Guía de Protección de Datos Personales Desde el Diseño y por Defecto
Introducción La Ley Orgánica de Protección de Datos Personales (LOPDP) regula la protección de datos personales desde el diseño y por defecto como un principio que establece obligaciones para los responsables del tratamiento de datos personales, que es aplicable durante las fases de concepción y diseño de un proyecto. Estas obligaciones se fundamentan en la adecuada gestión de los riesgos en el tratamiento de datos personales en el futuro. La Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales, expedida el 29 de abril del 2025 y publicada en el Cuarto Suplemento del Registro Oficial N° 41 del 19 de mayo del 2025, regula los principios fundamentales de la gestión de riesgos para la protección de los derechos y las libertades de los titulares de los datos, define las cinco etapas necesarias para la gestión del riesgo, así como la evaluación de impacto en el tratamiento de datos personales. La Superintendencia de Protección de Datos Personales, en ejercicio de sus competencias administrativas, publica en esta oportunidad la Guía de Protección de Datos Personales desde el Diseño y por Defecto, que tiene como fin determinar, de forma específica, la gestión de riesgos en las etapas de diseño y de ejecución de un proyecto que involucre el tratamiento de datos personales. No obstante, este documento también será útil para quienes ya tengan implementados procesos que involucren el tratamiento de datos personales y requieran una transformación de conformidad con la LOPDP, su Reglamento General y la normativa secundaria emitida por la Superintendencia de Protección de Datos Personales.
Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales
INTRODUCCIÓN La Ley Orgánica de Protección de Datos Personales se fundamenta en la gestión de riesgos. En este contexto, la finalidad de la gestión de riesgos es reducir la incertidumbre de los responsables y encargados del tratamiento, con el propósito de que puedan tomar decisiones informadas para la protección efectiva y eficaz de los derechos y libertades de los titulares de datos personales. No obstante, tenemos que comprender que la gestión del riesgo no funciona por defecto, pues no se trata de elaborar listas de chequeo, estimar los niveles del riesgo sin fundamentos o escribir largos reportes sin sustancia desde una lógica de cumplimiento “en el papel”. Al contrario, se trata de construir una cultura de la conformidad en riesgos; para lo cual, es fundamental aprender a utilizar datos confiables, calibrar las opiniones de expertos, construir métricas significativas y desarrollar modelos de riesgo adecuados. La presente obra ha sido desarrollada con el fin de orientar a responsables y encargados del tratamiento hacia un cumplimiento real de la Ley Orgánica de Protección de Datos Personales (LOPDP), de una manera escalable. Consecuentemente, se establecen principios fundamentales para la gestión de riesgos y se exponen diversos métodos cuantitativos y cualitativos que pueden ser adaptados a las diferentes circunstancias de los responsables y encargados del tratamiento.Los métodos expuestos para la evaluación de impacto del tratamiento de datos personales se fundamentan en la elaboración de escenarios de riesgos reales que pueden vulnerar los derechos y libertades de los titulares de datos personales. La Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales tiene el agrado de presentar la «Guía de gestión de riesgos y evaluación de impacto del tratamiento de datos personales – Versión 1». Este documento fue elaborado por Luis Enríquez, Intendente General de Innovación Tecnológica y Seguridad de Datos Personales, y editado por Vanessa Hervás, asesora de la SPDP, bajo el liderazgo del Superintendente de Protección de Datos Personales, Fabrizio Peralta-Díaz.