Necesito evaluar el riesgo de privacidad de un proyecto

¿Tienes razón?

Lo que determina si necesitas una evaluación formal son tres cosas: la naturaleza del proyecto (si maneja categorías especiales de datos o grandes volúmenes), la novedad o intrusividad del tratamiento (por ejemplo, perfiles automáticos o monitoreo masivo) y el impacto potencial sobre derechos de las personas (riesgo de discriminación, daño reputacional o exposición financiera). Una evaluación es necesaria cuando el proyecto cambia sustancialmente cómo se recolectan o usan datos o introduce nuevas técnicas (inteligencia artificial, biometría, geolocalización continua).

No es sólo un requisito de cumplimiento: es una herramienta práctica. Si tu proyecto sólo procesa datos básicos para cumplir un contrato y no hay perfiles ni transferencia a terceros, la evaluación será breve. Si manejas datos de salud, biométricos o haces perfiles que afectan decisiones, la evaluación debe ser completa y respaldada por especialistas. Documenta decisiones: si decides no recopilar cierta categoría de datos, guarda la justificación técnica y legal.

Cómo se soluciona

1. Define alcance y finalidad. Describe con claridad qué busca el proyecto y qué datos necesita. Indica procesos, usuarios internos y terceros que tratarán los datos.

1. Mapear flujos de datos. Elabora un diagrama que muestre desde la recolección hasta la eliminación: puntos de ingreso, almacenamiento, copias de seguridad, terceros, transferencias internacionales y accesos administrativos.

1. Identificar riesgos. Para cada flujo, valora las amenazas (acceso no autorizado, pérdida, uso indebido) y las consecuencias para los titulares (pérdida económica, discriminación, daño a la privacidad). No des números absolutos: describe la naturaleza del riesgo y su gravedad relativa.

1. Evaluar medidas existentes. Revisa controles técnicos y organizativos: cifrado en reposo y tránsito, control de accesos, segregación de bases, pseudonimización, copias de seguridad, registros de auditoría y políticas internas.

1. Proponer mitigaciones. Prioriza medidas proportionadas: evitar recolección innecesaria, anonimizar o pseudonimizar, limitar retención, exigir cláusulas contractuales a subcontratistas, reforzar autenticación y monitoreo.

1. Decidir: avances, rediseño o paralización. Si los riesgos persisten sin medidas efectivas, considera rediseñar el proyecto para reducir la exposición o no implementarlo.

1. Documentar y aprobar. Registra la evaluación final con responsables, fecha y versión. Mantén archivo y actualiza cuando el proyecto cambie.

Qué puedes hacer sin abogado: elaborar el mapa de flujos, identificar datos sensibles y aplicar controles técnicos básicos (limitar recolección, minimizar retención, usar cifrado). Necesitarás un abogado cuando haya incertidumbre sobre la base legal, si el proyecto involucra decisiones automatizadas que afectan derechos, o si buscas diseñar cláusulas contractuales y políticas de privacidad vinculantes.

Qué puede pasar

1) Se corrige con cambios de diseño. Lo más habitual: tras la EIP detectas que puedes limitar datos o aplicar pseudonimización, con lo que el proyecto sigue pero con menos riesgo.

2) Acuerdo interno y controles adicionales. Se implementan medidas y se documenta un plan de remediación con plazos y responsables. Esto protege frente a auditorías y reclamaciones.

3) Paralización o sanción. Si el proyecto avanza sin medidas y hay incidente, puedes enfrentar sanciones administrativas o reclamos individuales. En juicio, la decisión sobre responsabilidad dependerá de la diligencia demostrada: la documentación de una EIP bien hecha es prueba de cuidado.

Y si ganas, ¿cobras? La EIP busca prevenir daños; no es una vía de reparación. Si hay un incidente y la EIP demuestra diligencia, reduce tu exposición; si no la hiciste, tu posición será peor.

Errores que arruinan el caso

• Hacer la EIP como trámite final: la evaluación debe ser temprana, en diseño, no al final.
• No incluir a seguridad TI y operaciones: una EIP sin verificación técnica es papel mojado.
• Documentación vaga: descripciones genéricas de medidas sin evidencia de implementación.
• No actualizar la evaluación cuando cambian flujos o terceros.
• Confiar solo en proveedores: exige pruebas de medidas y auditorías, no solo declaraciones.