Gestión del riesgo y evaluación de impacto en tratamientos de datos personales

El presente documento es una guía para la gestión de riesgos para los derechos y libertades de los interesados aplicable a cualquier tratamiento, independientemente de su nivel de riesgo. Además, y para los casos de tratamientos de alto riesgo, incorpora las orientaciones necesarias para realizar la Evaluación de Impacto para la Protección de Datos (EIPD) y, en su caso, la consulta previa a la que se refiere el artículo 36 del RGPD. Esta guía actualiza y unifica las presentadas hace más de tres años por la AEPD: la "Guía práctica de análisis de riesgo para el tratamiento de datos personales" y la "Guía práctica para la evaluación de impacto en la protección de datos personales". El objetivo de la guía es incorporar las lecciones aprendidas en la aplicación de la gestión del riesgo en el ámbito de la protección de datos, y los nuevos criterios e interpretaciones, tanto de la AEPD como del Comité Europeo de Protección de Datos (CEPD) y del Supervisor Europeo de Protección de Datos (SEPD). Además de recoger la experiencia acumulada, pretende mejorar los materiales dirigidos a ayudar al cumplimiento por parte de los responsables, dando una visión unificada de la gestión de riesgos y de la EIPD. Finalmente, este documento facilitará la necesaria integración de la gestión de riesgos para los derechos y libertades, y en general el cumplimiento del RGPD, en los procesos de gestión y gobernanza de las entidades. La guía consta de tres grandes apartados divididos en capítulos: un primer apartado con una descripción de los fundamentos de la gestión de riesgos para los derechos y libertades, un segundo apartado que incluye un desarrollo metodológico básico para la aplicación de la gestión del riesgo para los derechos y libertades, y un apartado final, enfocado a los casos en los sea preciso realizar una Evaluación de Impacto para la Protección de Datos, con unas orientaciones metodológicas específicas al respecto. Este documento está dirigido, preferentemente, a responsables, encargados de tratamientos y delegados de protección de datos (DPD).