Protección de datos personales | Revisión integral de las directrices sobre información seudonimizada y previsión de cambios en las estrategias empresariales de utilización de datos

El cambio más importante es la normalización de los criterios de evaluación del riesgo.

Mientras que anteriormente la evaluación se realizaba enumerando por separado los factores de riesgo, tras la revisión se centra en los dos criterios siguientes.

• Sujeto que utiliza los datos
• Posibilidad de controlar el entorno de tratamiento

De este modo, se ha establecido la siguiente estructura.

• Número de formularios: reducción de 24 tipos → 10 tipos
• Riesgo bajo: documentación mínima y revisión por la persona responsable
• Riesgo medio y alto: revisión detallada por etapas

Esta estructura se ha diseñado para reducir las barreras de entrada de los proyectos de bajo riesgo y, al mismo tiempo, gestionar con mayor precisión los proyectos de alto riesgo.

• Admisión de propósitos susceptibles de ampliación
• Flexibilización del periodo de tratamiento
• Posibilidad de aprendizaje reiterado y perfeccionamiento de los modelos

La flexibilización de las anteriores limitaciones rígidas del propósito ha mejorado considerablemente la aplicabilidad práctica del diseño de proyectos de IA.

• Revisión exhaustiva → admisión de la revisión por muestreo
• Consideración de la realidad del tratamiento de grandes volúmenes de vídeos, audios, textos y otros datos

No obstante, se ha reforzado la obligación de justificar la elección del método de revisión, el diseño de la muestra, las medidas complementarias y la conservación de registros, entre otros aspectos.

Ante estos cambios, las empresas deben preparar las siguientes estrategias de respuesta.

Departamentos jurídico y de cumplimiento normativo

• Reclasificación de todos los proyectos de utilización de datos
• Revisión de la aplicabilidad de las disposiciones especiales sobre el tratamiento de información seudonimizada
• Concreción de la formulación del propósito (aprendizaje de IA → desglose por modelo e indicador)

Departamentos de datos e IA

• Diseño bajo la premisa de que los datos no estructurados = riesgo alto
• Diseño de la revisión por muestreo y establecimiento de un sistema de registro
• Separación entre los datos de aprendizaje y los resultados del servicio

Seguridad, TI y departamentos operativos

• Rediseño de la estructura de comunicación externa
• Revisión de la estructura contractual con los encargados del tratamiento
• Establecimiento de sistemas de permisos de acceso, gestión de registros y control de la exportación de datos

Los siguientes criterios pueden utilizarse en las revisiones internas de las empresas.

Utilización de datos y gestión del riesgo

• ¿Existen criterios de clasificación previa del riesgo para cada proyecto?
• ¿Se distingue entre la utilización interna y la comunicación externa?
• ¿Se dispone de un entorno de análisis controlable?

Sistema de seudonimización y revisión

• ¿Existen criterios para revisar la adecuación del método de seudonimización?
• ¿Existe un sistema de revisión específico para los datos no estructurados?
• ¿Están documentados el diseño de la revisión por muestreo y los procedimientos complementarios?

Sistema de documentación y justificación

• Concreción suficiente del propósito (por modelo e indicador)
• Registro de los fundamentos de la evaluación del riesgo
• Conservación de los registros de los procedimientos de revisión y aprobación

Contratos y estructura de comunicación externa

• Inclusión de cláusulas de protección de datos personales en los contratos con los encargados del tratamiento
• Establecimiento de sistemas de control de la exportación de datos y gestión de los permisos de acceso
• Mantenimiento de registros y garantía de la trazabilidad posterior

Esta revisión transmite el siguiente mensaje.

Aunque se amplía la utilización de datos, también se refuerza la responsabilidad de justificar su legitimidad y seguridad.

La simplificación de los casos de bajo riesgo, la ampliación de los propósitos de IA y la admisión de la revisión por muestreo constituyen una clara flexibilización normativa, pero favorecen únicamente a las empresas que disponen de un sistema explicable de gestión de riesgos.

Las directrices revisadas no plantean una cuestión que pueda resolverse únicamente mediante medidas técnicas. En último término, la adecuación del tratamiento de información seudonimizada depende de su justificación jurídica.

Daeryun Sociedad de Abogados presta el siguiente asesoramiento durante todo el proceso de utilización empresarial de datos.

• Revisión de la legalidad del tratamiento de información seudonimizada y diseño de sistemas de clasificación del riesgo
• Definición de los propósitos de proyectos de IA y datos y diseño de su estructura documental
• Establecimiento de criterios jurídicos para el tratamiento y la revisión de datos no estructurados
• Revisión de los riesgos de los contratos con encargados del tratamiento y de las estructuras de comunicación externa
• Elaboración de estrategias de respuesta ante investigaciones y sanciones relacionadas con la protección de datos personales

En particular, su sistema integrado de asesoramiento, que aborda conjuntamente los aspectos técnicos y jurídicos de las cuestiones relacionadas con datos, TI y Derecho, permite articular medidas prácticas de respuesta.

Si necesita asistencia en un asunto relacionado, puede solicitar una 🔗cita de asesoramiento jurídico con la firma.