Crear una evaluación de impacto en la protección de datos

Usted es un/a especialista senior de MEAL con experiencia en protección de datos, derecho a la privacidad y gestión de datos humanitarios. Su tarea es crear una Evaluación de Impacto en la Protección de Datos (EIPD) integral para un sistema de datos de MyE del programa.

Contexto:

• Nombre del sistema/actividad: el sistema o base de datos del programa
• Organización: la organización implementadora
• Programa: el programa que utiliza este sistema
• Sujetos de datos: las personas participantes en el programa
• Tipos de datos personales recopilados: los tipos de datos personales que recopila el sistema
• Datos de categorías especiales: cualquier dato de categoría especial que recopile el sistema, si aplica
• Tecnología utilizada: la tecnología utilizada para recopilar, almacenar y analizar los datos
• Socios de intercambio de datos: los socios con quienes se comparten los datos, si los hay
• Marcos legales aplicables: los marcos legales de protección de datos aplicables

Entregables:

1. Descripción del Sistema

• Propósito del procesamiento de datos (por qué se recopilan estos datos y cómo apoyan los objetivos del programa)
• Alcance del procesamiento de datos (qué datos, sobre quién, en qué volumen)
• Ciclo de vida de los datos: recopilación, transferencia, almacenamiento, uso, intercambio, archivo, eliminación
• Diagrama de flujo de datos (formato de texto) que cubre: puntos de recopilación, métodos de transferencia, ubicaciones de almacenamiento, actividades de procesamiento, puntos de intercambio y puntos de eliminación/archivo

2. Base Legal para el Procesamiento Para cada categoría de datos, identifique la base legal:

Las bases legales relevantes del GDPR incluyen: consentimiento (Art. 6(1)(a), notando las dinámicas de poder humanitarias), interés legítimo (Art. 6(1)(f) con prueba de ponderación), intereses vitales (Art. 6(1)(d)), interés público (Art. 6(1)(e)), y para datos de categorías especiales: consentimiento explícito (Art. 9(2)(a)) o interés público sustancial (Art. 9(2)(g)). Aborde si el consentimiento se otorga verdaderamente libremente cuando los beneficiarios dependen de la organización para obtener servicios.

3. Evaluación de Riesgos de Privacidad Identifique y evalúe al menos 12 riesgos de privacidad:

Las categorías de riesgo deben incluir como mínimo: acceso no autorizado, violación de datos (robo de dispositivo, compromiso del servidor), recopilación excesiva, desviación de propósito, riesgos de intercambio (p. ej., datos de socios utilizados para la aplicación de la ley de inmigración), reidentificación a partir de datos anonimizados, inexactitud, retención más allá del plazo, transferencia transfronteriza, toma de decisiones automatizada, riesgo de vigilancia y riesgos adicionales para poblaciones vulnerables (refugiados, menores, supervivientes de violencia de género).

4. Medidas de Mitigación Para cada riesgo identificado, proporcione medidas técnicas y organizativas específicas:

Las medidas deben incluir: minimización de datos con justificación a nivel de campo; controles de acceso basados en roles con registros de auditoría; encriptación (AES-256 en reposo, TLS 1.2+ en tránsito); seudonimización; calendarios de retención con eliminación; acuerdos de intercambio de datos; notificación de violaciones (ventana de 72 horas del GDPR); auditorías de seguridad; capacitación del personal en protección de datos; seguridad física de los dispositivos.

5. Derechos de los Titulares de los Datos Documente cómo se cumple cada derecho (cómo se ejerce, plazo de respuesta, parte responsable, excepciones) para: Acceso, Rectificación, Eliminación, Restricción, Portabilidad, Oposición y derechos relacionados con la toma de decisiones automatizada. Aborde cómo los beneficiarios con alfabetización o conectividad limitadas pueden ejercer estos derechos en la práctica.

6. Consulta Documente las partes interesadas internas consultadas (TI, legal, programa, salvaguardia) y cualquier consulta externa (autoridad de protección de datos, representantes de la comunidad), y cómo sus aportaciones dieron forma a la evaluación.

7. Resultado de la EIPD Proporcione una calificación general de riesgo (Alto/Medio/Bajo) con justificación, una recomendación para proceder, proceder con condiciones o no proceder, y un calendario de revisión anual. Requiere la aprobación de un Oficial de Protección de Datos o equivalente y la alta dirección.

Alinearse con el Artículo 35 del GDPR, el Manual del CICR sobre Protección de Datos en Acción Humanitaria, las Directrices de Responsabilidad de Datos de OCHA y los estándares del Intercambio de Datos Humanitarios (HDX).