Anticipar un análisis de impacto.

Cómo anticiparse

• Describir el tratamiento (finalidad, datos, actores).
• Evaluar los riesgos (acceso, conservación, error).
• Describir las medidas (cifrado, acceso, registros).
• Definir la retención/purga.

Hay disponible una síntesis de 1 página en el Centro de confianza.

Los cuatro bloques que deben documentarse

El método debe seguir vinculado al tratamiento realmente previsto. La CNIL estructura el análisis en torno al contexto, la necesidad y la proporcionalidad, los riesgos para las personas y las medidas previstas para tratarlos.

1. Describir el contexto

• Finalidades, personas afectadas y categorías de datos.
• Fuentes, destinatarios, flujos, alojamiento y encargados del tratamiento.
• Volumetría, plazo de conservación y entorno de uso.

2. Verificar la necesidad y la proporcionalidad

Para cada dato y cada operación, pregúntese si es necesario para la finalidad. Documente la información a las personas, la base jurídica, el ejercicio de los derechos, los plazos y las responsabilidades. Una funcionalidad disponible técnicamente no tiene por qué activarse si la necesidad no está acreditada.

3. Evaluar los riesgos

Describa los escenarios concretos: acceso no autorizado, error de expediente, exportación a un destinatario incorrecto, indisponibilidad, alteración de una información o conservación excesiva. Evalúe sus consecuencias para las personas antes y después de las medidas previstas.

4. Decidir y hacer seguimiento

La validación indica las medidas adoptadas, los responsables, los plazos y el riesgo residual. La EIPD debe revisarse cuando un cambio importante modifica los datos, las finalidades, los destinatarios, la arquitectura o los riesgos.

Elementos que el editor puede preparar

• Descripción de los flujos y del perímetro técnico.
• Medidas de seguridad, plazos configurables y procedimientos para el ejercicio de derechos.
• Lista de los encargados del tratamiento y marco de alojamiento.
• Procedimientos de incidente, supresión y reversibilidad.

La decisión y el análisis completo corresponden al responsable del tratamiento. Consulte las guías EIPD de la CNIL y asocie al DPO o al asesor competente según la organización.

Organizar la revisión a lo largo del tiempo

Conserve una versión fechada del análisis, la lista de hipótesis y los elementos de prueba utilizados. Designe un responsable para cada medida y fije una fecha de control realista. Una revisión es especialmente útil cuando cambia el recorrido, interviene un nuevo encargado del tratamiento, se tratan nuevas categorías de datos o un incidente revela un riesgo mal evaluado. Esta disciplina convierte la EIPD en una herramienta de gestión concreta, en lugar de un documento elaborado una sola vez y después olvidado.