Evaluación del impacto en la privacidad

Una evaluación de impacto en la privacidad ( EIP ) es un proceso que ayuda a las organizaciones a identificar y gestionar los riesgos de privacidad derivados de nuevos proyectos, iniciativas, sistemas, procesos, estrategias, políticas, relaciones comerciales, etc. ^{[ 1 ]} Beneficia a diversas partes interesadas, incluyendo a la propia organización y a los clientes, de muchas maneras. ^{[ 2 ]} En Estados Unidos y Europa, se han emitido políticas para exigir y estandarizar las evaluaciones de impacto en la privacidad. ^{[ 3 ] [ 4 ]}

Una evaluación de impacto en la privacidad es un tipo de evaluación de impacto realizada por una organización (generalmente, una agencia gubernamental o una corporación con acceso a una gran cantidad de datos privados y sensibles sobre personas que se encuentran en su sistema o que circulan a través de él). La organización revisa sus propios procesos para determinar cómo estos afectan o podrían comprometer la privacidad de las personas cuyos datos posee, recopila o procesa. Diversas subagencias del Departamento de Seguridad Nacional de los Estados Unidos (DHS) han realizado evaluaciones de impacto en la privacidad ^{[ 5 ] [ 6 ]} y se han estandarizado los métodos para llevarlas a cabo ^{[ 4 ] .}

Un PIA (Evaluación de Impacto en la Propiedad) suele diseñarse para lograr tres objetivos principales:

1. Garantizar el cumplimiento de los requisitos legales, reglamentarios y normativos aplicables en materia de privacidad.
2. Identificar y evaluar los riesgos de violaciones de la privacidad u otros incidentes y sus consecuencias.
3. Identificar los controles de privacidad adecuados para mitigar los riesgos inaceptables.

Un informe de impacto en la privacidad busca identificar y registrar los componentes esenciales de cualquier sistema propuesto que contenga cantidades significativas de información personal y establecer cómo se pueden gestionar los riesgos de privacidad asociados con ese sistema. ^{[ 7 ]} En ocasiones, una evaluación de impacto en la privacidad (PIA) irá más allá de una evaluación de un "sistema" y considerará los efectos "posteriores" críticos en las personas que se ven afectadas de alguna manera por la propuesta. ^{[ 8 ]}

Dado que la Evaluación de Impacto en la Privacidad (EIP) se refiere a la capacidad de una organización para mantener segura la información privada, esta debe completarse siempre que dicha organización posea información personal de sus empleados, clientes, contactos comerciales, etc. Si bien las definiciones legales varían, la información personal generalmente incluye: nombre, edad, número de teléfono, dirección de correo electrónico, sexo e información de salud de una persona. También debe realizarse una EIP siempre que la organización posea información que sea sensible o si los sistemas de control de seguridad que protegen la información privada o sensible están experimentando cambios que podrían dar lugar a incidentes de privacidad. ^{[ 9 ] [ 10 ]}

Según una presentación en el Congreso de la Asociación Internacional de Profesionales de la Privacidad , una PIA tiene los siguientes beneficios: ^{[ 2 ]}

• Proporciona un sistema de alerta temprana : una forma de detectar problemas de privacidad, establecer medidas de seguridad antes, y no después, de realizar grandes inversiones, y solucionar los problemas de privacidad cuanto antes.
• Evita costosos o embarazosos errores de privacidad.
• Proporciona evidencia de que una organización intentó prevenir riesgos de privacidad (reducir la responsabilidad, la publicidad negativa, el daño a la reputación).
• Mejora la toma de decisiones informadas.
• Ayuda a la organización a ganarse la confianza del público.
• Demuestra a empleados, contratistas, clientes y ciudadanos que la organización se toma en serio la privacidad.

Las PIA implican un proceso simple: ^{[ 9 ] [ 10 ]}

1. Inicio del proyecto: definir el alcance del proceso de Evaluación de Impacto en el Proyecto (EIP) (que varía según la organización y el proyecto). Si el proyecto se encuentra en sus primeras etapas, la organización puede optar por realizar una EIP preliminar y, posteriormente, completar una EIP completa una vez que el proyecto esté en pleno desarrollo.
2. Análisis del flujo de datos: se traza un mapa de cómo el proceso de negocio propuesto maneja la información personal , se identifican grupos de información personal y se crea un diagrama de cómo fluye la información personal a través de la organización como resultado de las actividades comerciales en cuestión.
3. Análisis de privacidad: el personal involucrado en el manejo de información personal puede completar cuestionarios de análisis de privacidad, seguidos de revisiones, entrevistas y discusiones sobre los problemas e implicaciones de privacidad.
4. Informe de evaluación del impacto en la privacidad: se documentan los riesgos para la privacidad y las posibles implicaciones, así como un análisis de las posibles medidas que podrían adoptarse para mitigar o remediar dichos riesgos.

En la década de 1970, la Oficina de Evaluación Tecnológica de Estados Unidos creó la Evaluación Tecnológica ( ET) . La ET se utilizaba para determinar las repercusiones sociales y cívicas de las nuevas tecnologías. De manera similar, por esa misma época surgieron las evaluaciones de impacto ambiental (EIA), como respuesta al impulso social de los movimientos ecologistas de los años sesenta . El método de ambas evaluaciones de impacto sirvió de precursor para la creación de la Evaluación de Impacto en el Proceso (EIP).

La "Declaración de Impacto en la Privacidad" era una versión mucho menos extensa de la PIA que surgió a finales de los años ochenta. Durante la década de 1990, surgió la necesidad de medir la eficacia de la seguridad de los datos de una empresa u organización, especialmente dado que la mayoría de los datos se almacenaban en ordenadores u otras plataformas electrónicas. Las PIA más extensas comenzaron a ser utilizadas con mayor frecuencia por corporaciones y gobiernos a mediados de la década de 1990, y ahora son utilizadas por organizaciones de todo el mundo y por varios gobiernos, incluidos los de Nueva Zelanda , Canadá , Australia y el Departamento de Seguridad Nacional de los Estados Unidos, para evaluar el riesgo de privacidad de sus sistemas. Además, otros países y corporaciones utilizan sistemas de evaluación similares a las PIA para el análisis de riesgos de datos. ^{[ 11 ] [ 12 ]}

• Vigilancia global
  • Vigilancia masiva
• Derechos humanos en el ciberespacio
• ética de la información
• Privacidad de la información
• Prueba de penetración