Derecho de protección de datos personales y análisis del riesgo: un enfoque práctico
- Autores: Fernando-Francisco García-Sotoca Barreda
- Directores de la Tesis: Lucrecio Rebollo Delgado (dir. tes.)
- Lectura: En la UNED. Universidad Nacional de Educación a Distancia ( España ) en 2025
- Idioma: español
- Número de páginas: 380
- Tribunal Calificador de la Tesis: María Mercedes Serrano Pérez (presid.), Daniel Capodiferro Cubero (secret.), Mónica Arenas Ramiro (voc.)
- Programa de doctorado: Programa de Doctorado en Unión Europea por la Universidad Nacional de Educación a Distancia
- Calificación: Sobresaliente Cum Laude
- Materias:
- Enlaces
- Tesis en acceso abierto en: e-spacio
- Resumen
En un entorno de cambio social caracterizado por la masiva puesta a disposición de nuestros datos personales a empresas y organizaciones con una creciente capacidad para procesarlos y extraer información valiosa gracias a las nuevas tecnologías, la protección de datos personales no sólo es un derecho reconocido constitucionalmente, sino que posee un carácter instrumental como garantía de otros derechos.
Dicha garantía se instrumenta a través de los principios de proactividad, privacidad desde el diseño, privacidad por defecto, y enfoque al riesgo, lo que supone la necesidad de superar una actitud reactiva por parte de responsables y tenedores de datos en favor de otra que busca la debida diligencia, mediante un proceso documentado de análisis del riesgo que permita identificar e implantar las medidas necesarias para proteger esos derechos y libertades del individuo.
De esta forma, la parte inicial de la tesis analiza diferente legislación, jurisprudencia y doctrina, así como diversas guías de la Autoridad de Control Española para, partiendo de la naturaleza de la protección de datos como derecho, poner el foco en la gestión del riesgo como instrumento vertebrador de su protección.
Los capítulos centrales, a su vez, abordan la cuestión de que el Reglamento General de Protección de Datos recoge la necesidad de gestionar los riesgos, pero no ahonda en cuestiones metodológicas, más allá de la exigencia de realizar una evaluación objetiva. Sin embargo, las propuestas metodológicas disponibles en la actualidad son variadas, desde las basadas en escenarios con un enfoque ¿de arriba hacia abajo?, como las específicas para la protección de datos personales, como la recogida en el estándar ISO 31000 e ISO 31010, que recoge técnicas específicas para la gestión del riesgo aplicable en mayor o menos medida a la protección de datos; o las específicas del campo de la seguridad de la información, como la norma ISO 27005 o MAGERIT, habitualmente basadas en activos y con un enfoque ¿de abajo hacia arriba? Para el análisis pormenorizado de cada una de estas metodologías y sus particularidades se han consultado las propias guías publicadas por las organizaciones que las han desarrollado, así como diferentes directrices del Comité Europeo de Protección de Datos.
Finalmente, la última parte de esta tesis recoge las conclusiones de una serie de entrevistas mantenidas con profesionales de la protección de datos, así como del análisis pormenorizado de la normativa interna y del proceso de implantación de un sistema de gestión de riesgo en privacidad en un organización real, de cara a comprender cómo se enfoca esta tarea y cuáles son las metodologías y técnicas concretas más utilizadas, exponiéndose los principales problemas detectados y diversas recomendaciones y buenas prácticas para una organización que deba implantar un sistema de gestión de riesgos sobre los derechos y libertades de las personas físicas.
Por ejemplo, ante la complejidad y coste de este proceso, se plantea la necesidad de que dicha implantación sea gradual, escalable y sujeta a un proceso de mejora continua, permitiendo en un primer momento concentrar los esfuerzos en controlar aquellos riesgos más críticos y dejando para etapas de mayor madurez la utilización de técnicas y metodologías más complejas.
