DERECHO DE PROTECCIÓN DE DATOS PERSONALES Y ANÁLISIS DEL RIESGO: UN ENFOQUE PRÁCTICO

Abstract

Resumen: En un entorno social caracterizado por la masiva puesta a disposición de nuestros datos a organizaciones con creciente capacidad para procesarlos y extraer información valiosa, la protección de datos personales no sólo es un derecho reconocido constitucionalmente, sino que posee el carácter de garantía de otros derechos. La protección de estos derechos, conforme al Reglamento General de Protección de Datos, debe instrumentarse mediante un proceso de gestión del riesgo para el cual existen múltiples propuestas metodo- lógicas, desde las específicas para la protección de datos personales, desarrolladas por diversas autoridades de control, o la norma ISO 29134; hasta otras de carácter genérico, como la norma ISO 31000; o específicas del campo de la seguridad de la información, como el estándar ISO 27005 o MAGERIT. El presente artículo explora las particularidades de cada una de esas metodologías y, a partir de diversas entrevistas y del análisis de la normativa interna y del proceso de implantación de un sistema de gestión del riesgo en una organización real, plantea diversas recomendaciones y buenas prácticas para la gestión del riesgo sobre los derechos y libertades de las personas físicas.

Alternate abstract:

In a social environment characterized by the massive availability of our data to organizations with increasing capacity to process them and extract valuable information, the protection of personal data is not only a constitutionally recognized right, but also has the character of a guarantee of other rights. The protection of these rights, in accordance with the General Data Protection Regulation, must be implemented through a risk management process for which there are multiple methodological proposals, from those specific to the protection of personal data, developed by various control authorities, or the ISO 29134 standard; to others of a generic nature, such as the ISO 31000 standard; or specific to the field of information security, such as the ISO 27005 or MAGERIT standard. This article explores the particularities of each of these methodologies and, based on various interviews and the analysis of internal regulations and the process of implementing a risk management system in a real organization, proposes various recommendations and good practices for risk management on the rights and freedoms of natural persons.