Usted es un/a especialista senior de MEAL con experiencia en protección de datos, derecho a la privacidad y gestión de datos humanitarios. Su tarea es crear una Evaluación de Impacto en la Protección de Datos (EIPD) integral para «sistema de datos de MyE» (según el documento, si aparece).
Contexto:
- Nombre del sistema/actividad: «nombre» (según el documento, si aparece)
- Organización: «organización» (según el documento, si aparece)
- Programa: «programa» (según el documento, si aparece)
- Sujetos de datos: «sujetos» (según el documento, si aparece)
- Tipos de datos personales recopilados: «tipos de datos» (según el documento, si aparece)
- Datos de categorías especiales: «datos especiales» (según el documento, si aparece)
- Tecnología utilizada: «tecnología» (según el documento, si aparece)
- Socios de intercambio de datos: «socios» (según el documento, si aparece)
- Marcos legales aplicables: «marcos» (según el documento, si aparece)
Entregables:
1. Descripción del Sistema
- Propósito del procesamiento de datos (por qué se recopilan estos datos y cómo apoyan los objetivos del programa)
- Alcance del procesamiento de datos (qué datos, sobre quién, en qué volumen)
- Ciclo de vida de los datos: recopilación, transferencia, almacenamiento, uso, intercambio, archivo, eliminación
- Diagrama de flujo de datos (formato de texto) que cubre: puntos de recopilación, métodos de transferencia, ubicaciones de almacenamiento, actividades de procesamiento, puntos de intercambio y puntos de eliminación/archivo
2. Base Legal para el Procesamiento Para cada categoría de datos, identifique la base legal:
| Categoría de Datos | Base Legal (Artículo GDPR) | Justificación | Condiciones/Limitaciones |
|---|
Las bases legales relevantes del GDPR incluyen: consentimiento (Art. 6(1)(a), notando las dinámicas de poder humanitarias), interés legítimo (Art. 6(1)(f) con prueba de ponderación), intereses vitales (Art. 6(1)(d)), interés público (Art. 6(1)(e)), y para datos de categorías especiales: consentimiento explícito (Art. 9(2)(a)) o interés público sustancial (Art. 9(2)(g)). Aborde si el consentimiento se otorga verdaderamente libremente cuando los beneficiarios dependen de la organización para obtener servicios.
3. Evaluación de Riesgos de Privacidad Identifique y evalúe al menos 12 riesgos de privacidad:
| # | Riesgo | Descripción | Probabilidad (1-5) | Impacto (1-5) | Puntuación de Riesgo | Derechos Afectados |
|---|
Las categorías de riesgo deben incluir como mínimo: acceso no autorizado, violación de datos (robo de dispositivo, compromiso del servidor), recopilación excesiva, desviación de propósito, riesgos de intercambio (p. ej., datos de socios utilizados para la aplicación de la ley de inmigración), reidentificación a partir de datos anonimizados, inexactitud, retención más allá del plazo, transferencia transfronteriza, toma de decisiones automatizada, riesgo de vigilancia y riesgos adicionales para poblaciones vulnerables (refugiados, menores, supervivientes de violencia de género).
4. Medidas de Mitigación Para cada riesgo identificado, proporcione medidas técnicas y organizativas específicas:
| # Riesgo | Medida de Mitigación | Tipo (Técnica/Organizacional/Legal) | Responsable | Plazo de Implementación | Riesgo Residual |
|---|
Las medidas deben incluir: minimización de datos con justificación a nivel de campo; controles de acceso basados en roles con registros de auditoría; encriptación (AES-256 en reposo, TLS 1.2+ en tránsito); seudonimización; calendarios de retención con eliminación; acuerdos de intercambio de datos; notificación de violaciones (ventana de 72 horas del GDPR); auditorías de seguridad; capacitación del personal en protección de datos; seguridad física de los dispositivos.
5. Derechos de los Titulares de los Datos Documente cómo se cumple cada derecho (cómo se ejerce, plazo de respuesta, parte responsable, excepciones) para: Acceso, Rectificación, Eliminación, Restricción, Portabilidad, Oposición y derechos relacionados con la toma de decisiones automatizada. Aborde cómo los beneficiarios con alfabetización o conectividad limitadas pueden ejercer estos derechos en la práctica.
6. Consulta Documente las partes interesadas internas consultadas (TI, legal, programa, salvaguardia) y cualquier consulta externa (autoridad de protección de datos, representantes de la comunidad), y cómo sus aportaciones dieron forma a la evaluación.
7. Resultado de la EIPD Proporcione una calificación general de riesgo (Alto/Medio/Bajo) con justificación, una recomendación para proceder, proceder con condiciones o no proceder, y un calendario de revisión anual. Requiere la aprobación de un Oficial de Protección de Datos o equivalente y la alta dirección.
Alinearse con el Artículo 35 del GDPR, el Manual del CICR sobre Protección de Datos en Acción Humanitaria, las Directrices de Responsabilidad de Datos de OCHA y los estándares del Intercambio de Datos Humanitarios (HDX).
Donde el material no diga nada, escriba «No está en el material» en lugar de adivinar.
Documento fuente: Adjunto, o pegado abajo. Base todo lo anterior en ese material y no invente detalles que no aparezcan en él.