El análisis de riesgos permite identificar cómo los tratamientos de datos personales pueden afectar a las personas, valorar la probabilidad y gravedad de sus posibles consecuencias y establecer medidas técnicas y organizativas para reducir esos riesgos. En RGPD Málaga realizamos análisis adaptados a los tratamientos, tecnologías, proveedores y procesos reales de cada organización.
Solicitar análisis de riesgo RGPD
El Reglamento General de Protección de Datos establece un modelo de cumplimiento basado en la responsabilidad proactiva y en el riesgo. Esto significa que las organizaciones no deben limitarse a disponer de documentos o cláusulas de protección de datos, sino que deben conocer sus tratamientos, valorar los riesgos que pueden generar para las personas y adoptar medidas apropiadas para gestionarlos.
El análisis de riesgos RGPD permite realizar esa valoración de forma estructurada. Su finalidad es comprender qué puede ocurrir durante un tratamiento de datos personales, qué consecuencias podría tener para las personas afectadas, cuál es la probabilidad y gravedad de esas consecuencias y qué medidas pueden aplicarse para reducir el riesgo.
Por tanto, un análisis de riesgos no debería ser un documento genérico realizado únicamente para completar un expediente de protección de datos. Debe estar relacionado con la actividad real de la organización, sus tratamientos, sistemas, trabajadores, proveedores, instalaciones y tecnologías.
En RGPD Málaga analizamos estos elementos para que la gestión del riesgo sea coherente con la realidad de cada empresa, profesional u organización.
Un análisis de riesgos RGPD es un proceso mediante el cual se identifican y evalúan los posibles efectos negativos que un tratamiento de datos personales podría ocasionar sobre los derechos y libertades de las personas físicas.
Para hacerlo correctamente hay que estudiar, entre otros aspectos:
qué datos personales se utilizan;
para qué finalidades;
qué personas pueden verse afectadas;
cómo se obtienen los datos;
quién puede acceder a ellos;
dónde se almacenan;
qué aplicaciones y sistemas intervienen;
qué proveedores participan;
durante cuánto tiempo se conservan;
si existen transferencias internacionales;
qué amenazas o situaciones pueden afectar al tratamiento;
qué consecuencias podrían producirse;
y qué medidas y garantías existen para reducir esos riesgos.
El objetivo no consiste únicamente en identificar problemas. El análisis debe servir para tomar decisiones.
Una vez identificados los riesgos, la organización puede determinar qué medidas son necesarias, cuáles deben mejorarse y si el riesgo restante resulta compatible con el tratamiento previsto.
Una de las confusiones más frecuentes consiste en analizar únicamente los riesgos que afectan a la empresa.
Una organización puede estudiar riesgos económicos, financieros, laborales, tecnológicos, comerciales o reputacionales. Todos ellos pueden ser importantes para la gestión empresarial, pero el análisis de riesgos del RGPD se centra especialmente en los posibles efectos del tratamiento sobre los derechos y libertades de las personas.
Por ejemplo, el robo de un ordenador portátil representa una pérdida material para la empresa.
Desde el punto de vista de protección de datos, además debemos preguntarnos:
¿contenía datos personales?
¿estaba cifrado?
¿podría acceder un tercero a esos datos?
¿qué tipo de información contenía?
¿podría producirse una suplantación de identidad?
¿podría revelarse información confidencial?
¿podría perjudicarse económica o socialmente a alguna persona?
¿afecta a datos de salud u otras categorías especiales?
¿existen personas especialmente vulnerables entre los afectados?
La pérdida física del dispositivo es un riesgo para la organización. La posible exposición y utilización de los datos constituye además un riesgo para las personas afectadas.
Esta distinción resulta fundamental para realizar correctamente el análisis.
El enfoque basado en riesgos aparece en diferentes partes del RGPD y condiciona numerosas obligaciones.
El responsable debe adoptar medidas apropiadas teniendo en cuenta la naturaleza, el alcance, el contexto y las finalidades del tratamiento, así como los riesgos de diferente probabilidad y gravedad para los derechos y libertades de las personas.
Este enfoque permite evitar dos extremos.
Por una parte, aplicar las mismas medidas a cualquier organización independientemente de sus circunstancias.
Por otra, limitarse a utilizar documentos estándar sin analizar los tratamientos reales.
Una pequeña empresa que utiliza únicamente datos básicos de clientes para facturación no presenta necesariamente las mismas circunstancias que una clínica que trata historiales médicos, una plataforma que elabora perfiles de usuarios o una empresa que utiliza sistemas de inteligencia artificial para adoptar decisiones sobre personas.
Por eso las medidas deben determinarse teniendo en cuenta el tratamiento concreto y los riesgos que presenta.
Este enfoque forma parte del principio de responsabilidad proactiva : la organización debe adoptar medidas apropiadas y estar en condiciones de demostrar que sus tratamientos se realizan conforme al RGPD.
El RGPD exige que responsables y, en el ámbito que corresponda, encargados valoren los riesgos asociados a los tratamientos para poder determinar y aplicar medidas adecuadas.
No debe interpretarse esta obligación como la necesidad de utilizar un único documento, plantilla, matriz o metodología oficial para todas las empresas.
Lo que debe existir es una valoración adecuada del riesgo, proporcionada a las características de los tratamientos y suficientemente documentada para poder justificar las decisiones adoptadas.
La complejidad del análisis dependerá de cada organización.
Una actividad con tratamientos sencillos y de escaso riesgo puede requerir una valoración relativamente simple. Por el contrario, tratamientos complejos, grandes volúmenes de información, categorías especiales de datos, nuevas tecnologías, elaboración de perfiles o personas vulnerables pueden exigir un análisis mucho más profundo.
Por tanto, no existe un análisis idéntico para todas las empresas.
El análisis de riesgos está estrechamente relacionado con la responsabilidad proactiva.
El cumplimiento del RGPD no consiste únicamente en reaccionar cuando ocurre un problema. La organización debe anticiparse a los posibles efectos de sus tratamientos y adoptar medidas apropiadas antes de que los riesgos se materialicen.
Esta forma de trabajar permite responder preguntas fundamentales:
¿conocemos realmente los tratamientos que realizamos?
¿sabemos qué riesgos presentan?
¿hemos identificado a las personas que podrían verse afectadas?
¿las medidas existentes son apropiadas?
¿podemos justificar por qué utilizamos esas medidas?
¿hemos documentado las decisiones adoptadas?
El análisis se convierte así en una evidencia importante del proceso mediante el cual la organización ha aplicado el principio de responsabilidad proactiva.
El análisis de riesgos RGPD y la seguridad informática están relacionados, pero no son exactamente lo mismo.
La seguridad informática puede analizar amenazas contra sistemas, equipos, redes, aplicaciones e información.
Por ejemplo:
malware;
ransomware;
ataques de phishing;
accesos no autorizados;
robo de credenciales;
pérdida de dispositivos;
fallos de hardware;
errores de configuración;
pérdida de información;
indisponibilidad de sistemas.
Estos riesgos son relevantes para el RGPD cuando pueden afectar a datos personales.
Pero existen riesgos para la privacidad que no dependen necesariamente de un ataque informático.
Por ejemplo:
recopilar más datos de los necesarios;
conservar información durante demasiado tiempo;
utilizar datos para una finalidad diferente;
elaborar perfiles de personas;
utilizar una tecnología excesivamente invasiva;
comunicar datos a destinatarios inadecuados;
permitir accesos internos innecesarios;
tomar decisiones automatizadas con consecuencias para las personas;
proporcionar información insuficiente sobre un tratamiento.
Por eso un buen análisis RGPD debe contemplar seguridad y privacidad, no únicamente ciberseguridad.
Las consecuencias dependen del tratamiento y del contexto.
Entre otras situaciones pueden aparecer:
pérdida de confidencialidad;
discriminación;
suplantación de identidad;
fraude;
pérdidas económicas;
daño reputacional;
revelación de información sometida a secreto profesional;
pérdida de control sobre los propios datos;
imposibilidad de ejercer derechos;
perjuicios sociales;
exposición de información íntima;
utilización indebida de perfiles;
afectación a personas vulnerables;
daños físicos, materiales o inmateriales.
No todas estas consecuencias estarán presentes en todos los tratamientos.
Precisamente la finalidad del análisis es determinar cuáles son realmente relevantes en cada caso.
No existe una lista cerrada aplicable automáticamente a cualquier organización, pero determinados elementos pueden indicar que un tratamiento merece una valoración más profunda.
Los tratamientos que incluyen datos relativos a la salud, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, determinados datos biométricos utilizados para identificar unívocamente a una persona o datos relativos a la vida sexual u orientación sexual requieren especial atención.
La naturaleza de la información puede aumentar las consecuencias de una utilización o divulgación indebida.
Estos datos están sometidos a requisitos específicos y pueden generar consecuencias especialmente importantes para las personas afectadas.
Debe prestarse especial atención cuando el tratamiento afecta a menores u otras personas cuya situación pueda incrementar su vulnerabilidad frente a determinadas consecuencias.
La combinación de información para analizar o predecir aspectos relacionados con una persona puede incrementar el riesgo, especialmente cuando el perfil se utiliza para adoptar decisiones relevantes.
El volumen de datos, número de personas afectadas, duración y extensión del tratamiento pueden modificar sustancialmente el riesgo.
Cruzar información procedente de diferentes bases de datos puede permitir obtener conclusiones o perfiles que no serían posibles analizando cada fuente por separado.
Determinadas tecnologías pueden introducir riesgos adicionales o modificar riesgos existentes.
No significa que utilizar una tecnología nueva sea automáticamente contrario al RGPD. Significa que debe analizarse adecuadamente cómo se utiliza, qué datos intervienen y qué consecuencias puede tener.
Dependiendo de su extensión, finalidad y contexto, estas tecnologías pueden producir una observación significativa de las actividades o movimientos de las personas y requieren una valoración adecuada.
Aunque la metodología debe adaptarse a cada organización, el proceso puede estructurarse en diferentes fases.
Antes de analizar riesgos hay que saber qué tratamientos existen.
Se revisan las operaciones realizadas con datos de clientes, trabajadores, proveedores, usuarios, pacientes, alumnos, candidatos, visitantes u otros colectivos.
El Registro de Actividades de Tratamiento (RAT) constituye una fuente especialmente útil para identificar y estructurar estos tratamientos.
Si el RAT está incompleto o no refleja la realidad de la organización, será difícil realizar una gestión de riesgos adecuada.
Cada tratamiento debe estudiarse dentro de su contexto.
No basta con indicar que una empresa tiene una base de datos de clientes.
Debemos comprender:
qué información contiene;
cuántas personas afecta;
cómo se obtiene;
para qué se utiliza;
qué tecnologías intervienen;
quién tiene acceso;
durante cuánto tiempo se conserva;
qué proveedores participan;
qué expectativas razonables pueden tener los interesados;
y qué consecuencias puede producir el tratamiento.
Esta contextualización evita análisis genéricos que podrían aplicarse indistintamente a cualquier empresa.
A continuación se identifican circunstancias capaces de generar consecuencias negativas.
Pueden estar relacionadas con:
la naturaleza de los datos;
los colectivos afectados;
la tecnología;
el volumen del tratamiento;
la combinación de información;
la elaboración de perfiles;
los accesos;
los proveedores;
las comunicaciones;
las transferencias;
la conservación;
la seguridad;
o la propia finalidad del tratamiento.
También se estudian amenazas y vulnerabilidades cuando resulten relevantes.
Para cada riesgo debemos preguntarnos qué podría ocurrir a las personas si ese riesgo se materializara.
Por ejemplo, ante un acceso no autorizado a una base de datos de clientes, las consecuencias dependerán considerablemente de la información almacenada.
No produce necesariamente el mismo impacto la exposición de una dirección de correo profesional que la divulgación de un historial médico completo.
El contexto es fundamental.
Una vez identificados los posibles escenarios se analiza su probabilidad y la gravedad de sus consecuencias.
Pueden utilizarse metodologías cualitativas, cuantitativas o combinadas, siempre que permitan adoptar decisiones coherentes y justificables.
Las escalas de riesgo —por ejemplo, bajo, medio o alto— pueden resultar útiles dentro de una metodología, pero no deben interpretarse como una clasificación universal establecida por el RGPD.
Lo importante es que los criterios utilizados sean coherentes y permitan comprender por qué se ha alcanzado determinada valoración.
Una vez conocido el riesgo deben analizarse las medidas disponibles para reducirlo.
Estas medidas pueden ser técnicas, organizativas, jurídicas o relacionadas con el propio diseño del tratamiento.
Por ejemplo:
controles de acceso;
autenticación reforzada;
cifrado;
seudonimización;
copias de seguridad;
gestión de permisos;
registro de accesos cuando corresponda;
procedimientos internos;
minimización de datos;
reducción de plazos de conservación;
formación del personal;
gestión de proveedores;
políticas de protección de datos;
procedimientos de respuesta ante incidentes;
mecanismos para facilitar el ejercicio de derechos.
Las medidas concretas dependerán siempre del tratamiento.
Puedes ampliar esta materia en nuestra página sobre medidas técnicas y organizativas .
Aplicar medidas no significa necesariamente eliminar completamente el riesgo.
Después de considerar las medidas y garantías debe analizarse qué riesgo permanece.
Este riesgo residual permite valorar si las medidas son suficientes o si resulta necesario adoptar controles adicionales, modificar el tratamiento o realizar otros análisis.
La gestión del riesgo es, por tanto, un proceso de decisión y no simplemente una lista de amenazas.
Una clínica puede tratar datos identificativos, datos de contacto, citas, diagnósticos, informes médicos, pruebas y otra información relacionada con la salud.
El análisis debe considerar, entre otras cuestiones:
sensibilidad de los datos;
número de pacientes;
aplicaciones utilizadas;
accesos del personal;
intercambio de información con profesionales;
proveedores tecnológicos;
copias de seguridad;
sistemas de cita;
comunicaciones por correo electrónico;
conservación de historias clínicas;
posibles accesos indebidos.
Una filtración de esta información puede producir consecuencias significativamente distintas a las derivadas de la exposición de datos meramente profesionales.
Por ello las medidas deben adaptarse al contexto sanitario y a los riesgos reales existentes.
Un comercio puede utilizar cámaras para proteger personas, bienes e instalaciones.
Además de analizar la seguridad del sistema, deben estudiarse aspectos como:
ubicación de las cámaras;
zona captada;
acceso a las imágenes;
plazo de conservación;
extracción de grabaciones;
acceso remoto;
empresa de seguridad, si interviene;
información facilitada a las personas;
y posibilidad de captar zonas que no deberían ser objeto de vigilancia.
El riesgo no depende únicamente de que alguien pueda atacar el grabador. También puede derivarse de un diseño inadecuado del propio tratamiento.
Una empresa puede almacenar documentación de clientes o trabajadores en servicios en la nube.
El análisis debe estudiar cuestiones como:
qué información se almacena;
quién es el proveedor;
dónde se tratan los datos;
configuración de usuarios y permisos;
autenticación;
posibilidad de compartir documentos mediante enlaces;
copias de seguridad;
subencargados;
transferencias internacionales cuando existan;
y mecanismos de recuperación de información.
Una configuración técnicamente funcional no implica necesariamente una configuración apropiada desde la perspectiva de protección de datos.
La incorporación de sistemas de inteligencia artificial puede modificar significativamente las características de un tratamiento.
Antes de utilizar una herramienta con datos personales conviene analizar:
qué información se introduce;
para qué finalidad;
si esos datos son realmente necesarios;
cómo utiliza la información el proveedor;
si existe conservación posterior;
qué personas pueden verse afectadas;
si se elaboran perfiles;
si existen decisiones automatizadas;
qué capacidad existe para revisar resultados;
y qué consecuencias podrían producirse.
El hecho de utilizar inteligencia artificial no determina por sí mismo que el tratamiento sea lícito o ilícito. Debe analizarse el uso concreto, sus finalidades, bases jurídicas, necesidad, proporcionalidad y riesgos.
El RAT y el análisis de riesgos son documentos diferentes, pero están estrechamente relacionados.
El RAT describe los tratamientos realizados por la organización.
El análisis estudia los riesgos asociados a esos tratamientos y permite determinar medidas y garantías apropiadas.
Por eso una buena gestión suele comenzar por disponer de un inventario fiable de tratamientos y mantener actualizado el Registro de Actividades de Tratamiento .
Los cambios detectados en un tratamiento pueden requerir actualizar tanto el RAT como su análisis de riesgos.
El análisis de riesgos y la Evaluación de Impacto relativa a la Protección de Datos (EIPD) no son lo mismo.
La gestión del riesgo es parte del enfoque general del RGPD.
La EIPD es un proceso más específico que debe realizarse cuando sea probable que un tipo de tratamiento, especialmente mediante nuevas tecnologías y teniendo en cuenta su naturaleza, alcance, contexto o finalidades, entrañe un alto riesgo para los derechos y libertades de las personas.
Por tanto, no debemos interpretar la EIPD como una fase que automáticamente debe realizarse siempre que una matriz interna marque una casilla denominada «riesgo alto».
Debe analizarse si concurren las circunstancias que hacen necesaria una evaluación de impacto.
Puedes consultar nuestro contenido específico sobre Evaluación de Impacto en Protección de Datos (EIPD) .
En los tratamientos sujetos a EIPD puede ocurrir que, después de analizar las medidas previstas para reducir el riesgo, el responsable concluya que continúa existiendo un alto riesgo residual.
En esos supuestos el RGPD contempla la consulta previa a la autoridad de control antes de iniciar el tratamiento, de acuerdo con las condiciones establecidas en el artículo 36.
Esta situación debe distinguirse de la gestión ordinaria de riesgos de tratamientos que no requieren una EIPD.
El análisis de riesgos no debería convertirse en un documento estático que se archiva después de elaborarlo.
Los tratamientos evolucionan.
Puede ser necesario revisarlo cuando, por ejemplo:
cambia una finalidad;
se incorporan nuevos datos;
aumenta significativamente el volumen del tratamiento;
cambia la tecnología;
se implanta una nueva aplicación;
se migra información a la nube;
se incorpora un proveedor relevante;
se modifican los accesos;
aparece una nueva amenaza;
se produce una brecha de datos personales;
se incorporan sistemas de videovigilancia;
se introducen sistemas de inteligencia artificial;
cambian las medidas de seguridad;
o se modifica de forma relevante el contexto del tratamiento.
El RGPD no establece una regla universal según la cual todos los análisis de riesgos deban renovarse exactamente una vez al año.
Una revisión periódica puede formar parte de una buena gestión, pero la frecuencia debe determinarse teniendo en cuenta los tratamientos y sus circunstancias.
Cuando existen cambios relevantes, no tiene sentido esperar a una fecha anual predeterminada para evaluar su impacto.
Esta filosofía está directamente relacionada con la actualización del cumplimiento RGPD .
Una brecha de datos personales puede aportar información importante sobre riesgos que quizá no se habían identificado correctamente o sobre medidas cuya eficacia debe revisarse.
Después de un incidente puede ser necesario analizar:
qué ocurrió;
qué datos fueron afectados;
qué personas pudieron verse perjudicadas;
cuáles fueron las causas;
qué medidas funcionaron;
cuáles resultaron insuficientes;
y qué cambios deberían implantarse.
Además, el propio incidente debe gestionarse conforme a las obligaciones específicas del RGPD relativas a brechas de datos personales.
El análisis de riesgos y la gestión de brechas son procesos relacionados, pero no equivalentes.
La Agencia Española de Protección de Datos dispone de herramientas que pueden ayudar a las organizaciones en sus procesos de gestión del riesgo.
Entre ellas se encuentran EVALÚA_RIESGO RGPD y GESTIONA_RGPD.
Estas herramientas pueden ayudar a identificar factores de riesgo, realizar una primera valoración, gestionar información relacionada con los tratamientos y determinar si puede resultar necesario profundizar mediante una EIPD.
Sin embargo, utilizar una herramienta o generar automáticamente un documento no significa que una organización cumpla automáticamente el RGPD.
Los resultados deben analizarse y adaptarse a los tratamientos reales de cada entidad.
Una herramienta puede facilitar el trabajo, pero no sustituye el conocimiento de la organización, la identificación de sus circunstancias particulares ni las decisiones que debe adoptar el responsable.
Una plantilla puede servir como punto de partida, pero un análisis que no contempla la realidad de la organización pierde gran parte de su utilidad.
Malware, ransomware y accesos indebidos son importantes, pero el riesgo RGPD es más amplio.
También deben analizarse los efectos derivados del propio diseño y utilización de los datos.
Una avería informática puede representar un coste económico para la organización.
Para el RGPD debemos estudiar además cómo puede afectar esa situación a las personas cuyos datos están siendo tratados.
No debería aplicarse una lista idéntica de medidas a todas las organizaciones.
Primero debemos comprender el tratamiento y sus riesgos; después podremos determinar qué medidas son apropiadas.
Los tratamientos cambian y los riesgos también.
Un análisis que describe sistemas, proveedores o procedimientos que ya no existen deja de representar la situación real de la organización.
La EIPD responde a circunstancias específicas relacionadas con tratamientos que probablemente entrañen un alto riesgo.
No todos los análisis de riesgos requieren una EIPD.
Las herramientas pueden ayudar, pero la responsabilidad de valorar el tratamiento y adoptar decisiones continúa correspondiendo a la organización.
En RGPD Málaga realizamos el análisis teniendo en cuenta los tratamientos y circunstancias reales de cada organización.
El proceso puede incluir:
identificación y revisión de tratamientos;
análisis del contexto;
identificación de factores de riesgo;
valoración de posibles consecuencias para los interesados;
análisis de probabilidad y gravedad;
revisión de medidas existentes;
identificación de medidas adicionales;
valoración del riesgo residual;
documentación de resultados;
relación con el RAT;
valoración de la posible necesidad de una EIPD;
y recomendaciones de actualización.
Cuando detectamos cuestiones relacionadas con seguridad, el análisis se conecta con las medidas técnicas y organizativas que resulten apropiadas.
El resultado no pretende ser simplemente otro documento dentro de una carpeta RGPD.
Debe servir para comprender los riesgos, priorizar actuaciones y justificar las decisiones adoptadas.
Un buen análisis de riesgos permite pasar de un cumplimiento documental a un sistema de protección de datos adaptado a la organización.
Permite conocer mejor los tratamientos, descubrir situaciones que habían pasado inadvertidas, revisar medidas, identificar prioridades y tomar decisiones basadas en las circunstancias reales de la actividad.
También ayuda a integrar la privacidad en nuevos proyectos.
Cuando una organización incorpora una aplicación, cambia de proveedor, implanta inteligencia artificial, instala videovigilancia o modifica sustancialmente un tratamiento, analizar el riesgo desde el principio permite detectar problemas antes de que formen parte permanente del proceso.
La gestión del riesgo debe entenderse así como un proceso continuo integrado en la gestión del tratamiento, desde su diseño hasta su finalización.
No se trata simplemente de determinar si un riesgo es «bajo», «medio» o «alto».
Se trata de comprender qué puede ocurrir, a quién puede afectar, qué consecuencias puede producir, qué medidas existen y qué debemos hacer para reducir el riesgo hasta un nivel compatible con el tratamiento y con las obligaciones del RGPD.
Es el proceso mediante el cual se identifican y evalúan los riesgos que un tratamiento de datos personales puede representar para los derechos y libertades de las personas. Permite valorar posibles consecuencias, su probabilidad y gravedad, y determinar las medidas y garantías apropiadas para reducir esos riesgos.
El RGPD establece un enfoque basado en el riesgo y exige a responsables y, en el ámbito que corresponda, encargados valorar los riesgos asociados a sus tratamientos para determinar y aplicar medidas apropiadas. La complejidad y profundidad del análisis dependerán de la naturaleza, alcance, contexto y finalidades del tratamiento y de los riesgos que presente.
No. El análisis debe ser proporcional a las características de los tratamientos. Una organización que utiliza únicamente datos básicos para operaciones sencillas no presenta necesariamente las mismas circunstancias que una clínica que trata datos de salud, una plataforma que elabora perfiles o una entidad que utiliza tecnologías especialmente invasivas.
No. La seguridad de la información es una parte importante, pero el análisis RGPD se centra en los riesgos para los derechos y libertades de las personas. También pueden existir riesgos relacionados con la recogida excesiva de datos, perfiles, conservación, finalidades, accesos, comunicaciones, tecnologías utilizadas o diseño del propio tratamiento.
No. La gestión del riesgo forma parte del enfoque general del RGPD. Una Evaluación de Impacto en Protección de Datos (EIPD) debe realizarse cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, teniendo en cuenta su naturaleza, alcance, contexto y finalidades.
No existe una periodicidad anual universal establecida por el RGPD. Debe revisarse cuando resulte necesario, especialmente cuando cambien de forma relevante los tratamientos, finalidades, tecnologías, proveedores, medidas, contexto o riesgos. También puede establecerse una revisión periódica como parte de la gestión interna de la organización.
Deben valorarse medidas y garantías apropiadas para reducirlos. Después de considerar esas medidas puede analizarse el riesgo residual y determinar si son necesarias actuaciones adicionales, cambios en el tratamiento o, cuando corresponda, una Evaluación de Impacto en Protección de Datos.
No. Herramientas como EVALÚA_RIESGO RGPD o GESTIONA_RGPD pueden servir de apoyo para identificar factores y estructurar la evaluación, pero su utilización o la generación de documentos no implica automáticamente el cumplimiento del RGPD. Los resultados deben analizarse y adaptarse a los tratamientos y circunstancias reales de cada organización.
En RGPD Málaga analizamos los tratamientos reales de tu organización para identificar los riesgos que pueden afectar a los derechos y libertades de las personas, valorar las medidas existentes y determinar las actuaciones necesarias para reducir esos riesgos. Si ya dispones de un análisis, también podemos revisarlo para comprobar si continúa reflejando tus tratamientos, tecnologías, proveedores y medidas actuales.
Solicitar análisis de riesgos RGPD