INTRODUCCIÓN
La Ley Orgánica de Protección de Datos Personales se fundamenta en la gestión de riesgos. En este contexto, la finalidad de la gestión de riesgos es reducir la incertidumbre de los responsables y encargados del tratamiento, con el propósito de que puedan tomar decisiones informadas para la protección efectiva y eficaz de los derechos y libertades de los titulares de datos personales. No obstante, tenemos que comprender que la gestión del riesgo no funciona por defecto, pues no se trata de elaborar listas de chequeo, estimar los niveles del riesgo sin fundamentos o escribir largos reportes sin sustancia desde una lógica de cumplimiento “en el papel”. Al contrario, se trata de construir una cultura de la conformidad en riesgos; para lo cual, es fundamental aprender a utilizar datos confiables, calibrar las opiniones de expertos, construir métricas significativas y desarrollar modelos de riesgo adecuados.
La presente obra ha sido desarrollada con el fin de orientar a responsables y encargados del tratamiento hacia un cumplimiento real de la Ley Orgánica de Protección de Datos Personales (LOPDP), de una manera escalable. Consecuentemente, se establecen principios fundamentales para la gestión de riesgos y se exponen diversos métodos cuantitativos y cualitativos que pueden ser adaptados a las diferentes circunstancias de los responsables y encargados del tratamiento.
Los métodos expuestos para la evaluación de impacto del tratamiento de datos personales se fundamentan en la elaboración de escenarios de riesgos reales que pueden vulnerar los derechos y libertades de los titulares de datos personales.
La Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales tiene el agrado de presentar la «Guía de gestión de riesgos y evaluación de impacto del tratamiento de datos personales – Versión 1». Este documento fue elaborado por Luis Enríquez, Intendente General de Innovación Tecnológica y Seguridad de Datos Personales, y editado por Vanessa Hervás, asesora de la SPDP, bajo el liderazgo del Superintendente de Protección de Datos Personales, Fabrizio Peralta-Díaz.