CONTENIDOS DEL CURSO
Gestión de Riesgos y Evaluación de Impacto en la Protección de Datos (EIPD)

Contenidos

Este módulo constituye el núcleo conceptual del programa. Su función es construir el lenguaje y la arquitectura mental que permiten comprender correctamente el riesgo en protección de datos como riesgo sobre derechos y libertades.

• Naturaleza del dato como objeto jurídico, técnico y organizativo.
• Diferencia entre dato, información, metadato e inferencia.
• El tratamiento como unidad de análisis.
• Ciclo de vida del dato y transformaciones relevantes.
• Categorías de datos personales y categorías de especial exposición.
• Identificadores en línea, rastreo, datos derivados e inferidos.
• Perfilado, biometría, localización, salud, menores y datos persistentes.
• Taxonomía del riesgo en protección de datos.
• Riesgo sobre derechos y libertades.
• Riesgo jurídico, organizativo, tecnológico y operacional.
• Riesgo inherente y residual.
• Taxonomía del daño.
• Daño material, físico, moral, discriminatorio, social y pérdida de control.
• Relación estructural entre dato, tratamiento, amenaza, daño e impacto.
• Construcción del lenguaje común del curso.

Workshop de cierre

Workshop 1 — Taxonomía aplicada. Ejercicio individual orientado a modelar correctamente la relación entre dato, tratamiento, riesgo y daño sobre un caso de trabajo.

Contenidos

Este módulo estudia comparativamente los principales marcos y métodos aplicables a la gestión de riesgos y a la evaluación de impacto. Su objetivo no es enseñar una sola vía, sino desarrollar criterio para seleccionar, combinar y justificar metodologías.

• Diferencia entre marco, método y técnica.
• ISO 31000 como marco general de gestión del riesgo.
• ISO 31022 y la dimensión del riesgo legal.
• ISO/IEC 27005 y su conexión con seguridad de la información.
• MAGERIT como método estructurado.
• FAIR y FAIR-CAM.
• Cuantificación del riesgo y racionales cuantitativos.
• Valor en Riesgo, Valor en Riesgo cibernético y Valor en Riesgo de datos personales.
• Probabilidad condicional, Monte Carlo y enfoques bayesianos y frecuentistas.
• Delphi y calibración experta.
• Modelo Lens y reducción del ruido.
• Criterios cualitativos de severidad inspirados en ENISA.
• ISO/IEC 29134 como estándar de evaluación de impacto en privacidad.
• ISO/IEC 42005 como estándar especializado para evaluación de impacto en inteligencia artificial.
• Modelos regulatorios comparados y sus principios metodológicos comunes.

Workshop de cierre

Workshop 2 — Comparación y selección metodológica. Ejercicio grupal orientado a justificar qué marco o combinación metodológica sería más adecuada según contexto, tratamiento y nivel de madurez organizativa.

Contenidos

Este módulo construye el sistema operativo del análisis de riesgos. Aquí el análisis deja de ser una idea metodológica y se convierte en una función gobernada, documentada y ejecutable.

• Política de gestión de riesgos en protección de datos.
• Política de evaluación de impacto.
• Requisitos de dirección y patrocinio.
• Umbrales, criterios de aceptación y tolerancia.
• Disparadores y escalado.
• Procedimiento de análisis de riesgos.
• Procedimiento de activación y tramitación de la evaluación de impacto.
• Roles y responsabilidades.
• Modelo RASCI.
• Comité, aprobaciones y control de cambios.
• Evidencias mínimas y trazabilidad.
• Establecimiento del contexto.
• Alcance, supuestos y dependencias.
• Identificación de actores, sistemas y terceros.
• Construcción de escenarios.
• Amenazas, vulnerabilidades y exposición.
• Criterios de impacto y probabilidad.
• Priorización y clasificación del riesgo.
• Medidas técnicas, organizativas, contractuales y operativas.
• Riesgo residual, aceptación y seguimiento.

Workshop de cierre

Workshop 3 — Análisis de riesgos aplicado. Construcción guiada de un análisis de riesgos completo y defendible, con criterios de impacto, probabilidad, medidas y riesgo residual.

Contenidos

Este módulo aborda la lógica y el momento de la evaluación de impacto: cuándo procede, cómo se estructura y cómo se conecta con el análisis de riesgos previo. Además, incorpora FRIA como marco complementario para escenarios de afectación intensificada de derechos.

• Umbral de alto riesgo.
• Disparadores normativos.
• Listas de tratamientos o actividades publicadas por autoridades.
• Disparadores metodológicos y organizativos.
• Criterios derivados de estándares internacionales.
• Decisión de activación y su justificación.
• Lógica del informe de evaluación de impacto.
• Necesidad y proporcionalidad.
• Riesgos sobre derechos y libertades.
• Medidas, garantías y riesgo residual.
• Procedimiento de ejecución.
• Evidencias y fuentes de soporte.
• Participación de las funciones implicadas.
• Integración con política, procedimiento y gobierno del sistema.
• Documentación de la decisión final.
• Qué es FRIA y qué aporta.
• Diferencias y conexiones entre EIPD y FRIA.
• Escenarios de afectación intensificada de derechos.
• Casos especiales: inteligencia artificial y decisiones automatizadas; biometría; monitorización y geolocalización; rastreo intensivo e identificadores persistentes; tratamientos de alta complejidad, escala o sensibilidad.

Workshop de cierre

Workshop 4 — Evaluación de impacto y FRIA. Aplicación práctica sobre un caso que obligue a decidir el instrumento adecuado, estructurar la evaluación de impacto y valorar cuándo procede una lectura ampliada sobre derechos fundamentales.

El programa incorpora cuatro workshops de cierre, uno por dominio, y un examen final de 150 preguntas.

Recursos y soporte

• Campus virtual.
• Materiales de apoyo.
• Grabaciones disponibles durante 12 meses.
• Workshops y evaluación integrados en el programa.

Calendario base y usos horarios

Islas Canarias 16:30–20:00

España peninsular 17:30–21:00

Chile 11:30–15:00

Ecuador 10:30–14:00

México D. F. 09:30–13:00

Costa Rica 08:30–12:00