Análisis y gestión de riesgos de los tratamientos de datos personales

• Author: Fernando Mata Leonor
• Profession: Licenciado en Derecho
• Pages: 311-332

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

RESPONSABILIDAD ACTIVA

CAPÍTULO 2.1

311

Análisis y gestión de riesgos de los

tratamientos de datos personales

2.1.1. Introducción. Marco general de la evaluación

y gestión de riesgos. Conceptos generales

Uno de los aspectos más innovadores que introduce el RGPD está

centrado en el cambio de enfoque respecto a cómo demostrar el cumpli-

miento de este. La propia “Guía del RGPD General de Protección de

Datos para Responsables de tratamiento” en su introducción ya comenta

el principio de responsabilidad proactiva como una de las dos principales

novedades.

Ya no existe un conjunto básico de medidas de seguridad estableci-

do por la propia reglamentación, como ocurría anteriormente con el R.D

1720/2007 en su título VIII “Medidas de seguridad”, sino que tanto el Res-

ponsable de tratamiento como el Encargado del tratamiento deberán, en

primera instancia, implantar las medidas técnicas y organizativas apropia-

das a n de poder demostrar que los tratamientos se realizan conforme con

el RGPD, deberán revisar periódicamente y vericar su adecuado funciona-

miento, a través de procedimientos internos/externos de auditoría, adhesión

a códigos de conducta o procesos de certicación y, por último, actualizar

las medidas estableciendo de este modo un ciclo de mejora continuo.

En este nuevo escenario, la falta de adopción de medidas preventi-

vas, incluso aun no existiendo lesión de derechos y libertades del afectado

o interesado, puede originar la imposición de una sanción al Responsable

o Encargado del tratamiento por no justicar este enfoque preventivo de

cumplimiento.

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

PRONTUARIO DEL DELEGADO DE PROTECCIÓN DE DATOS GUÍA PARA LA CERTIFICACIÓN ENAC-AEPD

FERNANDO MATA LEONOR

312

Conceptos Generales

La norma ISO especíca para la gestión del riesgo es ISO 31000:2018

cuya última revisión se ha producido en 2018 (la versión española es la

UNE ISO 31000: 2018) que es una norma transversal aplicable a la gestión

de riesgo en cualquier campo.

Alcance, contexto, criterios

El alcance, el contexto y los criterios implican denir el alcance del

proceso, y comprender los contextos externo e interno. Los contextos exter-

no e interno son el entorno en el cual la organización busca denir y lograr

sus objetivos.

Contexto externo.

El análisis del contexto externo de la organización se reere, aunque

no se limita, a:

• Factores sociales, culturales, políticos, legales, reglamentarios, tecno-

lógicos, nancieros, económicos y ambientales de ámbito internacio-

nal, nacional, regional o local;

• Criterios clave y tendencias que afectan a los objetivos de la organi-

zación;

• Valores, percepciones, relaciones, necesidades y expectativas de las

partes interesadas externas;

• Relaciones contractuales y compromisos;

• La complejidad de las dependencias de la organización en actores

externos.

Contexto Interno.

El análisis del contexto interno de la organización se reere, aunque

no se limita, a: