caso de corresponsabilidad, determinar dichas corresponsabilidades y sus límites.\nFines intermedios y secundarios\nCon frecuencia no es posible determinar totalmente los fines de investigación científica en el momento de su recogida. Por consiguiente, debe permitirse a los interesados dar su consentimiento, en la medida en que lo permita la finalidad, para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas para la investigación científica.\nALCANCE Y ÁMBITO DEL TRATAMIENTO\nIncluyendo, al menos:\nUna descripción breve de su ciclo de vida, incluyendo:\nCondiciones de supresión de los datos.\nTiempo máximo y mínimo de permanencia de los datos en el tratamiento.\nCategorías de sujetos afectados\nEstablecer las posibles categorías de interesados para las que se pretende diseñar el tratamiento (menores, personas en riesgo de exclusión social, pacientes, alumnos, etc.). Se recomienda analizar posibles desequilibrios de poder entre los interesados y el responsable del tratamiento (Directrices WP248).\nVolumen de sujetos\nCantidad de sujetos afectados.\nLocal, regional, nacional o internacional. Especificando dicha extensión.\nExtensión en el tiempo del tratamiento\nTanto desde la puesta en producción hasta la propuesta de retirada del tratamiento.\nDescripción de circunstancias que podrían motivar la retirada del tratamiento.\nOperaciones ejecutadas en el tratamiento\nPor ejemplo: recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.\nInventario de activos que implementan el tratamiento\nBienes o recursos que pueden ser necesarios para implantar y mantener una operación de tratamiento en cualquier etapa de su ciclo de vida, desde su concepción y diseño hasta la retirada del tratamiento:\nTécnicos/Sistemas de información.\nRecogida y generación de datos\nExternos al tratamiento (otros tratamientos, responsables, o entidades) o internos al tratamiento.\nDatos inferidos o generados\nCategorías de datos inferidos con relación a los fines del tratamiento.\nCategorías de intervinientes en el tratamiento\nCon relación a las fases del tratamiento, definir las categorías de intervinientes que participan en las operaciones.\nIntervinientes externos y sus roles\nEncargados, subencargados, desarrolladores, etc. Fases o etapas del tratamiento en las que intervienen y operaciones de tratamiento que tienen encomendadas por el responsable, así como el vínculo jurídico con el responsable del tratamiento.\nRoles de acceso a los datos de los intervinientes\nPara cada interviniente, definir sus roles con relación a las operaciones de tratamiento identificadas.\nFlujos de información con otros tratamientos del responsable\nEs necesario tener en cuenta los procesos de la organización relacionados con el tratamiento (gestión de calidad, inteligencia de negocio, directorios, agendas, etc.) a fin de identificar la relación de los procesos con los tratamientos de la organización en un único mapa de procesos/tratamientos.\nIdentificación de las entidades a las que se transfieren datos, con sus localizaciones geográficas, habilitaciones legales y garantías establecidas para esa comunicación, así como cualquier otra información que sea relevante para la gestión del riesgo.\nCaracterísticas/limitaciones y factores de riesgo relevantes de las tecnologías intervinientes\nDerivadas de los elementos técnicos, pero también humanos u organizativos, que pueden provocar accesos no autorizados o pérdida de calidad de datos, exactitud, disponibilidad, resiliencia, etc.\nMedidas y garantías implementadas\nMedidas y garantías de privacidad y seguridad por defecto y desde el diseño del tratamiento\nConjunto de garantías jurídicas, organizativas y técnicas incorporadas al tratamiento con independencia del nivel de riesgo que pudiera asociarse al tratamiento.\nMedidas y garantías de privacidad y seguridad adoptadas en función del riesgo.\nConjunto de garantías jurídicas, organizativas y técnicas que se adoptan en función del riesgo. Este apartado, podría estar vacío en la primera iteración del ciclo de gestión del riesgo. En función de que se vayan abordando los riesgos con distintas medidas, este apartado se iría completando.\nGarantías en las transferencias internacionales\nCláusulas contractuales, BCR’s u otras.\nMercado o sector económico\nSe tendrán en cuenta, además de las normativas de protección de datos, las normativas sectoriales que fueran de aplicación al tratamiento.\nEstándares, certificación, códigos de conducta aplicables al tratamiento\nPosibles efectos colaterales/no deseados del tratamiento\nDerivados del alcance y ámbito\nDerivados de la naturaleza de los datos\nDerivados del mercado o sector\nIncidentes conocidos ocurridos en tratamientos similares\nPor incidentes conocidos deben entenderse tanto incidentes de la propia organización como incidentes de otras organizaciones con similares o idénticos medios técnicos, organizativos, humanos, etc.\nEn este contexto, puede resultar de ayuda la consulta del microsite de brechas de seguridad de la AEPD.\nDerivadas de los elementos técnicos, humanos u organizativos, así como de situaciones o contextos sociales determinados (crisis económica, pandemia, inestabilidad política o social, etc.) que aprovechando una vulnerabilidad de uno de los activos identificados pudieran dar lugar a brechas con consecuencias no deseadas para los derechos y libertades.\nTabla 11. Información derivada de un análisis a alto nivel del tratamiento\nB. Análisis estructurado del tratamiento\nPara realizar un análisis estructurado del tratamiento, se precisa identificar las distintas operaciones que lo forman y la relación que existe entre ellas:\nFigura 21. Elementos que describen una fase del tratamiento\nLas operaciones de tratamiento están definidas, de forma no exhaustiva, en los artículos 4.2, 4.4 y 4.5 del RGPD; aunque el tratamiento “típico” incluirá, de forma general, las siguientes fases: captura, clasificación y almacenamiento, uso y explotación, cesiones y transferencias de a terceros, bloqueo y/o supresión.\nFigura 22. Estructuración en fases de un tratamiento genérico\nEsta es una aproximación simplista pero que podría ser un punto de inicio para realizar el análisis estructurado del tratamiento, el cuál podría ser más complejo e incluir varios casos de uso. Por ejemplo:\nFigura 23. Ejemplo simplificado de una actividad de tratamiento relativa a la selección de personal.\nEn este ejemplo, se detallan las operaciones realizadas para cada fase. En sombreado, las fases que no tratarían datos de carácter personal.\nEl grado de descripción de cada fase tendría que ser acorde al impacto en el riesgo de dicha fase. Como orientación, con el objeto de gestionar el riesgo, se podrían identificar los siguientes elementos para cada fase:\nOperación u operaciones realizadas\nEn una misma fase podrían ejecutarse varias operaciones.\nActivos que implementan la operación\nEntendiendo activos tal y como se han definido en el apartado anterior.\nCaracterísticas relevantes de la implementación de la fase\nLa implementación se puede realizar con medidas organizativas y/o elementos técnicos. Las medidas organizativas pueden incluir aspectos como la distribución física de las instalaciones (por ejemplo, el aislamiento de zonas de entrevista) o la generación y destrucción de informes físicos. Por otro lado, en el caso de componentes técnicos, se podrían identificar tecnologías disruptivas o uso novedoso de determinadas técnicas, entre otros.\nIntervinientes externos, sus roles y funciones\nEncargados, subencargados, desarrolladores, etc. y con distintas funciones: editor, soporte web, administrador, análisis, BBDD, marketing, etc.\nIncidentes conocidos de fases implementadas con características similares, propios o ajenos\nMedidas y garantías de privacidad y seguridad por defecto\nConjunto de garantías jurídicas, organizativas y técnicas ya adoptadas.\nMedidas y garantías de privacidad y seguridad adoptadas en función del riesgo\nConjunto de garantías jurídicas, organizativas y técnicas que se adoptan en función del riesgo. Este apartado, podría estar vacío o tener una primera aproximación, en la primera iteración del ciclo de gestión del riesgo. En función de que se vayan abordando los riesgos con distintas medidas, este apartado se iría completando.\nTabla 12. Descripción de una fase del tratamiento\nC. Descripción del ciclo de vida de los datos\nEl ciclo de vida de los datos es un análisis complementario al análisis estructurado del tratamiento. Por tanto, este estudio podría limitarse a una categoría de datos, por ejemplo, datos biométricos procesados en un tratamiento, o extenderse a todas las categorías de datos, en función del ejercicio de la responsabilidad proactiva en la gestión del riesgo.\nFigura 24: Ciclo de vida básico de los datos.\nRecogida/Generación: proceso de obtención de datos para su tratamiento, mediante diversas técnicas: formularios web o en papel, toma de muestras y realización de encuestas, grabaciones de audio y video, información recogida por sensores, etc. Pero también se pueden generar nuevos datos en el tratamiento como ocurre en la elaboración de perfiles, la inferencia de nueva información personal o la toma de decisiones automatizadas.\nRegistro: establecer categorías y asignarlas a los datos para su almacenamiento, organización, estructuración, conservación o adaptación en los sistemas o archivos y bases de datos.\nUso: operaciones realizadas sobre datos personales con relación a su modificación, extracción, consulta o utilización\nComunicación a un tercero: traspaso o comunicación de datos a un tercero por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión. Cabe la posibilidad que implique una transferencia internacional de datos.\nFinalización: procesos de limitación, incluyendo el bloqueo de datos según lo exigido en el artículo 32.2 de la LOPDGDD, supresión o destrucción de datos.\nA continuación, se muestra un posible modelo con el que documentar el ciclo de vida de una categoría de datos:\nFigura 25: Ejemplo de ciclo de vida de los datos\nEn el ejemplo mostrado en el gráfico anterior se ha incluido información adicional como referencia a las fases que intervienen, encargados, terceros, tecnologías u otra que pudiera ser relevante para la descripción y gestión del riesgo.\nD. Inventario de activos\nActivo se define como todo bien o recurso que puede ser necesario para implantar y mantener una operación de tratamiento en cualquier etapa de su ciclo de vida, desde su concepción y diseño hasta la retirada del tratamiento.\nLa gestión de riesgos para los derechos y libertades debería integrar un inventario de activos debidamente organizados y actualizados. Este inventario no es sólo pertinente desde el punto de vista de protección de datos, sino que tiene aplicación en otras funciones básicas para la gestión de la entidad: contabilidad, amortización, mantenimiento, asignación de recursos, seguridad, etc. de modo que su existencia recomienda en aquellas organizaciones que tienen implementados modelos de calidad.\nEl nivel de detalle a incluir en el inventario de activos debería ser el necesario para identificar y gestionar el riesgo de manera eficiente y, al mismo tiempo, poder demostrar dicha gestión. Un correcto inventario de activos a nivel de organización, no solo circunscrito a las actividades de tratamiento, permitirá identificar relaciones o efectos colaterales entre distintos tratamientos.\nEs habitual que varios tratamientos compartan activos para acceder a datos comunes (recogida de datos, procesamiento, comunicación, etc.). También suele pasar que compartan componentes estándar de terceros para un uso común de acceso a servicios de proceso de datos (por ejemplo, la implementación de apps en sistemas móviles).\nFigura 26. En este caso, los tratamientos 1 y 2 incluyen fases de conservación de datos personales, que se implementan en los servicios de bases de datos de la entidad, mientras que los tratamientos 2 y 3 incluyen fases de recogida de datos implementadas sobre las mismas librerías de captura de datos (por ejemplo, una API en Android).\nCon relación a cada activo, sería posible documentar los mismos atendiendo al siguiente modelo:\nUn identificador del activo\nTratamientos y fases en las que se emplea\nPuede utilizarse el mismo activo en distintos tratamientos\nOperaciones de tratamiento en las que es necesario\nDatos que son generados\nRoles con acceso al activo y su nivel de privilegio\nVulnerabilidades (inherentes al activo)\nAmenazas (internas y externas) asociadas al activo\nTabla 13. Modelo para documentar los activos\nEn la descripción del tratamiento en sus distintos niveles de detalle, se deberá identificar a qué caso de uso se refiere y marcar sus diferencias. La identificación de casos de uso, con ejemplos, se ha tratado en la Guía de Protección de Datos por Defecto.\n6 IDENTIFICACIÓN Y ANÁLISIS DE FACTORES DE RIESGO\nLa identificación y el análisis de los factores de riesgo para los derechos y libertades de las personas físicas es el paso previo a la evaluación del nivel de riesgo del tratamiento.\nEn el contexto de la “accountability”, la identificación y análisis de factores de riesgo estará siempre documentado y justificado a fin de demostrar que, las decisiones tomadas en cada momento con relación a la gestión del riesgo han sido las más adecuadas en función de la información de la que se disponía\nA. Identificación factores de riesgo\nEl responsable no puede ni debe limitarse a tratar los factores de riesgo identificados explícitamente en la normativa, sino que también debe identificar y evaluar los que derivan del tratamiento concreto en función de su naturaleza, ámbito o extensión o los fines que persigue, sin olvidar, tampoco, los que se derivan del contexto presente (interno y externo a la organización) y futuro del tratamiento.\nB. El análisis de los factores de riesgo\nPara cada uno de los factores de riesgo identificados, se deberá determinar el impacto inherente, o sea, el que resulta de no considerar las medidas y garantías para los derechos y libertades. El impacto dependerá del daño que se pueda ocasionar a los interesados en particular y a la sociedad en su conjunto.\nA su vez, también será necesario determinar la probabilidad de que el riesgo identificado se materialice.\nComo aproximación general para alcanzar un equilibrio entre la facilidad y la eficacia del proceso de gestión del riesgo, se propone establecer cuatro niveles de impacto del riesgo (muy significativo, significativo, limitado y muy limitado) así como cuatro niveles de probabilidad de ocurrencia (muy alta, alta, baja e improbable), de modo que sus valores combinados permiten establecer los siguientes niveles de riesgo: muy alto, alto, medio y bajo.\nComo propuesta, para determinar el nivel de un riesgo específico en función de su impacto y probabilidad se puede establecer el siguiente mapa de calor:\nTabla 14. Matriz Probabilidad x Impacto para determinar el nivel de riesgo\nAfecta al ejercicio de derechos y libertades establecidos en la Constitución española, y sus consecuencias son irreversibles.\nLas consecuencias están relacionadas con categorías especiales de datos o relativos a infracciones penales, y es irreversible.\nCausa un daño social significativo, como la discriminación, y es irreversible.\nAfecta a colectivos vulnerables, en particular niños, y de forma irreversible.\nCausa pérdidas morales o materiales significativas e irreversibles.\nLibre acceso a cargos y funciones públicas en condiciones de igualdad\nLos anteriores con efectos reversibles.\nPérdida de control del interesado sobre sus datos personales, cuando la extensión de los datos sea alta con relación a las categorías de datos o al número de sujetos.\nSe produce o puede producirse usurpación de la identidad de los interesados.\nPueden producirse pérdidas financieras significativas a los interesados.\nPérdida de confidencialidad de datos sujetos al deber de secreto profesional o vulneración del deber de confidencialidad.\nExiste un perjuicio social para los interesados o determinados colectivos de interesados.\nPérdida muy limitada del control de algún dato personal y a interesados puntuales, que no sea categoría especial o relativos a infracciones o condenas penales de carácter irreversible.\nPérdidas financieras insignificantes e irreversibles.\nPerdida de confidencialidad de datos sujetos al secreto profesional que no sean categorías especiales o sobre infracción penales.\nEn el caso anterior, cuando todos los efectos son reversibles.\nTabla 15. Criterios para determinar el nivel de impacto\nCuando existan dos o más factores de riesgo que apunten a un determinado nivel de impacto, podríamos hablar de un coeficiente de impacto acumulado dando lugar a un nivel de impacto mayor al inicialmente estimado.\nPara la determinación de la probabilidad, se podrían utilizar los siguientes criterios.\nSi el factor de riesgo está materializado y no depende de la probabilidad, p.ej. porque la Directrices wp248 identifican el uso de una tecnología como un riesgo y está presente en el tratamiento.\nSi hay constancia de diversas materializaciones de dicho riesgo en el último año en distintas entidades.\nSi hay constancia de una materialización de dicho riesgo en el último año en la misma entidad.\nExisten auditorías/estudios que identifican importantes vulnerabilidades en los procedimientos organizativos o medios técnicos vinculados con dicho riesgo.\nSi hay constancia de una materialización de dicho riesgo en el último año en alguna entidad.\nExisten estudios que determinan que la probabilidad podría ser alta.\nExisten auditorías/estudios que identifican posibles vulnerabilidades en los procedimientos organizativos o medios técnicos vinculados con dicho riesgo.\nLos elementos vinculados con los factores de riesgo se han implementado con tecnologías o procedimientos organizativos no maduros, sin seguir normas de calidad, sin estar certificados por terceros independientes.\nSi hay constancia de una materialización de dicho riesgo en los últimos 10 años en alguna entidad.\nSi no hay constancia de materialización de dicho riesgo en ningún caso.\nTabla 16. Criterios para determinar la probabilidad de materialización de un factor de riesgo\nPara evaluar correctamente la tabla anterior es importante:\nJustificar que se conoce el estado de los elementos que implementan el tratamiento.\nTener acceso a los catálogos actualizados de vulnerabilidades existentes en el mercado.\nConsultar históricos de incidentes (p. ej. los informes publicados por la AEPD en el microsite brechas de datos personales).\nCuando existan dos o más indicios que apunten a un determinado nivel de probabilidad, hablaremos de un coeficiente de probabilidad acumulado, dando lugar a una tasa de probabilidad mayor a la inicialmente estimada.\nC. Lista de factores de riesgo identificados en la normativa\nEn esta lista se realiza una compilación de los factores de riesgo identificados, agrupados por categorías, determinando un nivel de riesgo mínimo para cada una de ellas, las categorías son las siguientes:\nOperaciones relacionadas con los fines de tratamiento\nDerivados del fin declarado del tratamiento y otros fines vinculados al propósito principal.\nRelacionados con el ámbito del tratamiento que se derivan de los datos recogidos, procesados o inferidos en el tratamiento.\nExtensión y alcance del tratamiento\nRelacionados con el ámbito del tratamiento relativos al número de sujetos afectados, la diversidad de datos o aspectos tratados, la duración en el tiempo, el volumen de datos, la extensión geográfica, la exhaustividad sobre la persona, la frecuencia de recogida, etc.\nRelacionados con el ámbito del tratamiento relativos a la categoría de interesados, como empleados, menores, mayores, personas en situación de vulnerabilidad, víctimas, discapacitados, etc.\nFactores técnicos del tratamiento\nDerivados de la naturaleza del tratamiento al implementarse con determinadas características técnicas o tecnologías.\nDerivados de la naturaleza del tratamiento al recogerse o generarse datos de forma específica.\nDerivados del contexto del tratamiento al poder generarse consecuencias no contempladas en los propósitos originales previstos del tratamiento.\nCategoría del responsable/encargado\nDerivados del contexto específico del sector de actividad, modelo de negocio o tipo de entidad.\nDerivados del contexto en el que se realizan las comunicaciones de datos a terceros en el marco del tratamiento.\nDerivados de la posible materialización de brechas de seguridad sobre los datos personales.\nTabla 17. Categorías de factores de riesgo identificados en el RGPD o en su desarrollo\nEl nivel de riesgo, determinado para cada factor de riesgo de forma aislada, agrupado por categorías, es el siguiente:\n1. Operaciones relacionadas con los fines de tratamiento\nClasificación de individuos\nOrientación de productos/servicios a individuos o grupos\nAnálisis comportamental (evaluación y calificación de emociones, estados de ánimo, hábitos, preferencias, etc.)\nEvaluación de sujetos\nInferencia de nuevos datos personales\nObservación del puesto de trabajo\nMonitorización del puesto de trabajo\nGrabación de imágenes en ámbito laboral\nGrabación de audio en ámbito laboral\nMonitorización por medio de imágenes en ámbito laboral\nMonitorización por medio de sonido en ámbito laboral\nGeolocalización de trabajadores en ruta\nTiempo invertido en realizar tareas\nMonitorización y control de correo electrónico\nMonitorización y control de la navegación en Internet en el puesto de trabajo\nControl de uso de aplicaciones/servicios informáticos en el puesto de trabajo\nControl de uso de teléfono\nControl del acceso a de Internet\nAnálisis o evaluación de tiempos de uso de Internet\nAnálisis o evaluación de la actividad de navegación en Internet\nAnálisis o evaluación de alarmas sobre navegación a sitios específicos en Internet\nAnálisis o evaluación de alarmas sobre navegación a contenidos específicos en Internet\nVigilancia mediante imágenes\nVigilancia mediante sonidos\nVigilancia de emisiones de calor u otras\nVigilancia de transmisiones\nGestión mediante IoT\nControl mediante imágenes\nControl mediante sonidos\nControl de emisiones de calor u otras\nControl de transmisiones\nControl mediante geolocalización\nAnálisis mediante imágenes\nAnálisis mediante sonidos\nAnálisis de emisiones de calor u otras\nAnálisis mediante geolocalización\nControl de tráfico rodado\nControl de acceso al centro de trabajo\nControl de acceso a local comercial\nControl de acceso a edificios (públicos/privados)\nPerfilado de desplazamientos\nDeterminación de lugares habituales\nDeterminación de lugares frecuentes de acceso\nDatos sobre la persona inferidos de la geolocalización\nDecisiones automatizadas sin intervención humana\nTratamiento automatizado para soporte a la toma de decisiones\nInteligencia de negocio que exceda datos meramente estadísticos\nDecidir sobre o impedir el ejercicio de derechos fundamentales\nDerecho al libre acceso a cargos y funciones públicas en condiciones de igualdad\nDerecho el derecho de petición\nOtros derechos o libertades\nDecidir sobre el control del interesado de sus datos personales\nDerecho de no ser sometido a decisiones automatizadas sin intervención humana.\nDecidir sobre el acceso a un servicio\nDecidir sobre la realización o ejecución de un contrato\nDecidir sobre el acceso a servicios financieros\nEfectos jurídicos sobre las personas\nEvaluación y/o predicción de posibilidad de enfermedad/salud genéticamente.\nConservación con fines de archivo\nTabla 18. Factores de riesgo asociados a las operaciones relacionadas con los fines del tratamiento.\n2. Tipos de datos utilizados\nNotas de lectores de libros electrónicos\nInformación de aplicaciones de registro de actividades vitales\nPersonas o grupos con los que se relaciona\nGustos/preferencias de contenidos audiovisuales (televisión interactiva, plataformas de contenidos, redes sociales, …)\nCulturales (lectura, música, arte, …)\nPertenencia y actividades en asociaciones sociales y culturales\nPreferencias de consumo, hábitos, gustos, necesidades, etc. que no permitan inferir informaciones relacionadas con categorías especiales de datos\nPreferencias de consumo: categoría de comercio, tipo de establecimiento; tipo de productos; etc.\nHábitos de consumo (tarjetas de fidelización de clientes, actividad web, …)\nPreferencias de contenidos audiovisuales en diferentes medios (televisión interactiva, plataformas de contenidos, redes sociales, …)\nPreferencias de ocio (deportes, restaurantes, museos, teatros, música, etc.)\nControl de acceso al lugar de trabajo\nGrabación de imágenes del puesto de trabajo\nGrabación de audio en el puesto de trabajo\nEvaluación del trabajador por medio de imágenes capturadas de los dispositivos y pantallas del trabajador\nEvaluación del trabajador por medio de sonido\nGrabación de imágenes en zonas de acceso o en oficinas\nGrabación de audio en zonas de acceso o en oficinas.\nMonitorización de los equipos de los empleados\nInferencia del rendimiento a través de indicadores (Productividad y calidad del trabajo, Eficiencia, Formación adquirida, objetivos conseguidos)\nPatrimonio (bienes muebles/inmuebles)\nNivel de deuda (Préstamos personales, hipotecas)\nListas de solvencia\nActivos (fondos de inversión, rendimientos generados, acciones, cuentas a cobrar, rentas percibidas, etc.)\nPasivos (gastos en alimentación, vivienda, educación, salud, impuestos, pagos de créditos, tarjetas de crédito o gastos personales, etc.; o deudas u obligaciones\nInformación de acceso a servicios de monedas virtuales.\nFiabilidad de la persona\nHábitos y valores que facilitan la convivencia\nHábitos y valores que facilitan el trabajo y el estudio\nHábitos y valores que influyen en el bienestar personal, laboral y familiar\nHábitos y valores que influyen en el compromiso con las personas y con la sociedad\nQuejas sobre la persona\nRegistro de lugares habituales\nRegistro de rutinas en base a localización\nDatos muy personales no recogidos en clasificaciones anteriores*\n* Wp248: incluye las categorías especiales de datos personales (art. 9) y datos personales relativos a condenas e infracciones penales (art. 10). Por ejemplo, un hospital general que guarda historiales médicos de pacientes o un investigador privado que guarda datos de delincuentes.\nTambién puede considerarse que algunas categorías de datos aumentan el posible riesgo para los derechos y libertades de las personas porque están vinculados a hogares y actividades privadas (como comunicaciones electrónicas cuya confidencialidad debe ser protegida), porque afectan al ejercicio de un derecho fundamental (como datos de localización cuya recogida compromete la libertad de circulación) o porque su violación implica claramente graves repercusiones en la vida cotidiana del interesado (como datos financieros que podrían usarse para cometer fraude en los pagos).\nEn este sentido, puede resultar relevante que los datos ya se hayan hecho públicos por el interesado o por terceras personas. El hecho de que los datos personales sean de acceso público puede considerarse un factor en la evaluación si estaba previsto que estos se usaran para ciertos fines. Este criterio también puede incluir datos tales como documentos personales, correos electrónicos, diarios, notas de lectores de libros electrónicos equipados con opciones para tomar notas e información muy personal incluida en aplicaciones de registro de actividades vitales.\nInformes de baja laboral por motivos de salud para el Servicio de Prevención de Riesgos Laborales\nDatos relativos a salud física\nDatos relativos a salud mental\nDatos relativos a prestación de servicios de atención sanitaria\nDatos de salud de aplicaciones de eHealth\nDocumentos relativos a procesos asistenciales del paciente (incluida identificación de médicos y demás profesionales que han intervenido\nCualquier información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente\nVenas de la palma de la mano\nDescriptores corporales de cualquier índole\nCategorías especiales de datos o que permitan inferirlos\nDatos relativos a las orientaciones sexuales\nCategorías especiales de datos seudonimizados\nDatos de tráfico de las comunicaciones electrónicas\nIdentificación de emisor y/o receptor en las comunicaciones\nDatos en conexiones a internet: localización; características software y hardware del dispositivo con el que se conecta; redes sociales o páginas en general en las que se ha logado, conexión (IP, proveedor de servicios, velocidad de descarga), …\nID de un dispositivo\nDNI, NIE, N. Pasaporte o equivalente\nN. de la Seguridad social\nUID (identificadores únicos de registro de usuarios en sitios web)\nIdentificadores únicos derivados de las características del dispositivo (p. e. acceso a la información de la batería de un dispositivo, id publicitario del dispositivo)\nIdentificadores únicos añadidos a archivos (p. e. metadatos de fotografías subidas a redes sociales)\nDatos y metadatos de las comunicaciones electrónicas y datos inferidos de las comunicaciones electrónicas\nLlamadas de teléfonos\nRegistro de páginas visitadas (p. e. historial de navegación, logs de servidores web, …)\nRegistro del tiempo que se está en cada página\nRegistro del momento de la visita a la página\nRegistro del número de conexiones\nRegistro de actividad del ratón por las diferentes partes de la página web\nTabla 19. Factores de riesgo asociados a los tipos de datos utilizados en el tratamiento.\n3. Extensión y alcance del tratamiento\nRelativos al número de sujetos afectados, la diversidad de datos o aspectos tratados, la duración en el tiempo, el volumen de datos, la extensión geográfica, la exhaustividad sobre la persona, la frecuencia de recogida, etc.\nSe produce de acuerdo con un sistema\nEs preestablecido, organizado o metódico\nTiene lugar como parte de un plan general de recogida de datos\nEs llevado a cabo como parte de una estrategia\nExhaustivo sobre las personas\nSe recogen y tratan gran variedad de elementos distintos\nMúltiples ámbitos de su vida\nSe cubren distintos aspectos de la personalidad\nInvolucra a gran número de sujetos\nEl número de interesados afectado es elevado en números absolutos\nEl número de interesados afectado es elevado en relación con la población correspondiente\nEl número de interesados es relevante en relación con la extensión geográfica\nEl volumen de datos tratados es muy elevado\nLa duración del tratamiento es elevada\nLa permanencia del tratamiento es elevada\nLa actividad de tratamiento tiene un gran alcance geográfico\nNivel regional, nacional o supranacional\nTratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital\nTratamiento de datos de desplazamiento de personas físicas que utilizan el sistema de\ntransporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte)\nTratamiento de datos de geolocalización en tiempo real de clientes de una cadena de comida rápida internacional con fines estadísticos por parte de un encargado del tratamiento especializado en la prestación de estos servicios\nTratamiento de datos de clientes en el desarrollo normal de la actividad de una empresa de seguros o un banco\nTratamiento de datos personales para publicidad basada en el comportamiento por parte de un motor de búsqueda\nTratamiento de datos (contenido, tráfico, ubicación) por parte de proveedores de telefonía o de servicios de Internet\nRecopilación excesiva de datos con relación al fin del tratamiento\nTabla 20. Factores de riesgo asociados a la extensión y alcance del tratamiento\n4. Categorías de interesados\nMenores dependientes de sujetos vulnerables\nPersonas bajo guardia y custodia de víctimas de violencia de género\nMayores con algún grado de discapacidad\nPersonas que acceden a servicios sociales\nSujetos en riesgo de exclusión social\nExiste un desequilibrio entre la posición del interesado y del responsable\nTabla 21. Factores de riesgo asociados a la categoría de interesados\n5. Factores técnicos del tratamiento\nSistemas de registro de localización\nUso innovador o nuevas soluciones organizativas\nUso innovador de tecnologías consolidadas, por ejemplo:\nTecnologías en las que no se ha evaluado el impacto en la privacidad\nTecnologías utilizadas a una nueva escala\nTecnologías combinadas con otras\nNuevas tecnologías, por ejemplo:\nAlto grado de fragmentación de los actores que intervienen en el desarrollo e implementación de los productos/servicios que implementan el tratamiento\nTratamientos automatizados, por ejemplo:\nTratamiento realizado mediante un proceso automático sin intervención humana\nTabla 22. Factores de riesgo asociados a los factores técnicos del tratamiento\n6. Recogida y generación de datos\nAcceso a base de datos de referencia de crédito\nAcceso a base de datos sobre fraudes\nAcceso a base de datos sobre blanqueo de capitales o financiación del terrorismo\nDatos personales obtenidos en zonas de acceso público, por ejemplo:\nRecogida de datos de los medios sociales públicos\nRecogida de datos de redes de comunicaciones.\nRecogida de datos de aplicaciones\nDatos procedentes de dos o más tratamientos con finalidades diferentes\nDatos procedentes de dos o más responsables distintos\nAsociación de conjuntos de datos\nCombinación de conjuntos de datos, por ejemplo:\nEnlace de registros de bases de datos de dos o más tratamientos con finalidades o responsables diferentes\nRecogida de datos por un responsable distinto al que trata y aplica excepción de información 14.5 (b, c, d)\nFalta de transparencia del momento preciso de la recogida de datos, por ejemplo:\nNuevas formas de recogida de datos con riesgos para los derechos y libertades\nTabla 23. Factores de riesgo asociados a la recogida y generación de datos\n7. Efectos colaterales del tratamiento\nEl responsable tendrá que evaluar la probabilidad de que estas amenazas se materialicen en su tratamiento, por lo que se deja la columna “Probabilidad” vacía. Una vez completada, podrá determinar el nivel de riesgo empleando, por ejemplo, la matriz de riesgo “probabilidad x impacto”.\nExcede las expectativas del interesado, por ejemplo:\nExposición excesiva del interesado\nSegmentación que excede expectativas razonables\nInferencia de intereses o de otras características en base a datos no evidentes y que derivan en un perfilado del sujeto\nPosible reversión no autorizada de la seudonimización\nPosible pérdida de control por el responsable de los datos procesados por el encargado del tratamiento\nPodría determinar la situación financiera\nPodría determinar la solvencia patrimonial\nPodría deducir información relacionada con categorías especiales de datos\nPudiera privar a los afectados de sus derechos y libertades\nPudiera impedir el control sobre sus datos personales\nPuede provocar exclusión\nPuede provocar discriminación\nPosible usurpación de identidad\nPosible daño reputacional\nPosible perjuicio económico significativo\nPosible perjuicio moral significativo\nPosible perjuicio social significativo\nPosible pérdida de confidencialidad de datos sujetos al secreto profesional\nPodría impedir el ejercicio de un derecho\nPodría impedir el acceso a un servicio\nPodría impedir el acceso a un contrato\nPodría recoger datos personales distintos de los usuarios de servicio, por ejemplo:\nPosible manipulación de las personas, por ejemplo:\nInfluir en el comportamiento y decisiones de los individuos\nSocavar su autonomía y libertad individual\nFocalización que afecta al acceso a información plural\nPosibilidad de autocensura\nPosibilidad de provocar un cambio cultural para claudicar derechos y libertades\nUsos imprevistos o no deseados que pudieran afectar a derechos fundamentales\nTabla 24. Factores de riesgo asociados a los efectos colaterales del tratamiento\n8. Categoría del responsable/encargado\nFactores de riesgo que se derivan del contexto específico del sector de actividad, modelo de negocio o tipo de entidad.\nEntidad de evaluación de información crediticia\nEntidad de evaluación de fraude\nTabla 25. Factores de riesgo asociados a categoría de responsable/encargado\nTransferencia habitual a estados u organizaciones en otros países sin un adecuado nivel de protección\nFalta de trasparencia de los actores involucrados en el tratamiento, por ejemplo:\nAlgunos tipos de redes sociales\nTipos de redes de marketing digital\nTipos de tratamientos basados en blockchain\nTipos de IA de aprendizaje continuo remoto\nDifusión libre de identificadores únicos, por ejemplo:\nTabla 26. Factores de riesgo asociados a las comunicaciones de datos\nD. Riesgo derivado de brechas de datos personales\nEn la práctica, el proceso de evaluación del nivel de riesgo no puede llevarse a cabo sin tener en cuenta las posibles consecuencias de las brechas de datos personales sobre los interesados.\nEn la identificación y análisis de factores de riesgo, es necesario determinar los perjuicios que puede tener la materialización de brechas de datos personales en sus distintas dimensiones.\n1. Análisis básico\nUn análisis básico para determinar el nivel de riesgo sería considerar el tratamiento a alto nivel, sin entrar en el detalle de los activos que implementan el tratamiento de la información y, a partir de ahí, evaluar el impacto que produciría una brecha de datos personales en cada una de las siguientes dimensiones:\nFallos en las garantías de privacidad\nErrores en las operaciones técnicas del tratamiento\nPara realizar el análisis, se pueden plantear los distintos escenarios de materialización de una brecha de datos personales de cara a determinar que impactos se podrían producir en los interesados. Para ello, y en cada uno de los escenarios, se podría completar la siguiente tabla:\nDescripción del tipo de brecha\nRelación de datos comprometidos en la brecha\nDetallar que perjuicios se podrían producir al interesado en sus derechos y libertades, y en general a sus intereses\nTambién definiendo la extensión en personas afectadas.\nTabla 27. Descripción de un escenario de brechas de datos personales\nA partir de los perjuicios que se provocan a los interesados, es posible determinar el impacto. Por ejemplo, si estimamos que una brecha de confidencialidad afecta de forma irreversible a derechos constitucionales, determinaríamos que el impacto es máximo.\nImpacto para los derechos y libertades\n? Máximo ? Alto ? Medio ? Bajo\nO Máximo O Alto O Medio O Bajo\nBrechas en medidas y garantías técnicas y organizativas de protección de datos\nErrores en las operaciones técnicas de tratamiento de datos\nTabla 28. Recopilación de nivel de impacto para casos de brechas de datos personales\nA su vez, es necesario determinar la probabilidad de que dichas brechas se materialicen y obtener el siguiente resultado para cada dimensión:\nProbabilidad de materialización\nO Máximo O Alto O Medio O Improbable\nMáximo O Alto O Medio O Improbable\nErrores en los sistemas de tratamiento de datos\nTabla 29. Recopilación de probabilidad de materialización de brechas de datos personales\nEn el análisis de probabilidad habrá que considerar si el tratamiento tiene una expectativa de operatividad a corto, medio o largo plazo, pues hay que ser consciente, como ya se ha indicado, que la probabilidad de materialización aumentará con el tiempo. Por ejemplo:\nEvolución de la Probabilidad\nTabla 30. Evolución de la probabilidad de materialización de una brecha en el tiempo\nEl nivel de riesgo para cada dimensión de la brecha se evaluaría con la siguiente tabla para cada dimensión:\n(Confidencialidad, Integridad, Disponibilidad, Autenticación, Trazabilidad, Resiliencia, Fallos en las garantías de privacidad, Errores en las operaciones técnicas del tratamiento)\nTabla 31. Matriz Probabilidad x Impacto para determinar el nivel de riesgo de una brecha de datos personales\n2. Tratamiento de grandes conjuntos de datos\nSerá necesario analizar el impacto y las probabilidades de que las amenazas se materialicen sobre distintos conjuntos de datos de diferentes formas:\nSobre un conjunto pequeño de datos, o incluso de un único individuo.\nSobre un volumen masivo, o incluso el conjunto total, de los datos.\nA priori, parecería menos probable una brecha que afecte a una gran extensión de datos e interesados que una brecha que afecte a pocos datos o pocos interesados.\nBrecha de poca extensión\nBrecha de gran extensión\nTabla 32. Posible relación entre impacto y probabilidad en brechas en función del volumen de datos\nPero dicha presunción debería ser confirmada mediante un análisis basado en evidencias y determinar si las variaciones son del mismo orden de magnitud, de forma que un incremento en el impacto se compensaría con la disminución en el mismo grado de la probabilidad.\n3. Análisis de los activos identificados en el tratamiento\nSe debería realizar una tabla para cada dimensión y se incluiría el conjunto de activos identificados en la descripción del tratamiento. A partir de ahí, se determinaría, para cada activo, si es posible la ocurrencia de una brecha en la dimensión.\nConfidencialidad, Integridad, Disponibilidad, Autenticación, Trazabilidad, Resiliencia, Fallos en las garantías de privacidad, Errores en las operaciones técnicas del tratamiento\nNivel de impacto en función de cómo una pérdida total o parcial del activo en la dimensión pudiera afectar a los derechos y libertades de los interesados\nTabla 33. Análisis de los activos implicados en el tratamiento\nEl nivel de riesgo para cada dimensión se podría determinar por el peor caso de los pares (Impacto, Probabilidad). Además, este tipo de análisis permitiría identificar sobre qué activos realizar el mayor esfuerzo en implementación de medidas y garantías para reducir ese nivel de riesgo.\nE. Factores de riesgo no explícitos en la normativa\nLos factores de riesgo identificados en el apartado “C” de este capítulo son, exclusivamente, aquellos identificados explícitamente en el RGPD y en su desarrollo.\nA continuación, se muestra una lista de otros posibles factores de riesgo, sin intención de ser exhaustiva, sino como ejemplo de que podrían existir otros factores en tratamientos específicos. El propósito de esta lista es de servir de ayuda para la reflexión de responsables y encargados:\nContexto interno de la organización\nFalta de madurez en la gobernanza y procesos de la organización\nCrisis interna de la organización\nExistencia de otros tratamientos de alto riesgo en la organización\nActuar como encargado de numerosos (cientos o miles) de responsables\nOperaciones relacionadas con los fines\nSe produce un contacto frecuente y reiterado con los afectados de manera que pueda resultar intrusivo para la intimidad del interesado\nExista una probabilidad real de que, en el futuro, se vayan a tratar los datos para finalidades distintas de las que se previeron en el momento de recabarlos, en particular, si estas finalidades son más intrusivas o exceden las expectativas de los afectados\nMoldeado o presentación de la realidad digital en función de un perfilado\nNudging o refuerzo positivo para influir en el comportamiento, explotando sesgos cognitivos o debilidades psicológicas\nEl tratamiento involucra a un elevado número de intervinientes y/u organizaciones pudiendo representar un riesgo de pérdida de control de los datos personales\nInternet de los cuerpos/Wearables\nCategoría de responsable/encargado (con relación, generalmente, a los procesos que no sean de soporte)\nOrganismos públicos y Administraciones Públicas\nCentros docentes y de educación\nTasas de falsos negativos\nPosible inferencia de categorías especiales de datos a partir de la información acumulada del usuario\nAfecta o puede afectar al interés superior del menor\nDiscriminación en la oferta de opciones, productos o servicios a causa del perfilado del usuario\nLimitación de la libertad de autonomía\nAspectos culturales que afectan a la percepción de intrusión o a la interpretación de los datos\nTransferencia puntual a estados u organizaciones en otros países sin un adecuado nivel de protección\nPrevistos en códigos de conducta a los que la entidad está adherida\nPrevistos en los esquemas de certificación\nCualquier otro factor de riesgo\nTabla 34. Ejemplos de otros posibles factores de riesgo\nF. Análisis de un alto impacto\nSe debería realizar un análisis de alto impacto en los casos en los que haya tratamientos masivos de datos de la población.\nAlgunos tratamientos con dichas características se podrían encontrar, por ejemplo, en:\nEntidades de telecomunicaciones\nGrandes sistemas de servicios sanitarios\nProveedores de servicios de Internet o Cloud\nOtros de la misma relevancia\nEn esos supuestos, sería necesario evaluar el riesgo relativo asociado a la materialización de los siguientes eventos:\nQuiebras del Estado de Derecho\nAlteración radical de las garantías jurídicas\nTabla 35. Ejemplos de casos de alto impacto\nSe espera que la probabilidad de materialización de estos eventos sea mínima, pero nunca se puede considerar de nivel cero o imposible, por lo que es preciso determinar el nivel de riesgo para este tipo de situaciones.\nLa evaluación del nivel de riesgo total de un tratamiento se obtiene a partir de los niveles de riesgo de cada uno de los factores de riesgo identificados. La interdependencia de los distintos factores de riesgo podría elevar el nivel de riesgo por encima del peor caso de cada factor de riesgo tomado individualmente.\nEl objetivo es tanto para determinar la obligatoriedad/necesidad de realizar una EIPD como para determinar el nivel concreto de riesgo del tratamiento de cara a implementar las medidas y garantías que resulten adecuadas.\nCuando hay distintos factores de riesgo, es necesario interpretar cómo dichos factores, considerados de forma independiente, podrían interactuar entre sí para incrementar el nivel de riesgo del tratamiento (factor de riesgo acumulado), mediante el análisis de sus dependencias y efectos combinados o las interacciones mutuas que existan entre ellos.\nSe pueden utilizar distintas metodologías. En cuanto a la metodología concreta para determinar el nivel de riesgo del tratamiento para los derechos y libertades de los individuos, se recomienda que esté integrada dentro de la metodología general de la organización.\nPor definición, en cualquier metodología, el nivel de riesgo del tratamiento no será inferior al nivel del riesgo de mayor valor que haya alcanzado un factor de riesgo identificado en ese tratamiento de forma individual.\nA. Aproximación simplificada\nSe establece una formula sencilla para evaluar la acumulación de factores de riesgos:\nEl valor del nivel, para cada riesgo identificado, se cuantifica de la siguiente forma:\nMuy Alto: 0,9\nSi para un conjunto de factores riesgos identificados (FR1, FR2, FR3… FRn) se han evaluado los siguientes niveles de riesgo (NR1, NR2, NR3… NRn), el nivel de riesgo del tratamiento, NRT del tratamiento se podría calcular como:\nNRTa = (NR1 + NR2) – (NR1 * NR2)\nNRTb = (NRTa+ NR3) – (NRTa * NR3)\nNRT = (NRTn + NRn) – (NRTn * NRn)\nFigura 27. Una forma simplificada de calcular el riesgo del tratamiento\nEl resultado final del Nivel de riesgo se podría interpretar de la siguiente forma:\nBajo: menor de 0,4\nMedio: de 0,4 a menor de 0,6\nAlto: de 0,6 a menor de 0,9\nMuy Alto: mayor o igual 0,9\nB. Aproximación mediante análisis de dependencias\nLos factores de riesgo pueden tener relaciones entre sí, tanto con otros factores de riesgo dentro del tratamiento como con otros tratamientos que se ejecutan en la misma entidad, que tengan efectos aditivos, multiplicativos o incluso exponenciales.\nEl análisis de dichas dependencias se utiliza en el análisis de riesgo de seguridad con relación a los activos y está estudiada de forma restringida a este campo, aunque se puede ampliar a todos los factores de riesgo en protección de datos.\nEn este caso, los activos son, con frecuencia, recursos compartidos entre varios tratamientos o procesos de la organización, por lo que podríamos hablar del factor del riesgo repercutido como el riesgo heredado por unos activos de aquellos otros activos de los que dependen, en particular, el resultado de acumular el riesgo heredado entre activos en términos de probabilidad e impacto. En este sentido, será necesario, cuando proceda, llevar a cabo el análisis de dependencias de los activos y asignar el valor del riesgo repercutido al activo de superior nivel en función de los riesgos de los activos de un nivel inferior de los que depende.\nA continuación, se describe un listado no exhaustivo ni obligatorio de medidas y garantías, denominadas controles, que podrían adoptarse para gestionar el riesgo para los derechos y libertades de los interesados en las siguientes dimensiones:\nEl concepto y diseño del tratamiento\nLa gobernanza y las políticas de protección de datos\nEl responsable o encargado han de gestionar el riesgo afrontando las peculiaridades concretas de su tratamiento.\nA. Medidas sobre el concepto y diseño del tratamiento\nMedidas sobre la esencia del tratamiento tal y como está concebido y diseñado. Entre las posibles medidas o garantías que se podrían adoptar estarían:\nEn cuanto a la naturaleza\nCambiar, reordenar o reorganizar las fases del tratamiento.\nEliminar alguna fase del tratamiento.\nAislar y segregar fases del tratamiento entre sí para que traten datos de una forma más limitada.\nPor ejemplo, haciendo que algunas fases no traten datos personales (anonimizados) o recurriendo a su seudonimización.\nRevisar los procedimientos de tratamiento de datos.\nCambio de las elecciones técnicas para implementar las operaciones del tratamiento por tecnologías menos invasivas y/o más maduras.\nCambio, en el sentido anterior, por tecnologías con mayor fiabilidad desde el punto de vista de protección de datos recurriendo, por ejemplo, al empleo de PETs (Privacy Enhanced Technologies).\nReemplazar tratamientos automatizados por tratamientos manuales que incorporen procedimientos de supervisión y control.\nLlevar a cabo la supervisión humana de las decisiones automatizadas.\nUtilizar personal especialmente cualificado en determinadas fases del tratamiento, especialmente en su supervisión.\nRediseñar los procedimientos de recogida, enriquecimiento o generación de datos personales.\nReorganizar los espacios físicos donde se ejecuta el tratamiento.\nRediseñar la orientación del trabajo en local, online o teletrabajo.\nVerificar la posibilidad de implementar medios alternativos de tratamiento: automático/manual, opciones de automatización, …\nLimitar el acceso a los datos personales que es necesario que estén bajo la gestión de encargados.\nEn cuanto al ámbito\nOrientar el tratamiento a un número menor de sujetos.\nOrientar el tratamiento a cubrir un menor número de ámbitos de la vida de los sujetos.\nOrientar el tratamiento a una extensión geográfica limitada.\nLimitar el número de intervinientes o participantes.\nLimitar, en la concepción del tratamiento, el tiempo en el que se tratan datos de los mismos interesados.\nLimitar el grado interacción o vinculación del tratamiento con otros tratamientos de la misma entidad.\nLimitar de la extensión del tratamiento a sujetos considerados vulnerables (ancianos, menores, personas con discapacidad, etc.)\nDefinir, dentro del tratamiento, casos de uso concretos con ámbitos disjuntos.\nDelimitar los contextos sociales o económicos en los que se aplicará el tratamiento.\nDefinir casos de uso restrictivos orientados a sectores específicos.\nSeleccionar los encargados de tratamiento para minimizar riesgos legales, sociales o políticos.\nLimitar vínculos o relaciones con tratamientos de otros responsables.\nPor ejemplo, cuando los tratamientos de seguimiento de clientes en centros comerciales son soportados por un mismo servicio que da soporte a distintos responsables con una tecnología que permite vincular la actividad de una misma persona.\nEn cuanto a los fines\nLimitar o redefinir los fines del tratamiento.\nEliminar fines secundarios en el tratamiento.\nDefinir, dentro del tratamiento, casos de uso concretos con fines independientes.\nTabla 36. Ejemplos de posibles medidas sobre el concepto del tratamiento\nB. Medidas de gobernanza y las políticas de protección de datos\nEstos controles están a caballo entre medidas específicas diseñadas para el tratamiento y las medidas establecidas como parte de la gobernanza de la organización.\nEn cuanto al marco de gobernanza\nExiste un mandato y compromiso concreto de la dirección de la organización con relación a la gestión del riesgo para los derechos y libertades.\nEstá integrada la gestión del riesgo para los derechos y libertades de los interesados en los procesos de gestión de la organización.\nExiste una referencia explícita a la política de gestión del riesgo para los derechos y libertades en el marco de gestión del riesgo de la organización.\nEstán diferenciadas las medidas que implementan las políticas de gestión de riesgos para los derechos y libertades de las políticas de gestión del riesgo de cumplimiento, legal o del riesgo de responsabilidad civil y penal.\nEstán definidos los roles y asignación de responsabilidades y recursos necesarios para garantizar la protección de datos en la organización.\nExisten los recursos necesarios para garantizar la protección de datos.\nEstá procedimentado el ciclo de mejora continua que permita garantizar la efectividad y adecuación de las políticas de protección de datos a la naturaleza, el contexto, el alcance y los objetivos de los distintos tratamientos a lo largo de su ciclo de vida.\nExisten indicadores tangibles sobre la implementación efectiva de las políticas de protección de datos.\nEn cuanto a la asesoría en materia de protección de datos\nSe ha realizado el nombramiento del DPD o la definición del órgano colegiado que ejercerá las funciones del DPD en la organización (artículos 37, 38 y 39 RGPD) aun no siendo obligatorio.\nCuando el nombramiento de un DPD es obligatorio, este nombramiento no está sujeto al resultado o la necesidad derivada de la gestión del riesgo.\nEstá establecida la implicación del DPD en los procedimientos de decisión y definición de los tratamientos.\nEstán definidos los canales internos para la comunicación con el DPD, la asesoría en protección de datos y/o los responsables de la gestión de los riesgos para los derechos y libertades.\nSe han implementado acciones para que los integrantes de la organización conozcan el rol del DPD, la asesoría en protección de datos y/o el responsable de la gestión de los riesgos para los derechos y libertades sus funciones y los canales para comunicarse con él.\nLas obligaciones de asesoría y supervisión (art. 39.1.a y b) del DPD o de la asesoría en protección de datos se extienden al desarrollo, mantenimiento y supervisión de las políticas de protección de datos.\nEn cuanto a las políticas de protección de datos integradas en los procedimientos\nEstán incluidas, en los procedimientos de concepción, diseño e implementación de nuevos tratamientos, estrategias de responsabilidad activa para la protección de datos: la gestión del riesgo para los derechos y libertades, la protección de datos desde el diseño y por defecto, la transparencia del tratamiento y la seguridad desde el diseño y por defecto.\nEstán incluidas en los procedimientos de adquisición de productos, sistemas o servicios que van a implementar operaciones dentro de la actividad de tratamiento el requerir información y garantías* para asegurar y poder demostrar que dicho tratamiento cumple con el RGPD.\n* Las garantías pueden ser de diverso tipo: auditorias independientes, certificaciones u otras; tanto a nivel técnico, cumplimiento, procedimiento u otros.\nEstán designados los puntos de contacto dentro de la organización para cada tratamiento de datos personales.\nLos canales de denuncia implementan la gestión de abusos en temas de protección de datos.\nLa protección de datos está integrada en los procedimientos de trabajo en local, remoto y teletrabajo.\nExiste una política BYOD en la que se integran los requisitos de protección de datos.\nEn la política del tratamiento se establecen condiciones para verificación y tratamiento de la gestión del riesgo para los derechos y libertades.\nEn la política de gestión del tratamiento se establecen cláusulas de caducidad en las condiciones del tratamiento.\nCon relación a la atención a los interesados*\n* Los interesados no son solo los clientes, sino también los empleados, otras personas físicas con las que la entidad tiene relación y cualquier otra persona afectada indirectamente por el tratamiento.\nEn la medida que puedan resultar en una disminución del riesgo, ofrecer procedimientos para la atención de derechos que vayan más allá de los mínimos establecidos en el Capítulo III del RGPD.\nEn la medida que puedan resultar en una disminución del riesgo, disponer de políticas de transparencia que vayan más allá de los mínimos establecidos en el Capítulo III del RGPD y que deberán concretarse en cada tratamiento como estrategias de protección de datos desde el diseño.\nDisponer de canales de comunicación con los interesados con relación a la protección de su privacidad.\nExisten procedimientos de consulta a los interesados con relación a la protección de sus derechos.\nCon relación a la seguridad (tanto de la organización como de la información)\nUna referencia a la gestión del riesgo para los derechos y libertades en la política de la seguridad aplicable a los tratamientos de datos personales, así como en la política general de seguridad que fuera aplicable a la organización.\nUna integración de la protección de los derechos y libertades en el SGSI.\nUna correcta diferenciación de roles entre el DPD y los responsables TIC o de seguridad de la información.\nUna implementación de la necesaria coordinación entre el DPD y el responsable de seguridad de la organización, del sistema de información y otros en función de la entidad.\nUna clara definición del alcance de la participación del DPD en los comités de seguridad.\nRespecto de las garantías jurídicas\nEstán establecidos compromisos de confidencialidad para aquellos que tengan acceso a datos personales.\nEstablecimiento de garantías a los encargados que vayan más allá de lo establecido en el artículo 28 del RGPD.\nEstán establecidos compromisos para no llevar a cabo esfuerzos que pudieran dar lugar a la reidentificación de las personas en conjuntos de datos disociados.\nEstán habilitados instrumentos con validez jurídica que protejan los derechos y libertades de los interesados en caso de materialización de riesgos específicos.\nEstán habilitados instrumentos con validez jurídica que compensen equilibradamente a los interesados (no al responsable) de los daños a sus derechos y libertades en caso de materialización de riesgos específicos.\nEn relación con la formación y preparación del personal con relación a la protección de datos\nEstán establecidas medidas de concienciación y formación del personal implicado en la definición o concepción de nuevos tratamientos\nEstablecimiento de medidas de concienciación y formación del personal implicado en las operaciones de tratamiento de datos personales.\nEn las guías para trabajadores, según sus roles específicos, está incluida información con relación a las obligaciones relativas a la protección de datos.\nEn las guías para trabajadores, según sus roles específicos, está incluida información con relación a cómo actuar ante reclamaciones de derechos.\nEn las guías para trabajadores, según sus roles específicos, está incluida información con relación a cómo actuar ante una brecha de datos personales.\nEn las guías para trabajadores, según sus roles específicos, está incluida información con relación a sus derechos y canales de denuncia de privacidad.\nRespecto a la relación responsable-encargado\nEstá incluida en los modelos de contratos la referencia a las cláusulas contractuales (CC) aplicables en las relaciones responsable-encargado.\nEn los procedimientos de contratación de encargados están incluidas las obligaciones del artículo 28 del RGPD.\nEn los procedimientos de contratación de encargados están detallados procedimientos de evaluación del encargado que garantizarán que se elegirá únicamente al que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas en función del riesgo del tratamiento.\nLas CC se extenderán más allá de los requisitos del artículo 28 del RGPD para la adecuada gestión del riesgo del tratamiento.\nLas CC incluyen elementos que pueden ayudar al encargado a comprender los riesgos para los derechos y libertades de los datos derivados del tratamiento.\nLas CC contemplan las medidas de seguridad aplicables al tratamiento.\nLas CC contemplan la obligación del encargado de tener autorización del responsable antes de realizar cualquier cambio en las medidas de seguridad.\nLas CC contemplan la obligación del responsable de revisar dichas medidas periódicamente en función del riesgo.\nEstán incluidos en los procedimientos de contratación diligencias adicionales para garantizar el cumplimiento de la normativa de datos personales.\nEl responsable realiza auditorías a los encargados con relación al tratamiento.\nTerceros independientes auditan al encargado con relación al tratamiento.\nEn cuanto a las comunicaciones de datos\nExisten mecanismos para tener trazabilidad de las comunicaciones de datos personales realizadas por el responsable y encargado a encargados, subencargados y terceros.\nEstá procedimentado la definición de mecanismos, garantías y límites aplicables a las transferencias internacionales de datos para cada tratamiento.\nEstá procedimentado la referencia a las normas corporativas vinculantes que se aplicasen a la organización, con el detalle de aquellos ámbitos y tratamientos específicos aplicables, así como sus límites.\nDentro de la política de gestión documental\nExiste una definición de documentos que permiten al responsable demostrar el cumplimiento\nEstá incluida la gestión del riesgo para los derechos y libertades.\nExiste trazabilidad y control de versiones de la documentación de gestión del riesgo para los derechos y libertades que se vaya generando.\nEn relación con los procedimientos para la gestión de brechas de datos personales e incidentes en el tratamiento\nEstán definidos procedimientos para detectar brechas, incidentes o errores en los tratamientos de datos personales.\nEl papel del DPD está claramente definido en los procedimientos relativos a la gestión de brechas de datos personales, garantizando, al menos, que cumple con 39.1.\nExisten procedimientos definidos para reaccionar ágilmente, a nivel de organización, ante brechas, incidentes o errores en los tratamientos de datos personales.\nEstán definidos canales de comunicación, información y consulta sobre brechas de datos e incidentes con las partes implicadas en los tratamientos de datos personales.\nEstán definidas medidas para identificar, en las comunicaciones de los propios interesados al responsable/encargado, información sobre brechas, incidencias o errores.\nExisten procedimientos para la notificación de brechas de datos personales a la Autoridad de control.\nExisten procedimientos para la comunicación a los interesados de brechas de datos personales.\nSe han planteado escenarios concretos de potenciales brechas, errores o incidentes de especial gravedad, y se ha definido la forma de gestionarlos, específicamente, para proteger los derechos y libertades de los interesados.\nExiste conexión entre los procedimientos para la gestión de brechas e incidentes en el tratamiento y el proceso de gestión riesgos, incluyendo la gestión de los controles asociados.\nEn cuanto a la profundidad de la gestión del riesgo\nRealizar una EIPD aun no siendo esta obligatoria.\nExisten procedimientos internos que hacen necesaria la EIPD con independencia de que exista o no obligación legal de llevarla a cabo.\nRespecto a las actividades de seguimiento y verificación de las medidas de gobernanza\nEstán implementados planes de auditorías internas o externas que evalúen el cumplimento de las políticas de protección de datos.\nEstán establecidas políticas de certificación en protección de datos.\nEstán identificados, en su caso, los mecanismos de adhesión a códigos de conducta.\nEstán implantados mecanismos, normas y procedimientos, para detectar cambios en la naturaleza, ámbito, contexto o fines del tratamiento.\nEstán implementados mecanismos de decisión para que, en función de los cambios anteriores o incidencias detectadas, se realice un nuevo ciclo de revisión del riesgo.\nTabla 37. Ejemplos de posibles medidas de gobernanza y políticas de protección de datos\nC. Medidas de protección de datos desde el diseño\nLos objetivos de protección de datos personales desde el diseño que deben ser tenidos en cuenta para productos, aplicaciones y servicios que se desarrollen son seis. Por un lado, están los tres orientados a proteger la seguridad de la información: confidencialidad, integridad y disponibilidad. Por otro lado, están los específicos de desvinculación, transparencia y control.\nOBJETIVOS DE LA PROTECCIÓN DE LA PRIVACIDAD\nTabla 38. Objetivos de protección de la privacidad desde el diseño\nLa Guía de Privacidad desde el Diseño contiene un desarrollo de los seis objetivos. A continuación, se expone un breve resumen que condensa la información de los relacionados con desvinculación, transparencia y control.\nESTRATEGIAS ORIENTADAS A DATOS\nControles y patrones de diseño\nEvitar el tratamiento de datos personales innecesarios\nSeleccionar: elegir únicamente la muestra de individuos relevante y los atributos necesarios.\nExcluir: excluir de antemano los sujetos y atributos que resulten irrelevantes para el tratamiento realizado.\nPodar: eliminar parcialmente los datos personales tan pronto dejen de ser necesarios.\nEliminar: suprimir por completo los datos personales tan pronto dejen de ser relevantes.\nBloqueo de correlación en sistemas de gestión de identidad federada\nDepuración de entrada de datos y metadatos\nLimitar la exposición de los datos personales para garantizar la protección de los objetivos de confidencialidad y desvinculación\nRestringir: gestionar de forma restrictiva el acceso a los datos personales.\nOfuscar: hacer que los datos personales sean ininteligibles para aquellos que no estén autorizados a su consulta.\nDisociar: eliminar la vinculación entre conjuntos de datos que se han de mantener independientes, así como los atributos identificativos de los registros de datos para evitar correlaciones entre ellos.\nAgregar: agrupar la información relativa a varios sujetos utilizando técnicas de generalización y supresión.\nAnonimización selectiva en el acceso a grupos de datos personales\nRedes de mezcla\nAtributos basados en credenciales\nModelos de conocimiento cero (ZKP)\nMantener separados los conjuntos de datos personales utilizándolos en tratamientos independientes\nAislar: recoger y almacenar los datos personales en diferentes bases de datos o aplicaciones que sean independientes desde el punto de vista lógico o incluso que se ejecuten sobre sistemas físicos distintos, adoptando medidas adicionales para garantizar esa desvinculación.\nOtra forma de aislar en el tiempo es la renovación periódica de los identificadores únicos que señalan a un individuo.\nDistribuir: diseminar la recogida y el tratamiento de los diferentes subconjuntos de datos personales correspondientes a diferentes tipos de tratamiento sobre unidades de tramitación y gestión que, dentro de la organización, sean físicamente independientes y utilicen sistemas y aplicaciones distintos, intentando implementar arquitecturas descentralizadas y distribuidas con procesamiento local de la información siempre que sea posible en lugar de soluciones centralizadas con accesos unificados y que dependan de una misma unidad de control.\nListas negras anónimas\nSeparación física y lógica\nTécnicas de desvinculación de datos\nLimitar al máximo el nivel de detalle utilizado en los tratamientos de datos personales\nSumarizar: generalizar los valores de los atributos utilizando intervalos o rangos de valores, en lugar de utilizar el valor concreto del campo.\nAgrupar: agregar la información de un grupo de registros en categorías en lugar de utilizar la información detallada de cada uno de los sujetos que pertenecen al grupo, trabajando con los valores medios o generales.\nPerturbar: utilizar valores aproximados o modificar el dato real mediante el empleo de algún tipo de ruido aleatorio en lugar de trabajar con el valor exacto del dato personal\nAgregación en el tiempo\nOfuscación de medidas mediante agregación de ruido\nESTRATEGIAS ORIENTADAS A PROCESOS\nINFORMAR Proporcionar información extendida del tratamiento cuando los mecanismos adicionales implementados permitan disminuir los riesgos\nFacilitar: proporcionar a los interesados detalles adicionales en relación con el tratamiento.\nExplicar: facilitar la información relativa a los tratamientos de forma concisa, transparente, inteligible y de fácil acceso utilizando un lenguaje claro y sencillo.\nNotificar: comunicar a los interesados particularidades, incidencias o cambios en la naturaleza, ámbito, contexto, fines del tratamiento o en sus riesgos, más allá de las obligaciones establecidas en el RGPD.\nIconos de privacidad.\nAlertas de tratamiento\nPublicar información sobre el rendimiento del tratamiento\nPublicar detalles sobre las limitaciones y consecuencias del tratamiento\nPublicar información relativa a los análisis de riesgos\nProporcionar a los interesados un control extendido sobre sus datos personales permitiéndoles gestionar el riesgo\nConsentir: mecanismos más garantistas para la recogida y retirada del consentimiento.\nAlertar: permitir al usuario determinar alertas relativas al tratamiento de sus datos personales.\nElegir: proporcionar el control al usuario de la funcionalidad granulada] de aplicaciones y servicios.\nActualizar: implementar mecanismos más ágiles que faciliten a los usuarios la revisión, actualización y rectificación de los datos.\nRetirar: proporcionar mecanismos para que los usuarios puedan suprimir o solicitar el borrado de los datos personales de manera más ágil.\nPaneles de preferencias de privacidad\nTransmisión activa de presencia\nSelección de credenciales\nAplicación de las garantías procedimentales, de las políticas y las medidas de gobernanza como parte del tratamiento concreto\nDefinir: especificar políticas de protección de datos en la entidad previamente al diseño de los tratamientos y determinar cuáles son aplicables a los mismos.\nMantener: revisar la efectividad de las políticas implementadas.\nDefender: implementar mecanismos en los tratamientos que garanticen la aplicación de las políticas.\nAplicar políticas de protección de datos al ciclo de vida del tratamiento\nPoder demostrar que los tratamientos se han desarrollado de acuerdo con las políticas de la entidad\nRegistrar: documentar todas y cada una de las decisiones tomadas en el tiempo con relación al concepto, diseño e implementación del tratamiento aun cuando hayan resultado contradictorias, identificando quién las tomó, cuándo y la justificación para hacerlo. El registro debe apoyarse en mecanismos de autenticidad como la firma electrónica o sellos de tiempo.\nAuditar: revisar de forma sistemática, independiente y documentada el grado de cumplimiento de las políticas de protección de datos en el tratamiento.\nInformar: poner dicha información a disposición de la Autoridad de control, los interesados o posibles terceros como, por ejemplo, la entidad de supervisión de un código de conducta, en la medida en que proceda y que tenga por objeto la posible reducción de los riesgos.\nAuditoría del tratamiento\nRegistro y control documental del tratamiento\nTabla 39. Estrategias, descripción, tácticas, controles y patrones de protección de datos desde el diseño\nD. Medidas de seguridad para la protección de los derechos y libertades\nLas medidas de seguridad para la protección de los derechos y libertades han de entenderse en sentido amplio. Es decir, no solo cubriendo aspectos relativos, por ejemplo, a accesos no autorizados, sino otras posibles amenazas, por ejemplo, las causas naturales, los accidentes, los errores humanos y posibles errores en el funcionamiento de los tratamientos automatizados, en particular aquellos que se derivan de sistemas que infieren nuevos datos personales o toman decisiones automatizadas sobre los individuos.\n1. Tratamientos sometidos al ENS\nEn el caso de tratamientos sometidos al Esquema Nacional de Seguridad (ENS) se podría realizar la siguiente correspondencia en función del nivel de riesgo para los derechos y libertades determinado en el tratamiento:\nNivel de riesgo para los derechos y libertades\nTabla 40. Correspondencia entre el nivel de riesgo para los derechos y libertades y la categoría ENS\nEl responsable es quien, en última instancia, siempre tiene la obligación de aplicar las medidas necesarias para garantizar los derechos y libertades atendiendo a la naturaleza, el ámbito o alcance, el contexto y la finalidad de los tratamientos.\n2. Aproximación básica a la implementación de medidas de seguridad\nEn el caso de tratamientos no sometidos al cumplimiento del ENS, se tendrán que implementar las medidas necesarias para gestionar el nivel de riesgo de los activos que dan soporte al tratamiento. Guías que enumeran posibles medidas se pueden encontrar en distintos estándares internaciones, como la ISO-27002 o en la extensión para temas de protección de datos en la ISO-27701.\nComo orientación, se recomienda no implementar un nivel menor de seguridad que el criterio establecido en el Anexo II del Esquema Nacional de Seguridad, y que se traslada aquí, de forma íntegra, con las siguientes claves:\nIndica que una determinada medida de seguridad se debe aplicar a una o varias dimensiones de seguridad\nSignifica “no aplica”\nIndica que las exigencias de un nivel son iguales a las del nivel inferior\nIndican un incremento de las exigencias, graduado en función del nivel inferior de la dimensión de seguridad\nVerde: indica que una medida se aplica en sistemas de categoría básica o superior\nAmarillo: las medidas que empiezan a aplicarse en categoría media o superior\nRojo: las medidas que sólo se aplican en categoría alta\nSe ha marcado en rojo la variación respecto al listado original del ENS para reflejar la obligación marcada en los artículos 33 y 34 del RGPD de gestionar y documentar brechas de datos personales